Matematicamente, quanto tempo ci vorrebbe per rompere un hash della password di bcrypt?

Ok, quindi dall'articolo che hai collegato, apprendiamo che l'installazione 8x di Nvidia può calcolare circa 100.000 hash di bcrypt al secondo (H / s). Il fattore di costo utilizzato per il benchmark è 5 - molto basso - se i commenti devono essere considerati. Per bcrypt, il numero di round è uguale a due alla potenza del fattore di costo. Quindi se il tuo è 12, il tuo hash sarà 2 ¹² / 2 ⁵ = 2 ⁷ = 128 volte più lento. Quindi da 10 ⁵ H / s sei giù a 10 ³ H / s.

Ora tutto quello che devi sapere è che per craccare un hash con n bit di entropia, in media devi provare 2 volte ^n-1 . Quindi prendi una password composta da 8 lettere minuscole casuali per esempio. Ha un'entropia di n = log ₂ (26 ⁸ ) = 38 bit. Per craccarlo avresti bisogno di 2 ^38-1 / 1000 secondi = 4 anni.

Da notare che il benchmark è del 2016. Con il passare del tempo, l'hardware diventa più veloce. Dovrai rivalutare regolarmente il tuo fattore di costo per rimanere aggiornato.

Questo è un malinteso comune sulle password. Dipende dalla tua definizione di password. Devi prima definire cosa intendi per password, come "8 caratteri alfanumerici". Una volta definito, possiamo calcolare.

Un "alfanumerico" è 26 maiuscolo, 26 minuscolo e 10 caratteri numerici o 62 possibili combinazioni.

Per provare tutte le combinazioni di una password di 8 caratteri, sarebbe: 62 * 62 * 62 * 62 * 62 * 62 * 62 * 62

Questo è 218.000.000.000.000.

Dividi questo per 13094 (il numero di hash al secondo) e ottieni 16674820955 secondi o 528 anni.

L'impossibilità di provare tutte le combinazioni porta ad altre strategie, come la scelta di parole del dizionario o "catene di Markov" per provare a scegliere i tipi di password, invece di provare tutte le combinazioni casuali. Non puoi calcolare matematicamente quanto è veloce perché è del tutto soggettivo. Dipende dalla fortuna, da quali password hanno scelto gli obiettivi e da quali password hai scelto di testare. Spesso è un po 'l'ordine di una probabilità del 10% di craccare una password con poche ore di crack, ma ancora una volta, questa è un'esperienza soggettiva. A seconda della password in cui stai cracciando e di come la stai risolvendo, la tua esperienza varierà.

Ad ogni modo, il punto è che questa domanda non ha una risposta. È un'idea sbagliata di come funzionano le cose. Ed è per questo che non puoi rispondere a Google.