Il motivo per cui questa domanda è più complessa di quella che potrebbe sembrare prima è che le password scelte dall'utente sono soggette a fattori umani e in particolare l'abitudine delle persone di scegliere password memorabili e il più semplici possibile anche a fronte di requisiti di complessità come gli utenti intelligente nel trovare le password che soddisfano i requisiti di complessità ma in realtà provengono da un insieme più ipotetico.
Se dai un sacco di informazioni sul perché un tentativo di password è fallito allora da un punto di vista puramente matematico puoi superare questo problema aumentando i requisiti di complessità, ma questo non tiene conto del comportamento dell'utente che può negare l'ulteriore complessità.
Il forzamento bruto può essere guidato e l'aumento della lunghezza della password (ad esempio) non fornisce necessariamente lo spazio chiave apparente per la ricerca perché l'euristica si applica ancora. Ricorda inoltre che i requisiti di complessità possono ridurre lo spazio chiave dallo spazio massimo basato solo sulla lunghezza, almeno euristicamente. Pensa al vecchio requisito di complessità di utilizzare almeno una cifra e gli utenti aggiungono un 1 alla fine della loro password preferita! Facile da creare algoritmi basati su algoritmi di indovinamento basati su password euristica - questo non aumenta lo spazio chiave di un set di caratteri aggiuntivi nella realtà.
Detto questo, vivrei il rischio se l'aumento della complessità fosse sostanziale e i requisiti di complessità non fossero troppo semplicistici o facili da aggirare in alcun modo.