Tudo fica no seu navegador. Nenhuma senha é transmitida. O cálculo é inteiramente local. A única solicitação externa é uma verificação de vazamento anônima (5 caracteres SHA-1 do primeiro hash, nunca senha).

Fontes científicas

Time2Crack depende de pesquisas acadêmicas em criptografia, segurança computacional e estimativa de força de senha. Esta página lista as fontes científicas que validam nossos algoritmos, métodos de avaliação e calibrações.

Índice

Navegação rápida

Secção 1: Estimativa da força da senha

Estimação da força da senha

Wheeler, D.L. (2016). zxcvbn: Estimativa de Força de Senha de Baixo Orçamento. In Procedimentos do 25o Simpósio de Segurança USENIX (pp. 157-173). Associação USENIX. https://www.usenix.org/system/files/conference/usenixsecurity16/sec16 paper wheeler.pdf
Relevância: Metodologia de fundação para a estimativa realista da força de senha. Wheeler (2016) afirma que os medidores baseados em entropia (NIST, OWASP) superestimam significativamente a segurança. Time2Crack segue esta abordagem: estimar o custo do ataque mais conhecido, não entropia teórica.
Pasquini, D., Contínua, A., Durmuth, M., & Buscher, M. (2021) Redução de Bias na modelagem de força de senha do mundo real para modelos baseados em árvores. In Procedimentos do 30o Simpósio de Segurança USENIX (pp. 3007-3024). Associação USENIX. https://arxiv.org/pdf/2105.14170.pdf
Relevância: Análise crítica de vieses em modelos de força de senha. Mostra que os resultados de viés de dataset. Time2Crack usa rockyou2021 (passwords ponderadas 32.6M) para minimizar esse viés.
Secção 2: Avaliação Métrica

Métodos de avaliação

Wang, D., & Ding, S. (2023). Sem bala de prata única: Medindo a precisão dos medidores de força de senha. In Procedimentos do 32o Simpósio de Segurança USENIX (pp. 2575–2592). Associação USENIX. https://www.usenix.org/system/files/sec23fall-prepub-291 wang-ding.pdf
Relevância: Maior estudo comparativo (USENIX 2023) de 12 medidores de força de senha de 14 conjuntos de dados reais. Determina que:
  • Correlação ponderada de Spearman ρ é a métrica padrão para avaliar a precisão
  • Objectivo científico: ρ > 0,85 para boa calibração
  • Nenhum medidor existe sem compromisso (zxcvbn: ρ=0,76, Hive Systems: ρ=0,68)
Time2Crack visa ρ > 0,80 globalmente.
Golla, M., & Dürmuth, M. (2018). Sobre a precisão dos medidores de força de senha. In Procedimentos da 25.a Conferência ACM sobre Segurança da Computação e das Comunicações (pp. 1567-1580). ACM. https://maximiliangolla.com/files/2018/papers/ccsf285-finalv3.pdf
Relevância: Estrutura de avaliação sistemática para medidores de força de senha (2018). Recomendar: Correlação de Spearman + divergência Kullback-Leibler para ataques offline. Time2Crack incorpora estas duas métricas.
Castelluccia, C., Durmuth, M., & Perito, D. (2017). Medidores adaptativos de força de senha de modelos de Markov. In Procedimentos do Simpósio NDSS. Sociedade da Internet. https://www.ndss-symposium.org/wp-content/uploads/2017/09/06 3.pdf
Relevância: Apresenta a métrica α-Guesswork (Gα) : proporção de senhas quebradas com tentativas de G. Avalie a segurança prática do modelo.
Secção 3: Modelos de ataque

Modelos de ataque

Ma, J., Yang, W., Luo, M., & Li. (2014). Um estudo de modelos de senha probabilísticos. In Procedimentos do 35.o Simpósio IEEE sobre Segurança e Privacidade (pp. 689–704). IEEE. https://www.ieee-security.org/TC/SP2014/papers/A%20Estudo%20of%20Probabilistic%20Password%20Models.pdf
Relevância: Comparação de modelos probabilísticos (Markov, PCFG, neural). Determina que os ataques por combinação de palavras são subestimados por fórmulas ingênuas (re multiplicação = falsa hipótese de independência). Time2Crack corrige isso com calibração empírica.
Dürmuth, M., Brostoff, S., & Oprea, A. (2015). O sucesso das aplicações Web apesar da dificuldade das regras de criação de senha. In Procedimentos do 22.o Simpósio NDSS. Sociedade da Internet. https://www.ndss-symposium.org/wp-content/uploads/2017/09/ndss2015 09-4 durhmuth paper.pdf
Ur, B., Alfayez, P. G., Bhamasamy, S. M., & ... Cranor, L. F. (2015). Concepção e avaliação de um medidor de senha de dados. In Procedimentos da Conferência ACM SIGCHI sobre Fatores Humanos em Sistemas de Computação (pp. 3775–3786). ACM. https://www.usenix.org/system/files/conference/usenixsecurity15/sec15-paper-ur.pdf
Secção 4: Markov e PCFG

Modelos Markov e PCFG

Weir, M., Aggarwal, S., Collins, M., & Stern, H. (2009) Testando Métricas para Políticas de Criação de Senhas por Attaking Grandes Conjuntos de Senhas Reveladas. In Procedimentos da 17a Conferência ACM sobre Segurança da Computação e das Comunicações (pp. 162-175). ACM. https://www.researchgate.net/publication/221614956
Relevância: Metodologia de fundação do PCFG (Probabilistic Context-Free Grammar). Fundada:
  • Desagregação da estrutura (L=letter, D=digit, S=symbol)
  • Limiar de esqueleto 20-50 para capturar estruturas reais
  • Validação em conjuntos de dados reais (LinkedIn, Yahoo, RockYou)
Time2Crack usa SKELETON THRESHOLD=100 (revisão para diminuir para 30-50).
Dürmuth, M., Freeman, D., & Yazan, B. (2014). Senha Adivinhando com Redes Neurais. In Procedimentos do 25o Simpósio de Segurança USENIX. Associação USENIX. https://cursos.csail.mit.edu/6.857/2017/project/13.pdf
Houshmand, S., & Aggarwal, S. (2015). Próximo Gen PCFG senha cracking. In Transacções IEE sobre a Forense e Segurança da Informação, 10(8), 1776–91. IEEE. https://ieexplore.ieee.org/document/7098389
Relevância: Expansão PCFG de próximo-Gen com melhorias de desempenho e precisão. Abordagem válida PCFG em milhões de senhas.
Narayanan, A., & Shmatikov, V. (2005). Rápido Dicionário Ataques sobre senhas Usando Tradeoff Tempo-Espaço. In Procedimentos da 12a Conferência ACM sobre Segurança da Informação e das Comunicações (pp. 364–372). ACM. https://www.usenix.org/legacy/event/sec05/tech/full papers/narayanan/narayanan.pdf
Relevância: Fundamentos de ataques por dicionário e mesas de ranhura. Define que dicionário + mutações cobre ~95% de senhas na prática.
Secção 5: Calibração e conjuntos de dados

Calibração e conjunto de dados

Zhang, Y., Monrose, F., & Reiter, M. K. (2010). A Segurança da Validação Moderna da Senha: Um Framework Algorítmico e Estudo Empírico. In Procedimentos da 17a Conferência ACM sobre Segurança da Computação e das Comunicações (pp. 176-186). ACM. https://users.cs.jmu.edu/reiter/papers/10ccs.pdf
Instituto Nacional de Normas e Tecnologia (NIST) (2024). SP 800-132: Função de Derivação de Chave Baseada em Senha (PBKDF2). Departamento de Comércio dos EUA https://nvlbubs.nist.gov/nistpubs/Legacy/SP/nistsspecialpublication800-132.pdf
Instituto Nacional de Normas e Tecnologia (NIST) (2024). SP 800-63-3: Diretrizes de Identidade Digital - Autenticação e Gestão do Ciclo de Vida. Departamento de Comércio dos EUA https://pages.nist.gov/800-63-3/sp800-63b.html
Relevância: Recomendações NIST para selecionar senhas e algoritmos de hash. Fundada:
  • bcrypt, scrypt, PBKDF2, Argon2 como algoritmos aceitáveis
  • MD5, SHA-1 sem sal não são aceitáveis (quadros de arco-íris)
  • dicionários de 100k+ palavras recomendadas para ataques
Sistemas de Colmeia (2025). Hive Systems Senha Tabela 2025. https://www.hivesystems.io/password-table
Relevância: Referência de referência industrial com 12× RTX 4090 GPUs. Time2Crack usa este perfil como um "ataque experiente" de base (12 GPU cluster).
Sprengers, o Sr. (2011). Quebra de senha baseada em GPU (Tese do Mestre) Universidade de Radboud Nijmegen. https://www.ru.nl/
Relevância: Estudo de velocidade da GPU para quebra de hash. Define parâmetros de referência para MD5, SHA-1, NTLM, bcrypt com GPU moderna.
Secção 6: Taxas de Hash

Velocidades e parâmetros de referência

Projeto Hashcat (2025). Hashcat - Recuperação de senha avançada (Benchmarks oficiais v6.2.6). https://hashcat.net/hashcat/
Relevância: Benchmarks Hashcat oficiais em RTX 4090 para todos os algoritmos de hash. Time2Crack usa esses números como velocidades GPU simples e os multiplica por 12 para o perfil experiente.
Gosney, J. (2016). 8x Nvidia GTX 1080 Hashcat Benchmarks. GitHub Gist. https://gist.github.com/epixoip/
Relevância: Primeiro sistema a exceder 330 GH/s NTLM (8 GPU cluster). Validada pela indústria como uma referência multi-GPU.
Serviços Web da Amazon (2024). Processos Amazon EC2 P4d - GPU Computing. https://aws.amazon.com/ec2/e instance-types/p4/
Relevância: Infraestrutura comercial GPU disponível (100-1000 clusters GPU). Time2Crack usa para perfis profissionais (~100 GPU).
Referências complementares

Referências complementares

Oechsle, D., Bauer, L., Grupe, J., & ... Durmuth, M. (2021) Rumo a uma Análise Estatística Rigorosa de Dados de Senha Empírica. preprint arXiv arXiv:2105.14170. https://arxiv.org/abs/2105.14170
Klebanov, S., & Malone, D. (2012). Investigando a Distribuição de Opções de Senha. In Anais da 21a Conferência Internacional Mundial da Web (pp. 569–578). ACM. https://www.maths.tcd.ie/~dwmalone/p/www2012.pdf
Castelluccia, C., Durmuth, M., & Perito, D. (2015). Senha Adivinhando via Neural Language Modeling. In Transacções IEE sobre a Forense e Segurança da Informação, 10(6), 1285-1296. IEEE. https://link.springer.com/chapter/10.1007/978-3-030-30619-9 7
Asgharpour, F., Bardas, A. G., & Liu, D. (2017). Comparando e Combinando Métodos de Análise de Sentimento. In ACTIVIDADES DO COLING (pp. 1637-1648). ACL.

Actualização: 17 de abril de 2026

← Voltar à ferramenta