パスワードに使用可能な文字を、
とすると、その組み合わせの数は下表のようになります。
| 桁数 | 英字(大文字/小文字 区別なし) 26文字 |
英字+数字 62文字 |
英字+数字+記号 93文字 |
|---|---|---|---|
| 1 | 26 | 62 | 93 |
| 2 | 676 | 3,844 | 8,649 |
| 3 | 17,576 | 238,328 | 804,357 |
| 4 | 456,976 | 14,776,336 | 74,805,201 |
| 5 | 11,881,376 | 916,132,832 | 6,956,883,693 |
| 6 | 308,915,776 | 56,800,235,584 | 646,990,183,449 |
| 7 | 8,031,810,176 | 3,521,614,606,208 | 60,170,087,060,757 |
| 8 | 208,827,064,576 | 218,340,105,584,896 | 5,595,818,096,650,400 |
| 9 | 5,429,503,678,976 | 13,537,086,546,263,600 | 520,411,082,988,487,000 |
| 10 | 141,167,095,653,376 | 839,299,365,868,340,000 | 48,398,230,717,929,300,000 |
使用可能な文字の種類と数による生成可能なパスワードの組み合わせの数は、順列・重複あり（表） - 高精度計算サイトで簡単に一覧できます。
サービス提供者がログインの試行回数を制限すれば、パスワードを複雑にしなくても総当たり攻撃を防ぐことはできます。しかしパスワードのハッシュが漏えいした場合にはサービス側での制限は無意味なため、パスワードの強度が意味を持ちます。
たとえば2012年のLinkedInのパスワードのハッシュの流出では、ハッシュから解読される前にパスワードを変更するように呼びかけられました。 LinkedIn summarizes password theft and member security efforts (2012/06/12) 米LinkedIn、パスワード約650万件が漏えいか～至急パスワード変更を -INTERNET Watch Watch 青木大我 (2012/06/07)
ただしパスワードをハッシュ化せずに保存している事業者もあり、その場合はパスワードの強度は無意味です。ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】 - ITmedia NEWS 谷井将人 (2022/03/16)
KeePass Password Safe プロジェクト日本語トップページ - OSDN
LastPass | The Last Password You Have to Remember
Kaspersky Password Manager | Password Protection | Kaspersky Lab
