密码破解时间计算器

破解时间 = 组合空间 ÷ 攻击速度 ÷ 2（平均猜中在中点）。变量在攻击速度：在线攻击受服务器限速（10-100 次/秒），8 位数字密码（10⁸ 空间）能撑几天到几月；但数据库泄露后的离线攻击完全另一量级——单张 RTX 4090 对 MD5 约 2000 亿次/秒（2×10¹¹），8 位数字 0.0005 秒破完。防御方的武器是哈希算法成本：bcrypt(cost 12) 把速度压到 10⁵/秒，Argon2id（内存 64MB）让 GPU 并行优势归零，同样的 4090 每秒只能试几千次。

这张「速度表」解释了行业的所有规则：为什么强制改密码周期已废弃（换汤不换药）、为什么 2FA 是必选项（密码被打穿还有第二层）、为什么哈希算法选型是架构决策（MD5/SHA1 存密码等于明文）。参考基准：10¹²/秒（高端 GPU 阵列，弱哈希）下——8 位全字符（48 bit）2.3 小时、10 位（65 bit）4 年、12 位（79 bit）3.6 万年、16 位（105 bit）6 亿亿年。本工具内置 7 种攻击场景速度，评估你的密码在每个战场的生存时间。

先分清你在评估哪种战场：在线攻击走服务器验证，服务端可以限速、加验证码、锁定账户，实际速度被压到每秒几十次，防御核心是监控与锁定策略；离线攻击是数据库泄露后攻击者在本地暴力枚举哈希，速度只受硬件与哈希算法限制，动辄每秒千亿次，防御核心只剩「慢哈希 + 足够的长度」。同一个密码在两个战场的生存时间可能相差十个数量级——密码熵计算器 可以帮你先确认组合空间本身是否达标。

慢哈希是防御方唯一主动武器，三款主流算法的成本逻辑不同：bcrypt 用可调迭代次数（cost 每加 1，耗时翻倍），成熟稳定但内存占用小，GPU 并行仍有一定优势；scrypt 引入内存硬度，让 ASIC 需要大量片上内存；Argon2id 是当前推荐答案（2015 年密码哈希竞赛冠军），同时压满内存与时间参数，64MB 内存设定下单张显卡只能并行几十路。存新系统密码，直接 Argon2id；存量 bcrypt 不必恐慌迁移，把 cost 逐步调高即可。

攻击端的算力曲线必须纳入评估：GPU 每 1.5–2 年同价位性能翻一倍，云算力让 8 卡阵列按小时租用（几十美元），僵尸网络与矿池改造让国家级对手坐拥更大规模。含义是「今天安全的密码，五年后自动变薄」——评估时按未来 3–5 年的预期攻击速度留余量，比按当下速度压线设计要稳妥得多。

彩虹表与盐的关系值得单独讲：彩虹表是预计算的哈希→密码对照，用 TB 级存储换秒级查表，对不加盐的哈希（裸 MD5/SHA-1）杀伤力极大；现代系统给每个密码加随机盐，同一密码哈希值各不相同，彩虹表整体失效，攻击者只能退回逐条暴力枚举。判断一个系统是否加盐很简单：两个账户设相同密码，泄露的哈希值若相同，就是没加盐。

把评估变成行动清单：① 重要账户密码 12 位起步、随机生成、每站唯一——密码生成器 可以直接产出达标密码；② 开启两步验证，密码被打穿还有第二层；③ 重要服务确认其声明使用 bcrypt/Argon2 存储；④ 每年用本工具按「8 卡阵列」场景复评一次核心账户，把结果与年份记录下来，形成自己的安全基线。