Биты энтропии и взлом
N бит энтропии = 2ᴺ возможных значений. При 50%-вероятности нужно перебрать половину. Время = 2ᴺ / (2 × скорость атаки). Каждый дополнительный бит удваивает время взлома.
NIST рекомендации (SP 800-63B)
Минимум 112 бит для высокобезопасных систем. Для онлайн-аутентификации с throttling — достаточно 30-40 бит при ограничении 100 попыток/час. Для офлайн-атак (утечка хешей) — нужно > 80 бит.
Квантовые компьютеры
Алгоритм Гровера даёт квадратичное ускорение для перебора: эффективная сила AES-128 снижается до 64 бит. Поэтому AES-256 считается квантовостойким — 128 эффективных бит. Асимметричные ключи (RSA, ECC) квантовым компьютерам уязвимы сильнее.