Le password complesse che utilizzano una combinazione di caratteri e che vengono modificate frequentemente non rappresentano più la soluzione migliore per la gestione delle password. Queste informazioni si basano sulle linee guida recentemente pubblicate dal National Institute of Standards and Technology (NIST) degli Stati Uniti, che sviluppa e diffonde linee guida per aiutare le organizzazioni a proteggere i sistemi informativi.

Per anni, esperti e fornitori di servizi hanno privilegiato le password complesse, che combinano lettere maiuscole e minuscole, numeri e simboli, perché si ritiene che rendano le password più difficili da indovinare o decifrare tramite attacchi di forza bruta.
Tuttavia, le password complesse sono controproducenti e anzi indeboliscono la sicurezza. Le password complesse inducono gli utenti a sviluppare cattive abitudini, come la scelta di password semplici o il riutilizzo di vecchie password.
Nelle sue ultime linee guida, il NIST ha incoraggiato l'uso di password più lunghe anziché complesse.
Il primo motivo è che spesso gli utenti hanno difficoltà a ricordare password complesse, il che li porta a utilizzare password basate su regole facili da indovinare o a usare la stessa password per più siti web. La situazione è aggravata dal fatto che molte organizzazioni richiedono di cambiare la password ogni 60-90 giorni. Il NIST non lo raccomanda più.
La sicurezza di una password viene spesso misurata in base all'entropia, ovvero il numero di possibili combinazioni che possono essere create utilizzando i caratteri della password. Maggiore è il numero di combinazioni, più difficile sarà decifrare la password tramite attacchi di forza bruta o tentativi di indovinare.
La lunghezza gioca un ruolo molto più importante nel numero di combinazioni possibili rispetto alla complessità. Una password più lunga con più caratteri ha un numero esponenzialmente maggiore di combinazioni possibili.
Il secondo motivo è che le password lunghe, composte da molte parole semplici, sono più facili da ricordare, evitando che gli utenti ricorrano a pratiche poco sicure come scrivere le password o riutilizzarle.
Inoltre, le password lunghe, a causa dell'elevato numero di combinazioni possibili, sono più difficili da decifrare per algoritmi complessi rispetto alle password corte e complesse.
Ad esempio, modificando una password da 4 a 6 cifre, il numero di combinazioni possibili aumenta da 10.000 a 1.000.000.
Il NIST raccomanda agli utenti di creare password lunghe al massimo 64 caratteri. In tal caso, una password che utilizza solo lettere minuscole e parole sarà estremamente difficile da decifrare, mentre se include lettere maiuscole e simboli, decifrarla sarà quasi matematicamente impossibile.