Entropía
Una medida de la impredecibilidad en bits — cuántos intentos necesita en promedio un atacante.
Una contraseña con 40 bits de entropía exige del orden de 2⁴⁰ intentos. La clave es que la entropía mide la aleatoriedad de la fuente, no el aspecto de la cadena: Tr0ub4dor&3 parece aleatoria pero tiene poca entropía porque sigue un patrón predecible.
El sistema operativo recolecta entropía de los tiempos de las interrupciones, de la actividad del disco y de generadores hardware como RDRAND, y con ella alimenta un CSPRNG. Las máquinas virtuales recién arrancadas y los dispositivos embebidos son arriesgados precisamente porque empiezan con el pool vacío.