Entropia
Medida de imprevisibilidade, em bits — quantas tentativas, em média, um atacante precisa para adivinhar algo.
Uma senha com 40 bits de entropia exige algo na ordem de 2⁴⁰ tentativas. O ponto central é que a entropia mede a aleatoriedade da fonte, não a aparência da string: Tr0ub4dor&3 parece aleatória, mas tem entropia baixa porque segue um padrão previsível.
O sistema operacional coleta entropia a partir de tempos de interrupção, atividade de disco e geradores de hardware como o RDRAND, e alimenta um CSPRNG. Máquinas virtuais recém-criadas e sistemas embarcados são arriscados justamente porque inicializam com o pool vazio.