Como o mgibsonbr diz na resposta dele, a força de uma senha está associada com a dificuldade que um adversário tem para adivinhá-la. Por isso, medimos a força de uma regra pra senha baseado em quantas senhas possíveis podemos escrever obedecendo a regra, o que é proporcional ao tempo que um adversário terá que gastar para adivinhar a senha.
O problema dessa definição é que a o espaço de busca para o bruteforce depende de qual regra você está levando em conta. Por exemplo, se tomarmos como espaço de busca senhas que são uma combinação de letras quaisquer, a senha "qwertyuiop", que tem 10 letras vai levar um tempinho considerável para ser advinhada. No entanto, se o adversário tentar adivinhas as senhas fáceis primeiro, como as senhas que fazem um padrão no teclado ele vai adivinhar o "qwertyuiop" num instante.
Dado essas dificuldades, se você ainda quiser fazer um medidor de força de senha, recomendo dar uma olhada no zxcvbn, do Dropbox. Ele leva em conta padrões como palavras de dicionário, padrões de teclado e l337sp3@k e gera uma estimativa da força da senha. Tem um demo online aqui
Fora isso, além de incentivar o usuário a escolher uma boa senha1, existem algumas coisas que você pode fazer como desenvolvedor para aumentar a segurança das senhas do sistema:
O formulário de preenchimento da senha deve ser servido em uma conexão segura. Não adianta fazer uma super segurança no servidor se qualquer um na mesma wifi do usuário puder ler a senha dele em trânsito.
Nunca armazene as senhas em formato legível ou usando criptografia reversível. Se um adversário conseguir acesso ao seu banco de dados (mesmo que somente leitura, devido a uma injeção de sql ou um disco de backup extraviado) ele terá acesso a todas as senhas sem ter que fazer nada.
- Isso significa que não dá pra fazer recuperação de senha mandando a senha de volta por email, ao invés disso faça o usuário escolher uma senha nova.
Use uma função de hash apropriada para senhas, como bcrypt, scrypt ou PBKDF2. Não use funções como md5 ou SHA1
- Uma boa função de hash para senha deve ser lenta de calcular. Quando o usuário autentica ele faz a conta uma vez, que é imperceptível, mas quando se trata de um adversário fazendo bruteforce quanto mais lerdo a função de hash melhor. Configure o parâmetro do key-stretching o mais alto que seu servidor aguentar.
- Não use a mesma função de hash para todos os usuários. Isso permite que um adversário saiba que usuários compartilham senha só de ver o hash. Também permite que o bruteforce seja feito com todos os usuários ao mesmo tempo, em paralelo. Em geral a solução pra isso é adicionar um sal na senha. A maioria de bibliotecas para hashing de senha via o bcrypt, etc, já fazem isso pra você.
1 A melhor dica para senhas seguras é usar um software gerenciador de senhas. Isso permite que você gere senhas aleatórias super compridas e ajuda a não usar a mesma senha em mais de um site. Já para senhas que você precisa decorar, o ideal é ter uma "frase-chave" ao invés de uma "palavra-chave". Frases são um pouco mais demoradas de digitar mas são muito mais fáceis de decorar.
Como desenvolvedor do sistema, existem algumas coisas qque você pode fazer para