Em tese...
Se seu algoritmo de criptografia os aceita, qualquer dado imprimível deveria poder fazer parte de uma senha, o resto é política de serviço.
Definindo uma política de serviço
Você precisa definir uma política de serviço para evitar comportamentos estranhos como:
- trimming de senhas
- aceitar caracteres de controle como Ctrl+Backspace no Windows. Alguns são imprimíveis como esse que citei
- comportamentos automáticos causados por corretores ortográficos ou teclados virtuais como o dos smartphones.
Senhas: difícil de ser quebrada é diferente de ser difícil de ser lembrada
Para te ajudar a definir sua política, leia esse artigo do Jeff Atwood, co-fundador do Stack Overflow, "Password Rules Are Bullshit". Ele cita os problemas mais comuns das regras que a maioria dos sites adotam e como contorná-los.
Tempo de processamento e uso de CPU
Para definir sua política de serviço, pode usar como argumento o tempo de processamento e uso de CPU, já que criptografar um dado de 100 Kb não deve custar o mesmo do que uma de 3 Mb.
É por esse e outros motivos que alguns serviços limitam a senha em 32 caracteres, por exemplo.
Copiar e colar
O que pode prejudicar a usabilidade é o copy-paste de senhas, já que com espaços não há como distinguir:
Sua senha é <b>darthépaidoluke</b>
Sua senha é <b>darthépaidoluke </b>
Como é que o usuário irá diferenciar esses dois depois de renderizado? Não há como saber onde esse esses espaços terminam.
Esse é outro motivo para não aceitar espaços.
O barulho das teclas
Em questão de segurança da informação, há quem diga que o espaço tem um som distinguível no teclado, (extra!), por isso não deveria ser aceito ou coisa do tipo. Se o atacante consegue ouvir o som do teclado, fica muito mais fácil quebrar a senha se ele sabe que ela segue o padrão
XXX__XX
X: qualquer outro caracetere
_: espaço
Ok, não quero aceitar espaços nas senhas. E agora?
Você pode mostrar uma mensagem de validação dizendo que não aceita espaços ou fazer o trimming dos espaços (estratégia que o Google usa).
Entendo que não usar espaços pode diminuir o campo amostral de possibilidades de senha, mas permití-los pode fazer com que o usuário digite um espaço sem querer. Isso mesmo! Sem querer. A experiência web mobile é boa, mas não perfeita ainda.
Particularmente, e defendido por UX, eu não gosto da ideia de fazer o trim. Alerte o usuário e peça a correção.
Também não inclua 1,000 regras diferentes para criação de uma senha, isso pode prejudicar a usabilidade. Grandes aplicações utilizam em médias 3 constraints no máximo.
Como medidor de força, um dos parâmetros pode ser quanto esforço um computador demoraria para quebrar tal senha (!)