Como o mgibsonbr diz na resposta dele, a força de uma senha está associada com a dificuldade que um adversário tem para adivinhá-la. Por isso, medimos a força de uma regra pra senha baseado em quantas senhas possíveis podemos escrever obedecendo a regra, o que é proporcional ao tempo que um adversário terá que gastar para adivinhar a senha.

O problema dessa definição é que a o espaço de busca para o bruteforce depende de qual regra você está levando em conta. Por exemplo, se tomarmos como espaço de busca senhas que são uma combinação de letras quaisquer, a senha "qwertyuiop", que tem 10 letras vai levar um tempinho considerável para ser advinhada. No entanto, se o adversário tentar adivinhas as senhas fáceis primeiro, como as senhas que fazem um padrão no teclado ele vai adivinhar o "qwertyuiop" num instante.

Dado essas dificuldades, se você ainda quiser fazer um medidor de força de senha, recomendo dar uma olhada no [zxcvbn](https://github.com/dropbox/zxcvbn), do Dropbox. Ele leva em conta padrões como palavras de dicionário, padrões de teclado e l337sp3@k e gera uma estimativa da força da senha. Tem um demo online [aqui](https://dl.dropboxusercontent.com/u/209/zxcvbn/test/index.html)

Fora isso, além de incentivar o usuário a escolher uma boa senha<sup>1</sup>, existem algumas coisas que você pode fazer como desenvolvedor para aumentar a segurança das senhas do sistema:

* O formulário de preenchimento da senha deve ser servido em uma conexão segura. Não adianta fazer uma super segurança no servidor se qualquer um na mesma wifi do usuário puder ler a senha dele em trânsito.


* Nunca armazene as senhas em formato legível ou usando criptografia reversível. Se um adversário conseguir acesso ao seu banco de dados (mesmo que somente leitura, devido a uma injeção de sql ou um disco de backup extraviado) ele terá acesso a todas as senhas sem ter que fazer nada.
  * Isso significa que não dá pra fazer recuperação de senha mandando a senha de volta por email, ao invés disso faça o usuário escolher uma senha nova.

* Use uma função de hash apropriada para senhas, como bcrypt, scrypt ou PBKDF2. Não use funções como md5 ou SHA1
  * Uma boa função de hash para senha deve ser lenta de calcular. Quando o usuário autentica ele faz a conta uma vez, que é imperceptível, mas quando se trata de um adversário fazendo bruteforce quanto mais lerdo a função de hash melhor. Configure o parâmetro do *key-stretching* o mais alto que seu servidor aguentar.
  * Não use a mesma função de hash para todos os usuários. Isso permite que um adversário saiba que usuários compartilham senha só de ver o hash. Também permite que o bruteforce seja feito com todos os usuários ao mesmo tempo, em paralelo. Em geral a solução pra isso é adicionar um *sal* na senha. A maioria de bibliotecas para hashing de senha via o bcrypt, etc, já fazem isso pra você.


---------

<sup>1</sup> A melhor dica para senhas seguras é usar um software gerenciador de senhas. Isso permite que você gere senhas aleatórias super compridas e ajuda a não usar a mesma senha em mais de um site. Já para senhas que você precisa decorar, o ideal é ter uma "frase-chave" ao invés de uma "palavra-chave". Frases são um pouco mais demoradas de digitar mas são muito mais fáceis de decorar.


Como desenvolvedor do sistema, existem algumas coisas que você pode fazer para