質問: 総当たり攻撃は、単にパスワードをめちゃくちゃ長くするだけで防げますか? どのくらい長ければいいですか?
回答: 前提条件が分かりませんが、ウェブサイトへの総当たり攻撃であれば、パスワード8桁程度でもまず破られないと思います。tacsheavenさんが書かれているように、ランダムなパスワードをつけていることが前提...といっても、純粋な総当たり攻撃だと単純なパスワードでもあまり関係ありませんが... 他の回答者の方が攻撃側のCPU性能や台数に言及しておられますが、これらが問題になるのは「漏洩済みのパスワードのハッシュ値から元のパスワードを割り出す」ような場合です。このケースはオンラインでの攻撃ではないのでオフライン攻撃といいます。 方や、ウェブサイトへのオンライン攻撃の場合は、ログインの判定をするのはウェブサーバーなので、攻撃側の性能を高めても、ログイン試行の性能はほぼサーバー側の性能で律速されます。 したがって、サーバー側の性能がものすごく高い場合はパスワードの試行も速いわけですが、さすがにそのような性能の高いサイトはログイン試行への対策(アカウントロックやパスワード攻撃に対する監視等)もしている場合が多いでしょう。