Так ли опасен brute force?

До тех пор, пока не подберут, не опасен.

Около года.

Не всегда вред брутфорса может быть только во взломе. Например у меня был случай, когда из-за брутфорса админки одного из сайтов забивалась оперативка и падал сервер баз данных.

50% вероятности подбора

В текущих реалиях опасен не брутфорс, а credential stuffing. Т.е. когда ко второму ресурсу подбирают с помощью специального софта скомпроментированные пары логин-пароль с первого. Именно по этой причине необходимо не только регулярно менять пароли, но и использовать разные для разных ресурсов, а везде где возможно двухфакторную аутентификацию. Тут главное себя приучить к системе и пользоваться менеджерами паролей.

Также очень рекомендую делать уникальный логин везде, где возможно. В случае с емейлом есть хороший способ использовать "+", например: test+netflix@example.com. Возможно кто-то не знает, но вся почта в этом случае будет идти на test@example.com. Т.е. после плюса можно делать уникальное значение, только для этого сервиса. Поэтому в случае компроментации и внезапного потока спама всегда будет понятно проблемное звено.

Brute force не только вреден, но и полезен! :)

А почему всего восемь? Можно и 20 символов

Не зная какие символы используются и их точное количество, вероятность значительно падает.

Утверждение правильное. Но заморачиваться с регулярной заменой паролей не стоит, если четко следовать вашим правилам. А двухфакторная авторизация сама подскажет, когда пришла пора менять пароль.

А если юзать менеджер паролей, то можно и длинные сочетания использовать.

Главное не утерять доступ к этой пачке паролей и почте, которая привязывается к аккаунтам.

Еще рекомендую использовать отдельную сим-карту для двухфакторной авторизации в кнопочном телефоне, который не покидает пределы дома\сейфа.

Как показывают последнии события повсеместного воровства номеров (как в России, так и в США), двухфакторку лучше в принципе на номер мобильного телефона не завязывать. Тот же Google Authenticator и подобные приложения куда безопаснее.

Мне кажется, имелась в виду вероятность их двух событий - "подберут" и "не подберут".

это если подбирающий один. а если их тысяча?