एक हमलावर किस हद तक पासवर्ड का अंदाज लगाकर प्रणाली में डाल सकता है, प्रणाली की सुरक्षा निर्धारण में यह एक महत्वपूर्ण कारक है। एक छोटी-सी गिनती (उदा. के लिए तीन) तक पासवर्ड डालने की कोशिश की असफलता के बाद कुछ प्रणालियां कुछेक सेकंड का निधारित समय अधिरोपित करती है। अन्य कमजोरियों के अभाव में, अगर पासवर्ड अच्छे से चुने जाएं और उनका अंदाज लगाना आसान न हो तो ऐसे प्रणाली अपेक्षाकृत सरल पासवर्ड को प्रभावी रूप से सुरक्षित कर सकती हैं।

कई प्रणालियां पासवर्ड की क्रिप्टोग्राफिक हैश (cryptographic hash) को इस तरह से संचित करते हैं कि हैश के मान को हमलावर के लिए सुलभ बना देता है। जब यह हो जाता है और यह बहुत ही आम है तब हमलावर ऑफ-लाइन काम कर सकता है, व्यक्ति के पासवर्ड के बदले असली पासवर्ड के हैश के मान की तेजी से जांच करता है। क्रिप्टोग्राफ़िक कुंजियां (उदा. के लिए डिस्क एन्क्रिप्शन (disk encryption) या वाई-फाई (Wi-Fi) सुरक्षा) तैयार करने के लिए जिस पासवर्ड का उपयोग किया जाता है, बड़े हद तक उनका अनुमान लगाया जा सकता है। आम पासवर्ड की सूची व्यापक रूप से उपलब्ध हैं, जो बहुत ही कुशलता से पासवर्ड हमला कर सकता हैं। (देखें पासवर्ड क्रैकिंग) इन स्थितियों में सुरक्षा पर्याप्त जटिल पासवर्ड या पासफ्रेज के इस्तेमाल पर निर्भर करती है, ऐसे अभिकलनात्मक जटिलता वाले हमले हमलावर के लिए अव्यवहारिक होते हैं। कुछ प्रणालियां, जैसे पीजीपी (PGP) और वाई-फाई डबल्युपीए (Wi-Fi WPA) ऐसे हमलों में पासवर्ड को धीमा करने के लिए गहन अभिकलन हैश लागू करती हैं। देखें की स्ट्रेंगक्थनिंग (key strengthening)। 

रक्षात्मक सॉफ्टवेयर की डिजाइन
किस हद तक एक हमलावर पासवर्ड का अनुमान लगाने की कोशिश कर सकता है
पासवर्ड का सरल प्रेषण
वेबसाइट पासवर्ड प्रणाली