Password policy -- Length vs. Complexity (McAfee blog, 11/2)。

ネタ元：セキュリティホールmemo

曰く、

複雑だけど短い (8 文字程度) パスワードよりも、英小文字のみだけど長い (15 文字以上) パスワードの方が、bruteforce attack には強いという話。

桁増えると試行回数が増えるからでしょう。計算してみないと分からないけど。
あとbruteforce attackを待つ人間が多い桁の試行を待てないと思う。