Barrapunto

Sin embargo hace falta escribir muy bien para introducir una frase sin fallos cuando lo único que ves son asteriscos (o nada).

Una frase no es una palabra y un ataque por diccionario no puede hacer nada

Todo es relativo, los ataque por diccionario se perfeccionarían, en vez de utilizar palabras, pues se hace un diccionario de frases celebres, que serán lo que utilice la mayoría de la gente. No olvidemos que los diccionarios se hacen teniendo en cuenta las estadisticas de uso de las palabras en las contraseñas, simplemente hay que sacar las estadísticas de frases más utilizadas y crear un diccionario, te apuesto a que "En un lugar de la Mancha" se utilizaría bastante a menudo

Como ya se ha citado más arriba hay gente que lo que utiliza es la primera letra de cada palabra de una frase, eso parece más seguro, en principio. Si haces un análisis en profundidad descubriras que hay muchos casos en los que no se utilizan vocales, por lo que en realidad estás limitando el conjunto de caracteres a consonantes, y por lo tanto haciendo más facil un ataque por fuerza bruta.