|
L'attaque par force brute consiste à tester tous les mots de passe.
Connaissant la taille maximale d'un mot de passe et l'espace des caractères qui peuvent le composer, il s'agit de calculer l'empreinte cryptographique de toutes les combinaisons possibles et de les comparer à celles enregistrées dans le système de contrôle des mots de passe.
|
|
Plus il existe de combinaisons possibles pour former un mot de passe, plus le temps moyen nécessaire pour retrouver ce mot de passe sera long.
Statistiquement, on doit en moyenne parcourir la moitié de l'espace des mots de passe pour trouver le bon.
|
|
Rajouter un caractère à un mot de passe alphanumérique double le temps nécessaire pour le retrouver.
Si un mot de passe utilise minuscules, majuscules et chiffres soit 62 caractères, rajouter un caractère au mot de passe multiplie le temps de calcul par 62. Rajouter des caractères au mot de passe est donc rapidement très efficace.
|
|
Même un mot de passe correctement formé, c'est-à-dire d'une longueur minimale de dix caractères et constitué des quatre groupes de caractères énoncés ci-dessus (minuscules, majuscules, caractères spéciaux et chiffres) soit environ 90 caractères, pourra être découvert par recherche exhaustive dans un temps raisonnable, si l'on dispose de moyens jugés aujourd'hui très importants.
En effet, des attaques exhaustives énumérant toutes les clés cryptographiques d'un espace aléatoire de 64 bits ont déjà été réalisées au niveau de la recherche universitaire. Or un tel espace est de taille comparable à celui d'un mot de passe correctement formé. C'est pourquoi le déverrouillage par mot de passe doit être complété par d'autres moyens pour des applications de haute sensibilité.
|
|
Interdire l'emploi de certains types de mot de passe comme les mots de passe courts réduit la sécurité, puisque le nombre de mots de passe à tester est moindre.
En pratique, un mot de passe alphanumérique [A-Za-z0-9] de 10 caractères correspond à un espace de mots de passe d'environ 260 possibilités, soit plus de 1 milliards de milliards de possibilités. Les interdire pour obliger à utiliser un mot de passe avec caractères spéciaux revient à retrancher cet espace de l'espace total de 265 bits, ce qui donne un espace résultant de 264,95 bits, soit plus de 35 milliards de milliards de possibilités. Il est donc en pratique plus intéressant de contraindre les mots de passe que de courir le risque qu'un utilisateur choisisse un mot de passe « faible ».
|
