Temps d'attaque par force brute selon l'entropie
Calculateur

Il estime combien de temps il faudrait à un attaquant pour deviner un mot de passe par pure force brute, en essayant les combinaisons systématiquement, selon l'entropie du mot de passe (en bits) et un nombre supposé de tentatives par seconde que l'attaquant peut effectuer.

Le résultat dépend fortement de la vitesse de tentative supposée, qui peut aller de quelques tentatives par seconde (un formulaire de connexion en ligne avec verrouillage) à des milliards ou des billions par seconde (une attaque hors ligne utilisant du matériel spécialisé contre une base de données de mots de passe divulguée). Vérifiez toujours quelle hypothèse de vitesse est utilisée.

Non, les attaquants réels essaient rarement toutes les combinaisons possibles dans l'ordre; ils utilisent généralement des dictionnaires, des listes de mots de passe connus et des règles basées sur des motifs qui trouvent les mots de passe courants ou déjà divulgués bien plus rapidement que ne le suggère la force brute. Le temps réel nécessaire pour percer un mot de passe faible mais paraissant « à forte entropie » peut donc être bien plus court que l'estimation par force brute.

Pour des mots de passe à forte entropie, les estimations de temps par force brute peuvent dépasser l'âge de l'univers plusieurs fois. Ce n'est pas une prédiction concrète du risque réel à ce stade — cela illustre simplement que la force brute seule n'est pas une méthode d'attaque viable contre ce mot de passe, donc les préoccupations de sécurité se déplacent vers d'autres vecteurs d'attaque comme l'hameçonnage ou les fuites de données.

Utilisez-le pour comparer la solidité relative de différents choix de mots de passe et comprendre pourquoi la longueur compte autant, plutôt que de traiter le chiffre exact comme une garantie littérale — la sécurité réelle d'un mot de passe dépend de bien plus que sa seule résistance à la force brute.