Mots de passe : combien de temps faut-il pour cracker vos identifiants
Seulement quelques secondes dans certains cas…
La société Hive Systems a publié récemment des données qui font froid dans le dos en matière de sécurité informatique. Précisément, dans son dossier, la firme rend compte du temps dont a besoin un algorithme pour forcer un mot de passe selon la longueur et la complexité de ce dernier. Et autant vous le dire tout de suite, si vous avez des mots de passe qui font moins de 10 caractères, changez-les rapidement.
De quelques secondes à plusieurs milliards d’années
La source a publié un tableau très parlant. Dans ce dernier, visible ci-dessous, on retrouve, selon le nombre de caractères du mot de passe et le fait qu’il soit complexe ou non (emploi des majuscules, des minuscules, de nombre et de symboles), la durée nécessaire pour retrouver la formule secrète grâce à la méthode dite de force brute.
On le rappelle, cette technique est la plus simple pour trouver un mot de passe. Elle utilise le stratagème suivant : essayer toutes les combinaisons possibles une à une avant de tomber sur la bonne. Le programme effectuant ces tentatives peut réussir plus ou moins rapidement selon les composants qui sous-tendent son fonctionnement. Plus le PC employé pour forcer un mot de passe de cette façon contient de cartes graphiques par exemple, plus il pourra rapidement trouver la solution.
Quoi qu’il en soit, retenez que sous un certain seuil en matière de nombre de caractère et de complexité, votre mot de passe ne vaut rien.
Selon Hive Systems, donc, cette limite ce situe vers les 10 ou 11 caractères, à à condition d’utiliser une combinaison de majuscules et de minuscules, entremêlée de chiffres et de symboles.
© Hive Systems
Quelques exemples :
- un mot de passe de 12 chiffres peut être cracké en 2 secondes
- un mot de passe complexe de 10 caractères peut être cracké en 5 mois
- pour un mot de passe complexe de 18 caractères, vous êtes tranquille, il faudrait 438 billions d’années à l’algorithme pour le retrouver
Il est conseillé pour ses mots de passe de se situer dans le vert dans le tableau, et donc d’utiliser au moins 16 caractères.
Quelques astuces pour des mots de passe sécurisés
Mais comment faire pour se souvenir de mots de passe aussi longs ? Il y a plusieurs façons de faire. Certains spécialistes en sécurité informatique, comme Edward Snowden, entre autres, conseillent d’utilise des phrases de passe plutôt que des mots de passe. Par exemple : “ceciestunsupermotdepassequepersonnenetrouvera”. Ce mot de passe fait 45 caractères, il est donc très sécurisé. Mais il a une faiblesse, il est constitué de mots communs qui s’enchaînent selon la logique de la langue française. Préférez plutôt des mots sans rapport, et ajoutez des symboles et chiffres : “$ceciest1supermot2passequepersonnenetrouvera!” ou encore “bleuPLUIEjourPOISSON1$!”.
Autre technique intéressante et encore plus sûre : utiliser un gestionnaire de mot de passe. Nous vous en avons présenté quelques-uns ici, qui contrairement à 1Password, la référence en la matière, fonctionnent sans abonnement récurrent. Vous avez là l’avantage :
- de pouvoir mettre un mot de passe par compte : cela évite, lors d’une fuite de mots de passe pour un site web, que vos autres comptes avec le même mot de passe fuité soient mis en danger
- de ne pas avoir à vous rappeler de tous les mots de passe, uniquement du principal : en outre, l’application peut bien souvent être protégée par Touch ID ou Face ID
Quelle est votre technique pour des mots de passe au top de la sécurité ?
zitounfr
30 mars 2022 à 12 h 28 min
J’utilise le gestionnaire de mdp Apple , je laisse le gestionnaire choisir les mdp a ma place , seul mots de passe à sécuriser est celui de mon compte Apple !
Didier
30 mars 2022 à 12 h 58 min
Idem j’utilise les mots de passe “robustes” créés par Apple.
Un système qui devrait etre efficace est de voir le temps doublé a chaque code faux pour retenter d’entrer un nouveau mot de passe.
V (posté avec l'app i-nfo.fr V2)
30 mars 2022 à 13 h 14 min
Les chiffres publiés ici suppose de posséder le hash MD5 du mot de passe donc l attaquant doit déjà avoir eu accès à la bdd des mots de passes encrypté. deux conséquences dans ce cas:
Allonger le temps entre deux saisies est inutile puisque l attaquant n essai même pas d utiliser le site/application pour chercher le MdP.
Vous n êtes pas automatiquement exposé puisque la base de mdp n est pas publique (mais elle peut être compromise)
Cela signifie juste que le fait de ne pas stocker le mot de passe en clair n est qu une protection relative si le MdP est faible …