Comment utiliser cette calculatrice
- Saisissez la longueur du mot de passe envisagée.
- Sélectionnez les jeux de caractères utilisés : minuscules, majuscules, chiffres, symboles.
- Consultez l'entropie en bits et le temps estimé pour le déchiffrer hors ligne.
- Comparez une phrase de passe plus longue à une chaîne courte et complexe pour observer la différence.
Méthode de calcul
L'entropie suppose un mot de passe aléatoire et est égale à longueur × log₂(taille du jeu de caractères). Un mot de passe de 10 caractères issu d'un jeu alphanumérique de 62 caractères contient environ 59,5 bits ; ajouter des symboles porte le jeu à 95 et donne 65,7 bits, tandis que le simple ajout de quatre caractères alphanumériques supplémentaires donne 83,4 bits. Comme la longueur agit comme un multiplicateur et la taille du jeu uniquement comme un logarithme, rallonger un mot de passe est toujours plus efficace que d'ajouter des types de caractères.
Les mots de passe réels sont rarement aléatoires, et c'est là que réside la limite du calcul. Les mots du dictionnaire, les noms, les dates et les substitutions prévisibles telles que « a » par « @ » réduisent l'entropie effective bien en dessous de la valeur théorique, car les attaquants recherchent des motifs avant d'utiliser la force brute. Les estimations de temps de déchiffrement dépendent également du mode de stockage du hachage par le site : un hachage rapide non salé cède en quelques secondes, tandis qu'un hachage bcrypt ou Argon2 correctement configuré est infiniment plus lent à attaquer.
Formule et références
Bits d'entropie = longueur × log₂(taille du jeu de caractères) ; tentatives ≈ 2^bits ; temps = tentatives / tentatives par seconde
Directives NIST SP 800-63B sur l'identité numérique, qui privilégient la longueur et le filtrage des mots de passe compromis par rapport aux règles de composition.
Exemple de calcul
Comparaison de « Xk7!qR2z » (8 caractères, toutes classes confondues) avec « copper-lantern-drift-92 » (23 caractères, minuscules, chiffres et trait d'union).
- Premier : log₂(95) = 6,57 bits par caractère × 8 = 52,6 bits.
- Deuxième : un jeu de 37 donne log₂(37) = 5,21 bits × 23 = 119,8 bits.
- À 100 milliards de tentatives par seconde, 52,6 bits cèdent en moins d'une heure.
La longue phrase de passe offre plus du double d'entropie et est également plus facile à mémoriser, malgré l'utilisation de moins de types de caractères.
Questions fréquentes
Un mot de passe plus long est-il meilleur qu'un mot de passe plus complexe ?
Oui. Chaque caractère supplémentaire multiplie l'espace de recherche, tandis que l'ajout d'une classe de caractères ne fait qu'élargir la base. Une phrase de passe mémorisable de quatre mots surpasse une courte suite de symboles.
Une entropie élevée signifie-t-elle que mon compte est sécurisé ?
Non. L'entropie mesure uniquement la résistance aux attaques par force brute. Un mot de passe fort qui a fait l'objet d'une fuite de données, a été victime d'hameçonnage ou a été réutilisé ailleurs est déjà compromis. D'où l'importance de mots de passe uniques et de l'authentification à deux facteurs.
Les changements périodiques et obligatoires de mot de passe sont-ils utiles ?
Les recommandations actuelles du NIST déconseillent l'expiration de routine, car elle incite les utilisateurs à adopter des variations prévisibles. Modifiez plutôt un mot de passe en cas de suspicion de compromission.
Les estimations de temps de déchiffrement sont-elles fiables ?
Elles ne donnent qu'un ordre de grandeur. La vitesse réelle dépend de l'algorithme de hachage, de son facteur de travail, du salage éventuel du hachage et du matériel de l'attaquant, c'est pourquoi les chiffres varient de plusieurs ordres de grandeur d'un site à l'autre.