100 mots de passe — le stockage change plus la réponse que la longueur

ASCII complet avec symboles 12 · 78.7 bit

• NTLM (Windows)26136.9 ans
• MD545950.7 ans
• SHA-256343132.2 ans
• WPA2 Wi-Fi10^9.5 ans
• bcrypt10^10.6 ans

Ce que porte un caractère

Ce qu’un caractère porte est le logarithme de la taille du jeu : 3,3 bits avec les chiffres seuls, 4,7 avec les minuscules, 6,6 pour les 94 caractères ASCII imprimables. La force totale, c’est cela multiplié par la longueur — d’où l’avantage d’allonger plutôt que de varier : un caractère ASCII de plus apporte 6,6 bits, alors que passer des minuscules à l’ASCII complet n’apporte que 1,9 bit par caractère.

Comment le site l’a stocké

Le même mot de passe varie d’un facteur million selon son stockage. Une RTX 4090 essaie 288,5 milliards de hachages NTLM par seconde et 164,1 milliards de MD5, mais seulement 184 mille bcrypt — bcrypt est lent à dessein. Huit caractères ASCII avec symboles tombent en moins de trois heures avec NTLM et tiennent plus de 500 ans avec bcrypt. Et l’utilisateur ne choisit pas lequel.

Une syllabe hangeul en vaut deux

Le bloc hangeul standard compte 2 350 syllabes. En comptant la syllabe entière comme un caractère, elle porte 11,2 bits — 1,7 fois un caractère ASCII. Huit syllabes hangeul battent donc treize caractères ASCII et n’atteignent pas quatorze. Le hic : beaucoup de systèmes les refusent, et sans méthode de saisie on ne peut pas les taper.

Ce que ce tableau compte et ce qu’il ignore

Les durées ici supposent un mot de passe **choisi au hasard** parcouru de bout en bout. Ceux inventés par des humains ne tiennent pas autant : mots du dictionnaire, suites de clavier, dates de naissance et le ! ou le 1 ajouté à la fin sont essayés en premier. « P@ssw0rd! » compte 59 bits pour neuf caractères ASCII, mais tombe en quelques secondes. À l’inverse, plusieurs cartes divisent la durée d’autant.

L’accident courant n’est pas le cassage

Bien plus courant : un mot de passe fuité ailleurs est simplement essayé ici. Un mot de passe qui tiendrait des années tombe le jour où le site le plus faible est piraté, s’il y servait aussi. Ne pas le réutiliser et activer un second facteur passent avant l’allongement.

chiffres seulsTaille du jeu 10

hexadécimalTaille du jeu 16

minuscules seulesTaille du jeu 26

Base32Taille du jeu 32

minuscules + chiffresTaille du jeu 36

majuscules et minusculesTaille du jeu 52

lettres + chiffresTaille du jeu 62

Base64Taille du jeu 64

ASCII complet avec symbolesTaille du jeu 94

syllabes hangeulTaille du jeu 2350

Comment lire

• Bits par caractère = log2(taille du jeu). Multiplié par la longueur pour le total.
• Temps de cassage = moitié des combinaisons ÷ essais par seconde.
• Les vitesses sont des mesures hashcat publiées sur une RTX 4090.
• Elles supposent un mot de passe aléatoire. Ceux inventés tombent bien plus vite.

• NTLM (Windows)2.89e+11 /s
• MD51.64e+11 /s
• SHA-2562.20e+10 /s
• WPA2 Wi-Fi2.53e+6 /s
• bcrypt1.84e+5 /s