100 mots de passe — le stockage change plus la réponse que la longueur
Bits d’entropie et temps de cassage pour chaque croisement de 10 jeux de caractères et 10 longueurs. Les vitesses ne sont pas inventées : ce sont des mesures hashcat publiées sur une seule RTX 4090.
ASCII complet avec symboles 12 · 78.7 bit
- NTLM (Windows)26136.9 ans
- MD545950.7 ans
- SHA-256343132.2 ans
- WPA2 Wi-Fi10^9.5 ans
- bcrypt10^10.6 ans
Ce que porte un caractère
Ce qu’un caractère porte est le logarithme de la taille du jeu : 3,3 bits avec les chiffres seuls, 4,7 avec les minuscules, 6,6 pour les 94 caractères ASCII imprimables. La force totale, c’est cela multiplié par la longueur — d’où l’avantage d’allonger plutôt que de varier : un caractère ASCII de plus apporte 6,6 bits, alors que passer des minuscules à l’ASCII complet n’apporte que 1,9 bit par caractère.
Comment le site l’a stocké
Le même mot de passe varie d’un facteur million selon son stockage. Une RTX 4090 essaie 288,5 milliards de hachages NTLM par seconde et 164,1 milliards de MD5, mais seulement 184 mille bcrypt — bcrypt est lent à dessein. Huit caractères ASCII avec symboles tombent en moins de trois heures avec NTLM et tiennent plus de 500 ans avec bcrypt. Et l’utilisateur ne choisit pas lequel.
Une syllabe hangeul en vaut deux
Le bloc hangeul standard compte 2 350 syllabes. En comptant la syllabe entière comme un caractère, elle porte 11,2 bits — 1,7 fois un caractère ASCII. Huit syllabes hangeul battent donc treize caractères ASCII et n’atteignent pas quatorze. Le hic : beaucoup de systèmes les refusent, et sans méthode de saisie on ne peut pas les taper.
Ce que ce tableau compte et ce qu’il ignore
Les durées ici supposent un mot de passe **choisi au hasard** parcouru de bout en bout. Ceux inventés par des humains ne tiennent pas autant : mots du dictionnaire, suites de clavier, dates de naissance et le ! ou le 1 ajouté à la fin sont essayés en premier. « P@ssw0rd! » compte 59 bits pour neuf caractères ASCII, mais tombe en quelques secondes. À l’inverse, plusieurs cartes divisent la durée d’autant.
L’accident courant n’est pas le cassage
Bien plus courant : un mot de passe fuité ailleurs est simplement essayé ici. Un mot de passe qui tiendrait des années tombe le jour où le site le plus faible est piraté, s’il y servait aussi. Ne pas le réutiliser et activer un second facteur passent avant l’allongement.
Chercher par jeu et longueur
Taille du jeu · Longueur
chiffres seulsTaille du jeu 10
hexadécimalTaille du jeu 16
minuscules seulesTaille du jeu 26
Base32Taille du jeu 32
minuscules + chiffresTaille du jeu 36
majuscules et minusculesTaille du jeu 52
lettres + chiffresTaille du jeu 62
Base64Taille du jeu 64
ASCII complet avec symbolesTaille du jeu 94
syllabes hangeulTaille du jeu 2350
Comment lire
- Bits par caractère = log2(taille du jeu). Multiplié par la longueur pour le total.
- Temps de cassage = moitié des combinaisons ÷ essais par seconde.
- Les vitesses sont des mesures hashcat publiées sur une RTX 4090.
- Elles supposent un mot de passe aléatoire. Ceux inventés tombent bien plus vite.
- NTLM (Windows)2.89e+11 /s
- MD51.64e+11 /s
- SHA-2562.20e+10 /s
- WPA2 Wi-Fi2.53e+6 /s
- bcrypt1.84e+5 /s
Questions fréquentes
QCombien de caractères faut-il ?
Cela dépend du stockage. Douze caractères ASCII avec symboles font 78,7 bits : 26 000 ans face à NTLM, 41 milliards face à bcrypt. À huit caractères, NTLM tombe en moins de trois heures.
QAllonger ou ajouter des symboles ?
Le plus souvent allonger. Un caractère ASCII de plus apporte 6,6 bits ; passer des minuscules à l’ASCII complet n’apporte que 1,9 bit par caractère.
QLe hangeul est-il plus fort ?
Chaque syllabe porte 11,2 bits, 1,7 fois un caractère ASCII. Mais peu de systèmes l’acceptent et sans méthode de saisie on ne peut pas le taper.
QCes durées sont-elles réelles ?
Elles supposent un mot de passe aléatoire parcouru entièrement. Ceux inventés tombent bien plus vite face aux attaques par dictionnaire.
QQu’est-ce qui compte le plus ?
Ne pas le réutiliser. Essayer ailleurs un mot de passe fuité est une attaque bien plus courante que le cassage.