20 caractères de Base32 — 100 bits

Comment le site l’a stocké

• NTLM (Windows)10^10.8 ans
• MD510^11.1 ans
• SHA-25610^12 ans
• WPA2 Wi-Fi10^15.9 ans
• bcrypt10^17 ans

Le même mot de passe varie d’un facteur million selon son stockage. Une RTX 4090 essaie 288,5 milliards de hachages NTLM par seconde et 164,1 milliards de MD5, mais seulement 184 mille bcrypt — bcrypt est lent à dessein. Huit caractères ASCII avec symboles tombent en moins de trois heures avec NTLM et tiennent plus de 500 ans avec bcrypt. Et l’utilisateur ne choisit pas lequel.

Ce que ce tableau compte et ce qu’il ignore

Les durées ici supposent un mot de passe **choisi au hasard** parcouru de bout en bout. Ceux inventés par des humains ne tiennent pas autant : mots du dictionnaire, suites de clavier, dates de naissance et le ! ou le 1 ajouté à la fin sont essayés en premier. « P@ssw0rd! » compte 59 bits pour neuf caractères ASCII, mais tombe en quelques secondes. À l’inverse, plusieurs cartes divisent la durée d’autant.

Longueurs voisines

Même jeu, autres longueurs

Même longueur, autres jeux

L’accident courant n’est pas le cassage

Bien plus courant : un mot de passe fuité ailleurs est simplement essayé ici. Un mot de passe qui tiendrait des années tombe le jour où le site le plus faible est piraté, s’il y servait aussi. Ne pas le réutiliser et activer un second facteur passent avant l’allongement.

Comment lire

• Bits par caractère = log2(taille du jeu). Multiplié par la longueur pour le total.
• Temps de cassage = moitié des combinaisons ÷ essais par seconde.
• Les vitesses sont des mesures hashcat publiées sur une RTX 4090.
• Elles supposent un mot de passe aléatoire. Ceux inventés tombent bien plus vite.