Les pubs vous déplaisent ? Aller Sans pub Auj. 

Estimateur du temps de crack d'un hachage de mot de passe

PromoteurSécurité

[iotools_password_hash_crack_time_estimator]

Guide

Estimateur de temps de crack de mot de passe

Estimateur du temps de crack d'un hachage de mot de passe

Estimer combien de temps il faudrait à un attaquant réel pour effectuer une force brute sur un mot de passe protégé par un algorithme spécifique de hachage. L'estimateur associe les vitesses de hachage de niveau Hashcat aux espaces de clés de la composition de mot de passe choisie, puis affiche un temps de crack sur quatre niveaux d'attaquants : un GPU de budget, un seul RTX 4090, un cluster professionnel de huit GPUs, et un botnet à l'échelle d'un État, composé de mille accélérateurs H100.

Contrairement aux indicateurs de force génériques, cet outil comprend que les hachages ne sont pas tous égaux. Un mot de passe de douze caractères protégé par MD5 est cassé en quelques secondes ; le même mot de passe protégé par Argon2id avec des paramètres raisonnables peut résister aux ressources d'un État-nation pendant des siècles. Le choix de l'algorithme et de ses paramètres de coût est souvent plus important que l'ajout de caractères supplémentaires.

Comment utiliser

Sélectionnez l'algorithme de hachage utilisé par votre application pour stocker les mots de passe.
Si c'est une fonction de dérivation de clé, définissez ses paramètres de coût. Pour bcrypt, c'est le facteur de coût ; pour scrypt, le paramètre N ; pour Argon2id, la mémoire en mégaoctets et le nombre d'itérations ; pour PBKDF2, le nombre d'itérations.
Entrez la longueur du mot de passe que vous souhaitez évaluer et choisissez l'ensemble de caractères qu'il utilise.
Lisez la ligne du temps de crack pour le niveau d'attaquant que vous souhaitez considérer. Le panneau de recommandation utilise le niveau du cluster professionnel comme seuil réaliste pour un attaquant en ligne motivé.
Itérez sur l'algorithme, le coût, la longueur ou l'ensemble de caractères jusqu'à ce que le verdict devienne vert pour le modèle de menace que vous défendez.

Caractéristiques

Huit algorithmes — MD5, SHA-1, SHA-256, SHA-512, bcrypt, scrypt, Argon2id, et PBKDF2-HMAC-SHA256, y compris leurs variantes salées, mémoire-intensives et à coût d'itérations.
Quatre niveaux d'attaquants — GPU de budget, un seul RTX 4090, un cluster professionnel de huit GPUs, et une flotte à l'échelle d'un État composée de mille accélérateurs H100, chacun calibré selon les benchmarks publiés de Hashcat 6.x.
Échelle du coût des fonctions de dérivation de clé — Le facteur de coût de bcrypt, le paramètre N de scrypt, la mémoire et le nombre d'itérations d'Argon2id, ainsi que les itérations de PBKDF2, redéfinissent la vitesse de hachage par niveau, de sorte que tout changement de paramètre déplace immédiatement le verdict.
Mathématiques logarithmiques — Gère les mots de passe longs et les espaces de clés importants sans déborder, de sorte qu'un mot de passe de trente-deux caractères composé de symboles produit toujours des valeurs significatives plutôt que l'infini.
Verdicts colorés — De « cassé instantanément » à « excellent », chaque ligne reçoit une piste de verdict correspondant à son intervalle de temps, ainsi qu'une recommandation globale fixée au niveau du cluster professionnel.
Six ensembles de caractères — Des PINs à un seul chiffre jusqu'à l'espace imprimable complet de 94 caractères, avec le nombre de caractères indiqué à côté de chaque option afin de savoir ce que vous achetez avec une diversité supplémentaire.

ANNONCE · Supprimer ?

 FAQ

Qu'est-ce qu'une vitesse de hachage et pourquoi varie-t-elle si fortement entre les algorithmes ?

La vitesse de hachage est le nombre de tentatives par seconde qu'un matériel peut tester contre une cible. Les conceptions rapides et non salées comme MD5 et SHA-256 sont essentiellement des passages simples dans une fonction de compression, donc un GPU moderne peut exécuter des dizaines de milliards par seconde. Les fonctions de dérivation de clé comme bcrypt, scrypt et Argon2id rendent chaque tentative coûteuse en cycles CPU, en mémoire ou les deux, ce qui réduit la vitesse de hachage de six à neuf ordres de grandeur. Ce gap est tout entier le but d'utiliser une fonction de dérivation de clé pour le stockage de mots de passe.
Pourquoi les fonctions mémoire-intensives comme scrypt et Argon2id résistent-elles mieux aux GPU que PBKDF2 ?

PBKDF2 répète simplement un HMAC de nombreuses fois, ce qui s'effectue de manière parallèle sur les milliers de petits cœurs d'un GPU. Les conceptions mémoire-intensives obligent chaque tentative à toucher un grand ensemble aléatoire en mémoire vive, ce qui révèle la bande passante mémoire limitée et les caches intégrés des cœurs GPU. Le résultat est que les attaques avec des ASIC ou des GPU perdent la plupart de leurs avantages, et le coût de la force brute augmente en fonction de l'aire de silicium que l'attaquant est prêt à acheter.
Comment le facteur de coût de bcrypt se traduit-il en temps réel ?

Le facteur de coût de bcrypt est une puissance : un coût de N exécute deux à la puissance N tours de la configuration de la clé Blowfish. Augmenter le coût de 1 double donc le temps nécessaire pour effectuer une authentification légale et le temps que l'attaquant passe par tentative. Le défenseur absorbe quelques millisecondes supplémentaires par authentification ; l'attaquant absorbe la même augmentation de double sur l'ensemble de l'espace de clés, ce qui fait que pousser le coût de 10 à 12 constitue l'un des meilleurs gains de sécurité disponibles.
Quelle est la différence entre le temps de force brute au pire cas et le temps moyen ?

Le pire cas est le temps nécessaire pour épuiser tout l'espace de clés, ce qui n'est pertinent que si l'attaquant doit trouver chaque mot de passe possible. Le temps moyen, ou attendu, est la moitié de ce temps, car en moyenne, le mot de passe correct se situe au milieu d'une recherche aléatoire uniforme. Cet estimateur affiche le cas moyen, qui est la valeur la plus souvent utilisée dans les modèles de menace cryptographique.
Ces estimations prennent-elles en compte les dictionnaires, les tables de rainbow et les fuites de données ?

Non, les estimations supposent que le mot de passe est tiré de manière uniforme au hasard dans l'ensemble de caractères choisi. Les attaquants réels commencent par des listes de mots de passe fuites, des substitutions courantes et des dictionnaires ciblés, ce qui réduit l'espace de clés efficace pour les mots de passe choisis par l'humain. Les chiffres ici représentent une borne supérieure de l'effort de l'attaquant contre un mot de passe aléatoire complet et une borne inférieure de la valeur d'utiliser une fonction de dérivation lente, un salage et un contrôle de vitesse à niveau d'application.

Envie d'une expérience sans pub ? Passez à la version sans pub



 Installez nos extensions

Ajoutez des outils IO à votre navigateur préféré pour un accès instantané et une recherche plus rapide

Sur

恵 Le Tableau de Bord Est Arrivé !

Tableau de Bord est une façon amusante de suivre vos jeux, toutes les données sont stockées dans votre navigateur. D'autres fonctionnalités arrivent bientôt !

ANNONCE · Supprimer ?