Analyseur et vérificateur de force de mot de passe

L'entropie d'un mot de passe mesure le caractère aléatoire d'un mot de passe en bits. Elle est calculée comme log2(taille_du_pool ^ longueur), où taille_du_pool est le nombre de caractères possibles. Une entropie plus élevée signifie plus de combinaisons possibles qu'un attaquant doit essayer. Un mot de passe avec 40 bits d'entropie a environ un billion de combinaisons, tandis que 80 bits en a plus d'un sextillion — rendant la force brute impraticable.

Les attaquants maintiennent des listes des mots de passe les plus couramment utilisés et de leurs variations l33t speak. P@ssw0rd apparaît dans pratiquement tous les dictionnaires de mots de passe, il serait donc craqué en quelques secondes quelle que soit la diversité de ses caractères. Les attaques basées sur des motifs testent les substitutions connues (@ pour a, 0 pour o, 3 pour e) avant la force brute.

Pour les mots de passe protégés par des algorithmes de hachage lents modernes comme bcrypt, 12 à 16 caractères avec des types de caractères mixtes offrent une protection solide. Pour les systèmes utilisant des hachages rapides comme MD5 ou SHA-1, des mots de passe plus longs (16-20+) sont nécessaires. Les phrases de passe de 4 à 5 mots aléatoires (20-30 caractères) offrent à la fois sécurité et mémorabilité.

Une marche de clavier est un mot de passe créé en appuyant sur des touches adjacentes en séquence, comme qwerty, asdfgh, ou zxcvbn. Ces motifs semblent aléatoires pour les utilisateurs mais sont bien connus des attaquants. Les outils de craquage de mots de passe incluent des dictionnaires de marches de clavier qui testent ces motifs tôt dans une attaque, les rendant beaucoup plus faibles que leur longueur ne le suggère.