Entropie d’un mot de passe : comprendre l’estimation
Découvrir le calcul de l’entropie d’un mot de passe, ses hypothèses et les limites d’une estimation en bits.
En bref
L’entropie d’un mot de passe estime en bits le nombre de possibilités à examiner selon un modèle donné. Pour un mot de passe aléatoire uniforme de longueur L composé de N caractères équiprobables, l’estimation simple est L × log₂(N). (NIST, définition de l’entropie)
Pourquoi le hasard est-il important ?
La formule suppose que chaque caractère est choisi indépendamment et uniformément. Les mots de passe créés par des personnes suivent souvent des mots, dates, motifs de clavier ou réutilisations ; ils peuvent donc être plus faciles à deviner que ne le suggère le calcul fondé sur un alphabet. Les recommandations actuelles du NIST mettent l’accent sur d’autres protections plutôt que sur des règles arbitraires de composition. (NIST SP 800-63B-4)
L’entropie indique-t-elle le temps nécessaire pour casser un mot de passe ?
Pas à elle seule. Une durée estimée dépend aussi de la vitesse de l’attaque, du hachage utilisé, du matériel et de l’exposition à une fuite. Une tentative de connexion en ligne et le craquage hors ligne d’un hachage sont deux situations différentes.
Comment utiliser un calculateur d’entropie ?
Considérez le résultat comme un ordre de grandeur pédagogique, pas comme une garantie. Préférez des mots de passe longs, uniques, générés aléatoirement et conservés dans un gestionnaire ; activez aussi l’authentification multifacteur lorsqu’elle est disponible. (Essayer le calculateur d’entropie avec un mot de passe fictif)
Découvrir les outils
Parcourir les outils gratuits ou lire nos principes de confidentialité.