Pourquoi votre mot de passe complexe est en réalité plus faible qu'une phrase de 5 mots

Le critère déterminant pour la sécurité d'un mot de passe n'est pas la complexité des caractères (majuscules, chiffres, symboles), mais son entropie, c'est-à-dire son degré d'aléatoire. Les recommandations classiques, issues du NIST en 2003, sont désormais considérées comme obsolètes et inefficaces par leur propre auteur, Bill Burr.

Un mot de passe comme « Gustave041290 » semble complexe, mais il est vulnérable. Un attaquant n'utilise pas une force brute naïve (tenter toutes les combinaisons). Il procède par osint (recueil d'informations publiques) pour identifier les éléments personnels (prénom, date de naissance) et utilise des outils de craquage (comme John the Ripper) dotés de « rulesets ». Ces ensembles de règles simulent les transformations humaines classiques (remplacer 'a' par '4', ajouter des symboles), réduisant l'espace de recherche de milliards de combinaisons à quelques milliers. Le mot de passe tombe alors en quelques minutes.

Exemple : Si votre Instagram mentionne votre partenaire « Gustave » et votre Facebook votre date de naissance, un mot de passe basé sur ces données avec des transformations simples (Gustave041290) est immédiatement craquable. La sécurité réelle vient d'une phrase de plusieurs mots aléatoires ou d'une génération aléatoire, qui offre une entropie élevée et ne peut pas être déduite par des règles prédictibles.