Logo Xorvian
Xorvian
Retour à tous les guides
SECURITY9 min2026-09

Cybersécurité & Mots de Passe : Entropie, Algorithmes de Hachage et Protection des Données

Comprendre la résistance cryptographique d'un mot de passe : formule de Shannon, attaques par force brute, fonctions de dérivation (Argon2, bcrypt) et bonnes pratiques 2FA.

À l'ère des fuites de données massives et des clusters de calcul GPU capables de tester des milliards de combinaisons par seconde, la robustesse des mots de passe est la première ligne de défense de votre vie numérique.

Ce guide explore les fondements mathématiques de l'entropie de l'information, le fonctionnement des fonctions de hachage modernes et les règles pour concevoir des identifiants inviolables.

1. Qu'est-ce que l'Entropie d'un Mot de Passe ?

L'entropie mesure le degré d'imprévisibilité et de désordre d'un mot de passe, exprimé en bits selon la théorie de Claude Shannon :

E = L × log2(R)

Où L est la longueur en nombre de caractères et R la taille du réservoir de caractères utilisés (26 pour les minuscules, 52 avec majuscules, 62 avec chiffres, 95 avec symboles spéciaux).

Un mot de passe possédant 80 bits d'entropie nécessite 2^80 opérations pour être cassé par force brute, ce qui représente des millénaires de calcul pour les supercalculateurs actuels.

Temps moyen pour casser un mot de passe par force brute (Cluster 8x RTX 4090)
Longueur & CompositionEntropie approximativeTemps d'attaque
8 caractères (chiffres seuls)~ 26 bitsInstantané (< 1 ms)
8 caractères (minuscules + chiffres)~ 41 bitsMoins de 2 minutes
12 caractères (alphanumérique + symboles)~ 78 bitsEnviron 200 ans
16 caractères (mélange complet aléatoire)~ 105 bitsPlusieurs millions d'années

2. Hachage Cryptographique : Salage, Poivrage et Fonctions Lentes

Les systèmes sécurisés ne stockent jamais les mots de passe en clair dans leurs bases de données, mais sous forme d'empreinte hachée unidirectionnelle.

• Fonctions obsolètes : MD5 et SHA-1 ne doivent plus JAMAIS être utilisés pour des mots de passe car ils sont vulnérables aux attaques par collision et aux tables arc-en-ciel (rainbow tables).

• Le Sel (Salt) : Une chaîne aléatoire unique ajoutée à chaque mot de passe avant le hachage pour empêcher les attaques par dictionnaire précalculé.

• Fonctions modernes mémoire-dures : Argon2id (vainqueur de la Password Hashing Competition) et bcrypt intègrent un facteur de coût temporel et mémoire qui ralentit drastiquement les tentatives d'attaque GPU/ASIC.

Recommandation ANSSI & NIST

Privilégiez une phrase de passe de 4 ou 5 mots aléatoires (ex: 'tulipe-fusil-verger-cascade') plutôt qu'un mot court bourré de substitutions prévisibles comme 'P@ssw0rd!'.

3. La Double Authentification (2FA / MFA)

Même avec un mot de passe robuste, activez systématiquement l'authentification à deux facteurs :

• Privilégiez les applications d'authentification TOTP (Time-based One-Time Password) conformes au standard RFC 6238 ou les clés de sécurité physiques FIDO2 / WebAuthn.

• Évitez le 2FA par SMS si une alternative existe, en raison des risques de SIM-swapping.

Questions Fréquentes

Réponses aux questions courantes sur ce sujet.

Outils Interactifs Liés à ce Guide

Utilisez gratuitement ces outils pour appliquer directement les concepts de ce guide.

Générateur de mot de passe

Mots de passe robustes.

Générateurs
Mot de passe aléatoire

Mots de passe mémorisables.

Générateurs
Générateur d'UUID

Identifiants uniques v4.

Générateurs
Encodeur Base64

Encodez du texte en Base64.

Texte