Le mot de passe résiste au brute force à trois conditions cumulatives : une entropie réelle suffisante, un stockage haché avec une fonction lente et salée, et une limitation de débit côté service. Si l'une manque, la protection s'effondre. Et dans la pratique, l'attaque qui fonctionne n'est presque jamais le brute force exhaustif : c'est le password spraying, qui contourne précisément la seule de ces trois conditions que la plupart des organisations ont mise en place.
Trois attaques que l'on confond sous un même mot
Parler de « brute force » recouvre des situations dont les défenses n'ont rien de commun.
- L'essai en ligne. L'attaquant interroge le service d'authentification. Le débit est limité par le réseau et par les contrôles applicatifs. C'est le cas le mieux couvert.
- L'essai hors ligne. L'attaquant a récupéré une base d'empreintes et teste sur son propre matériel, sans aucune limite de débit. Ici, seules l'entropie du secret et la lenteur de la fonction de hachage comptent.
- Le password spraying. L'attaquant essaie un petit nombre de mots de passe très probables sur un très grand nombre de comptes. Le verrouillage par compte, calibré pour l'essai en ligne, ne se déclenche jamais : chaque compte ne reçoit qu'une ou deux tentatives.
Cette distinction est décisive pour un arbitrage : durcir la politique de complexité agit sur la première et la deuxième situations, pas sur la troisième.
Ce que le mot de passe protège effectivement
Il faut lui reconnaître ce qu'il apporte. Un secret long, unique et correctement stocké rend l'essai exhaustif économiquement inintéressant, y compris hors ligne. Le salage empêche la mutualisation de l'effort entre comptes, et une fonction de dérivation lente impose un coût matériel réel à chaque tentative. Sur ce périmètre précis, la protection est mesurable et bien comprise.
Le problème n'est pas la théorie, c'est l'écart entre l'entropie calculée et l'entropie effective. Une politique qui exige une majuscule, un chiffre et un caractère spécial produit des mots de passe dont la forme est prévisible : la contrainte est satisfaite par une transformation mécanique appliquée à un mot courant. Les dictionnaires d'attaque intègrent ces règles depuis longtemps. Le calcul combinatoire théorique n'a donc aucun rapport avec le coût réel de l'attaque.
| Situation | Ce qui protège réellement | Ce qui ne sert à rien | Résultat |
|---|---|---|---|
| Essai en ligne | Limitation de débit, temporisation | Longueur au-delà d'un certain seuil | Attaque non rentable |
| Essai hors ligne sur empreintes | Entropie réelle, hachage lent et salé | Limitation de débit du service | Dépend entièrement du stockage |
| Password spraying | Détection transverse, mots de passe interdits | Verrouillage par compte | Souvent efficace pour l'attaquant |
| Attaque ciblée avec dictionnaire personnalisé | Absence de lien avec la vie de la cible | Règles de complexité | Réussite fréquente |
| Réutilisation d'un secret déjà fuité | Unicité, surveillance des fuites | Toute la robustesse du secret | Aucune protection |
Les angles morts structurels
Le premier tient au stockage, que l'utilisateur ne contrôle pas. Un mot de passe de quarante caractères stocké avec une fonction de hachage rapide, sans sel, se casse aussi vite qu'un mot de passe médiocre correctement protégé. La qualité du secret ne compense jamais un défaut d'implémentation côté service, et l'organisation qui impose la politique de complexité ignore généralement comment ses fournisseurs stockent les empreintes.
Le deuxième est le verrouillage lui-même. Bloquer un compte après cinq échecs crée un levier de déni de service : il suffit à un attaquant de provoquer volontairement les échecs pour paralyser une population entière. Beaucoup d'organisations assouplissent alors le seuil, ce qui rouvre la porte au spraying.
Le troisième, le plus lourd, est la rémanence. Un mot de passe est un secret statique : une fois deviné, il reste valide jusqu'à changement, et il conserve de la valeur ailleurs, sur d'autres services, pendant des années. L'attaquant ne devine pas un accès, il acquiert un actif durable.
Ce que change une authentification sans valeur à deviner
Le brute force suppose l'existence d'une valeur fixe, connue du serveur, qu'il est possible de retrouver par essais successifs. Supprimer cette valeur supprime l'attaque, plutôt que d'en augmenter le coût.
Deux propriétés y contribuent. Le polymorphisme fonctionnel fait varier la forme de ce qui est demandé et vérifié, si bien qu'aucune cible stable ne s'offre à l'énumération. Le principe de Moving Target Defense étend cette idée dans le temps : les paramètres changent en continu, ce qui rend inopérant tout effort d'attaque cumulatif — or le brute force est, par définition, un effort cumulatif.
C'est la logique du 4e facteur cognitif « je sais faire » : il n'y a pas de secret réutilisable à retrouver, mais une intention humaine à démontrer au moment de l'action. La question « combien de temps pour casser ce secret ? » perd alors son objet.
FAQ
Une politique de mots de passe stricte est-elle contre-productive ?
Elle l'est quand la contrainte pousse l'utilisateur vers des motifs prévisibles ou vers la réutilisation. Les référentiels récents privilégient la longueur, l'interdiction des secrets connus comme compromis et l'abandon du renouvellement périodique systématique, plutôt que l'accumulation de règles de composition.
Le verrouillage de compte est-il une bonne pratique ?
Il traite l'essai en ligne, et rien d'autre. Il crée en contrepartie un risque de déni de service et n'a aucun effet sur le spraying ni sur l'attaque hors ligne. Une temporisation progressive, associée à une détection transverse portant sur l'ensemble des comptes, est généralement préférable.
Comment détecter un password spraying ?
En raisonnant à l'échelle du système et non du compte : un nombre inhabituel de comptes distincts recevant chacun une ou deux tentatives échouées, souvent depuis un ensemble d'adresses réparties. Le signal est invisible dans les journaux d'un compte pris isolément.
Un gestionnaire de mots de passe règle-t-il le problème ?
Il traite l'entropie et l'unicité, ce qui est déjà considérable, et il réduit la charge cognitive de l'utilisateur. Il ne change rien à la nature statique du secret ni à la façon dont chaque service le stocke, et il concentre le risque sur un point unique.
Aller plus loin : le principe du facteur cognitif · le mot de passe face au credential stuffing · polymorphisme et brute force · politique de mot de passe 2026