Points clés
● Nous avons ajouté à notre service Breached Password Protection plus de 70 millions de mots de passe compromis (provenant de honeypots et de sources de renseignement sur les menaces).
● Les GPU grand public récents (référence : RTX 5090) permettent aujourd’hui à des configurations louées en cloud (machines à 8–16 GPU) d’atteindre des hashrates nettement supérieurs. Pour notre étude, nous avons pris comme configuration de référence une instance équipée de 8 RTX 5090.
● Nous avons recalculé les temps de cassage en nous basant sur des facteurs de coût bcrypt réalistes pour 2025 (≥ 10), et non plus sur les anciens benchmarks de Hashcat.
● Conclusion synthétique : les mots de passe courts et courants restent vulnérables ; en revanche, des mots de passe ou phrases de passe longs (≥ 12–18 caractères) et diversifiés restent hors de portée pratique des attaques massives, grâce à la lenteur voulue de bcrypt.
Méthodologie
Un échantillon de 750 000 mots de passe (extrait de rockyou.txt) a été haché avec des facteurs de coût 10, 12 et 14. Les hachages ont ensuite été soumis à des attaques par dictionnaire, masque et force brute sur une instance cloud équipée de 8 RTX 5090 pour mesurer les hashrates et estimer les temps de cassage moyens selon la complexité et la longueur des mots de passe.
Résultats marquants
● Les mots de passe faibles restent un risque majeur : des combinaisons simples, courtes et très répandues (« password », « 123456 », « admin ») peuvent être cassées en quelques minutes seulement, même avec un facteur de coût élevé. Ces usages continuent de représenter une vulnérabilité critique pour les organisations.
● La longueur reste la meilleure défense : dès que l’on dépasse les 12 caractères avec une diversité minimale (majuscules, minuscules, chiffres, symboles), le temps de cassage grimpe de façon exponentielle. Dans la majorité des scénarios testés, un mot de passe de 12–14 caractères robustes devient virtuellement imprenable, même avec une infrastructure à 8 GPU haut de gamme.
● Un rééquilibrage constant entre puissance et complexité : la nouvelle génération de GPU (RTX 5090) est environ 65 % plus rapide que les RTX 4090 sur bcrypt. Mais dans le même temps, l’augmentation des facteurs de coût (10, 12, 14) ralentit considérablement les attaques, repoussant toujours plus loin le temps nécessaire pour casser un mot de passe complexe.
● Un message clair pour la sécurité des entreprises : si la course à la performance matérielle rend les attaques plus accessibles, elle confirme aussi qu’une politique de mots de passe bien conçue — longueur, complexité et protection contre les mots compromis — suffit encore à placer la barre trop haut pour les attaquants.
Recommandations opérationnelles
Pour réduire le risque en cas de fuite de hachages bcrypt, Specops recommande de combiner plusieurs mesures :
1. Imposer une longueur minimale de 18 caractères ou encourager fermement les phrases de passe longues.
2. Exiger plusieurs classes de caractères (majuscules, minuscules, chiffres, symboles) ou privilégier les phrases de passe.
3. Bloquer les mots liés à l’organisation via dictionnaires personnalisés (outil utile : CeWL pour extraire des mots depuis les ressources publiques).
4. Activer Specops Breached Password Protection et Specops Password Policy pour interdire automatiquement les mots de passe compromis et appliquer des contrôles continus.
5. Envisager Argon2 ou augmenter le facteur bcrypt en fonction du débit d’authentification acceptable (conformité recommandée avec NIST SP 800-63B).
