Une attaque par force brute mise sur la répétition : des combinaisons sont testées jusqu’à trouver la bonne. En anglais, on parle de brute-force attack. La méthode paraît rudimentaire, mais les fuites de données et les mots de passe réutilisés lui donnent encore de solides occasions de réussir. Comprendre son fonctionnement aide à choisir des protections simples et efficaces.
L’article en bref
La force brute cherche un accès en multipliant les essais, mais son efficacité dépend du contexte et des défenses en place. Quelques habitudes bien choisies réduisent nettement le risque.
- Le principe : Des essais répétés cherchent un mot de passe ou une clé valide.
- Les variantes : Dictionnaires et identifiants volés accélèrent la recherche de comptes vulnérables.
- Le facteur décisif : Le traitement des mots de passe influence fortement le temps d’attaque.
- Les protections : MFA, mots de passe uniques et limitation des essais renforcent les accès.
Comprendre la méthode permet d’agir avant que le mot de passe ne devienne la porte d’entrée.
Attaque par force brute : définition et équivalent en anglais
La définition de l’attaque par force brute est simple : une personne ou un programme essaie systématiquement des valeurs possibles jusqu’à tomber sur la bonne. Il peut s’agir d’un mot de passe, d’un code PIN ou d’une clé de chiffrement. L’expression anglaise la plus courante est brute-force attack, parfois écrite avec un trait d’union, parfois sans.
Cette approche n’a rien d’un tour de passe-passe : elle remplace la finesse par le nombre d’essais. Le concept remonte aux premiers systèmes informatiques protégés par mot de passe, apparus dans les années 1960 et 1970. Depuis, les ordinateurs ont accéléré les calculs, tandis que les mécanismes de défense se sont renforcés en réponse.
Comment fonctionne une attaque brute force ?
Le fonctionnement d’une attaque brute force dépend de ce que l’attaquant peut tester et du nombre d’essais autorisés. Sur une page de connexion, il s’agit de tentatives de connexion répétées vers le service. Après une fuite de données, les mots de passe peuvent aussi être testés hors ligne sur des empreintes cryptographiques, appelées hashes.
La distinction est importante : une connexion en ligne est freinée par les limites du serveur et les dispositifs de sécurité. À l’inverse, un hash volé peut être vérifié sur du matériel contrôlé par l’attaquant, sans solliciter le site d’origine. C’est pourquoi une fuite de base de données change fortement le niveau de risque.
Les principales variantes : du dictionnaire au credential stuffing
Une recherche exhaustive teste toutes les possibilités, mais les attaques réelles commencent souvent par les choix les plus prévisibles. Les mots de passe tels que « 123456 », « password » ou « azerty » sont particulièrement exposés, car ils figurent dans des listes courantes. Une attaque par dictionnaire tente ces mots, leurs variantes et des combinaisons simples avant d’explorer davantage.
Le credential stuffing suit une autre logique : il réutilise des adresses e-mail et des mots de passe issus de fuites précédentes. Si un même identifiant sert sur plusieurs services, une compromission ancienne peut ouvrir une porte toute neuve. Le password spraying, lui, essaie un petit nombre de mots de passe fréquents sur de nombreux comptes, ce qui peut contourner certains blocages par utilisateur.
- Force brute exhaustive : tester une grande partie des combinaisons possibles, surtout risqué pour les codes courts.
- Attaque par dictionnaire : essayer d’abord des mots courants et leurs variantes prévisibles.
- Credential stuffing : réutiliser des couples identifiant-mot de passe provenant de fuites.
- Password spraying : vérifier quelques mots de passe courants sur de nombreux comptes.
Pour illustrer la défense en profondeur, on peut penser à un appareil complexe : une seule protection ne suffit pas toujours. Un dossier sur les avions de chasse français, américains, russes et chinois montre combien des systèmes différents s’appuient sur plusieurs moyens complémentaires. En cybersécurité, l’idée est similaire : combiner des barrières plutôt que compter sur une seule.
Attaques en ligne et hors ligne : pourquoi la vitesse change tout
Lors d’une attaque en ligne, le service peut ralentir ou bloquer les demandes, imposer un CAPTCHA ou déclencher un verrouillage temporaire. Avec une limitation des tentatives de connexion bien configurée, les essais sont généralement réduits à quelques-uns avant une pause ou une vérification supplémentaire. Les attaques restent possibles contre des systèmes mal protégés, mais leur coût augmente.
Hors ligne, les capacités de calcul dépendent surtout de l’algorithme utilisé pour protéger les mots de passe. Des essais réalisés sur des matériels graphiques récents peuvent atteindre des ordres de grandeur très différents : environ 100 milliards de calculs par seconde pour MD5, contre autour de 100 000 pour bcrypt avec un coût 10, selon les configurations. Ces valeurs indicatives ne prédisent pas le temps exact nécessaire pour casser un mot de passe.
MD5 et les fonctions de hachage généralistes rapides sont inadaptés au stockage des mots de passe. Des solutions conçues pour ralentir chaque vérification, comme bcrypt, scrypt et Argon2id, compliquent nettement le travail, surtout si chaque compte bénéficie d’un sel unique. Une clé moderne de chiffrement, quant à elle, présente un espace de possibilités si vaste qu’une recherche exhaustive n’est pas réaliste avec les moyens classiques.
| Situation | Ce qui ralentit ou facilite l’attaque | Réflexe utile |
|---|---|---|
| Connexion à un site | Limites d’essais, délais et détection des comportements automatisés | Activer le MFA et surveiller les connexions |
| Hashes exposés | Algorithme de stockage, coût de calcul et présence d’un sel | Choisir Argon2id, bcrypt ou scrypt avec des paramètres adaptés |
| Mot de passe réutilisé | Fuites connues sur d’autres services | Créer un mot de passe unique pour chaque compte |
Protéger ses comptes contre une attaque par force brute
La mesure la plus efficace pour un compte personnel est l’authentification multifactorielle (MFA). Elle demande une preuve supplémentaire après le mot de passe : une application d’authentification, une clé de sécurité ou une passkey. Ainsi, même si le mot de passe a été deviné ou récupéré dans une fuite, il ne suffit plus à lui seul.
Un mot de passe long, unique et généré par un gestionnaire réduit aussi les risques. Une suite aléatoire d’au moins 12 caractères est préférable à une formule compliquée mais prévisible, comme un mot suivi d’une année et d’un symbole. Les changements périodiques sans raison ne sont pas indispensables : mieux vaut modifier immédiatement un mot de passe signalé comme compromis ou utilisé sur plusieurs services.
Pour les organisations, la protection contre les attaques brute force repose sur plusieurs mesures complémentaires. Il faut limiter le rythme des essais, détecter les connexions inhabituelles, protéger les interfaces d’administration et stocker les mots de passe avec un algorithme adapté. Un CAPTCHA peut filtrer certains robots, mais il ne remplace ni le MFA ni les contrôles de débit.
- Activez le MFA sur la messagerie, les services financiers et les comptes importants.
- Utilisez un mot de passe différent pour chaque service, conservé dans un gestionnaire fiable.
- Activez les alertes de connexion et vérifiez les appareils récemment connectés.
- Changez rapidement un mot de passe compromis, puis corrigez toute réutilisation sur d’autres comptes.
- Côté organisation, protégez les accès distants avec des clés, du MFA et une surveillance des tentatives.
Les passkeys vont plus loin en remplaçant le mot de passe par une paire de clés cryptographiques liée à l’appareil et au service. Elles rendent la recherche d’un mot de passe traditionnel inopérante et réduisent aussi le risque de phishing. Leur adoption progresse, mais la coexistence avec les mots de passe reste courante.
Une défense efficace ressemble à un système bien assemblé
Dans une petite entreprise fictive, l’équipe de Nora découvre que plusieurs employés réutilisent le même mot de passe sur des services différents. Un gestionnaire de mots de passe, l’activation du MFA et une limitation des essais sur les connexions à distance ferment rapidement les portes les plus évidentes. La sécurité devient plus solide lorsqu’elle repose sur plusieurs pièces qui fonctionnent ensemble, un peu comme dans un système technique bien conçu.
La comparaison avec les technologies de pointe peut aussi aider à comprendre cette logique : un article consacré au Joint Strike Fighter et au F-22 évoque des équipements aux rôles distincts. Pour les comptes numériques, le principe reste plus simple, mais tout aussi concret : limiter les essais, protéger les identifiants et ajouter une seconde preuve d’identité.
Questions fréquentes sur la brute-force attack
Quelle est la traduction de « attaque par force brute » en anglais ?
La traduction usuelle est « brute-force attack » ou « brute force attack ». Les deux formes désignent une méthode qui teste de nombreuses possibilités afin de trouver un mot de passe, une clé ou un identifiant valide.
Un mot de passe long suffit-il à arrêter une attaque brute force ?
Un mot de passe long, aléatoire et unique résiste beaucoup mieux aux essais exhaustifs. Il ne protège toutefois pas contre le phishing, les fuites de données ou la réutilisation ; le MFA apporte une protection supplémentaire importante.
Le CAPTCHA suffit-il à bloquer les tentatives ?
Non. Il peut ralentir certains robots, mais il doit être associé à une limitation du nombre d’essais, à une détection des comportements suspects et, lorsque c’est possible, au MFA.
Faut-il changer régulièrement tous ses mots de passe ?
Pas nécessairement en l’absence de signe de compromission. Il est plus utile de choisir des mots de passe uniques et robustes, puis de les changer rapidement lorsqu’une fuite ou une activité suspecte est détectée.
