La force d’un mot de passe, c’est le nombre de permutations possibles puissance le nombre de fois qu’on doit permuter : xʸ.

Un mot de passe de 4 chiffres : 10⁴. Un mot de passe de 8 lettres minuscules : 26⁸.

Ces chiffres deviennent vite grands, alors on va prendre le chiffre rond le plus proche et compter les zéros, et on va considérer ça la force du mot de passe. 10⁴ = 10 000 → force de 4. 26⁸ → force de 11.

Augmenter y augmente beaucoup plus vite la force qu’augmenter x : rajouter un caractère dans le mot de passe. Mais si x est très grand, ça augmente pas mal quand même ! Et c’est tout l’intérêt de la passphrase.

Si on prend 26 lettres minuscules, 26 majuscules, 10 chiffres et 8 symboles courants, ça fait 70 caractères possibles. Mais si on prend un mot au hasard dans un dictionnaire de 8000, ça fait 8000 possibilités ! La force d’un mot de passe de 5 mots dans cette liste est de 19.

Si on prend un mot de passe classique complexe, il faut 11 caractères pour atteindre cette force. Si on rajoute un mot ? Force de 23. Comme un mot de passe classique de 13 caractères. Alors la force d’un mot de passe de 13 caractères c’est pas assez dans l’absolu.

Il faut au moins 16 caractères, une force de 29. Mais… en vrai il n’y a pas que 8000 mots. D’où l’importance de ne pas les choisir soi-même mais au hasard avec un générateur pour éviter de se concentrer sur les plus courants.

Et puis il y a les langues : avec ou sans accent, « école » ? Et est-ce que le dictionnaire contient du français ? Et puis on peut quand même avoir glissé une majuscule quelque part. Ou un chiffre d’ailleurs.

Et il y a cette histoire de séparateur. Si tout le monde utilise - et que les pirates le savent, on a la force que je décris au-dessus. Mais si ça change ? Imaginez qu’on utilise un des dix symboles les plus courants (dont espace) comme séparateur, au hasard : on rajoute un 0 de force déjà. Gratuitement. Et on peut changer le séparateur comme on veut en fait. Décider de le doubler parfois.

Une passphrase est plus facile à retenir et peut être utilisée comme une arme solide de complexification. cheval-Ventouse—4ministres-action—vacances devient un monstre de complexité pour une attaque.