Brute Force (Force Brute)

Définition

L'attaque par force brute, ou brute force, est une méthode d'attaque systématique consistant à tester méthodiquement l'ensemble des combinaisons possibles d'un mot de passe, d'une clé de chiffrement ou d'un identifiant, jusqu'à identifier la valeur correcte permettant d'obtenir un accès non autorisé. Cette approche se décline en plusieurs variantes selon la stratégie employée : la force brute exhaustive pure, testant systématiquement chaque combinaison possible d'un espace de valeurs donné, dont la faisabilité pratique dépend directement de la longueur et de la complexité de la valeur ciblée, l'attaque par dictionnaire, plus efficace car elle teste en priorité les mots de passe les plus fréquemment utilisés issus de listes construites à partir de fuites de données antérieures, et l'attaque hybride, combinant un dictionnaire de base avec des variations systématiques (ajout de chiffres, substitutions de caractères) reproduisant les habitudes réelles de composition des utilisateurs. La faisabilité d'une attaque par force brute dépend fortement de la fonction de hachage utilisée pour stocker les mots de passe côté serveur : des fonctions lentes et itérées comme bcrypt, scrypt ou Argon2 ralentissent considérablement les tentatives comparées à un simple MD5 ou SHA-1 non salé. Les contre-mesures incluent le verrouillage de compte après un nombre défini de tentatives échouées, le rate limiting, et surtout l'authentification multi-facteurs qui neutralise l'intérêt même d'un mot de passe deviné.