Password Hashing : comment les sites web conservent réellement vos mots de passe

Nous plongeons dans le monde des fonctions de hash cryptographiques, nous expliquons la différence avec le cryptage et nous vous montrons pourquoi des techniques comme le « salting » sont aujourd'hui indispensables. Découvrez pourquoi un bon système n'a pas besoin de connaître votre mot de passe pour savoir qu'il est correct. Ces connaissances vous aident à comprendre pourquoi certaines règles de sécurité (comme la longueur du mot de passe) sont si importantes. Bienvenue dans la salle des machines de la cybersécurité.

La différence la plus importante d'abord : le cryptage est une voie à double sens. Avec la bonne clé, on peut ramener les données à leur état d'origine. Le hashing, en revanche, est une voie à sens unique. Une fonction de hash prend une entrée (votre mot de passe) et en calcule une valeur fixe (le hash).

À partir de ce hash, il est mathématiquement impossible de recalculer l'entrée d'origine. Lorsque vous vous connectez, le site web recalcule le hash de votre saisie et le compare à la valeur enregistrée dans la base de données. Si les deux correspondent, c'est que le mot de passe était correct. L'astuce : l'entreprise elle-même ne connaît à aucun moment votre mot de passe en clair. Même si la base de données est volée, les voleurs n'obtiennent que les hashs, dont ils ne peuvent pas faire grand-chose sans une puissance de calcul massive.

Les hackers sont malins. Ils calculent à l'avance les hashs de millions de mots de passe courants (ce qu'on appelle des Rainbow Tables). Si deux personnes utilisent le même mot de passe, elles ont le même hash. Si le hacker trouve ce hash dans la liste, il connaît aussitôt le mot de passe.

C'est là qu'intervient le « salting ». Un « Salt » est une chaîne de caractères aléatoire qui est ajoutée à votre mot de passe avant le hashing. Résultat : même si deux personnes ont le même mot de passe, elles génèrent des hashs totalement différents grâce à des Salts distincts. Cela rend impossible l'utilisation de Rainbow Tables. Chaque mot de passe doit être cassé individuellement et au prix d'efforts énormes. Un bon système génère pour chaque mot de passe un nouveau Salt aléatoire. C'est une méthode simple, mais extrêmement efficace, pour repousser les attaques de masse.

Normalement, nous voulons que les ordinateurs travaillent le plus vite possible. Avec le hashing, c'est l'inverse. Les bons algorithmes de hashing comme Argon2 ou bcrypt sont volontairement conçus pour être « lents ». Ils nécessitent quelques millisecondes de temps de calcul supplémentaires par opération.

Pour un utilisateur normal, ce délai est imperceptible. Mais pour un hacker qui veut tester des milliards de combinaisons par seconde, il représente un obstacle insurmontable. Chaque milliseconde supplémentaire par tentative s'additionne, sur des milliards de tentatives, pour atteindre des siècles de temps de calcul. Le temps est ici la monnaie de la sécurité. Ainsi, lorsque vous utilisez de longs mots de passe, vous forcez les algorithmes à donner le meilleur d'eux-mêmes, ce qu'aucun attaquant ne peut assumer économiquement. La cybersécurité est souvent une course contre le temps.

Lorsque vous entendez parler aux informations d'un « Leak » au cours duquel des millions de mots de passe ont été volés, cela signifie le plus souvent que la base de données contenant les hashs a été dérobée. Le danger pour vous dépend alors de la qualité de la protection de ces hashs.

Étaient-ils salés et hashés avec un algorithme moderne ? Dans ce cas, vos données sont relativement en sécurité, à condition que votre mot de passe n'ait pas été extrêmement simple (comme « passwort123 »). Les hackers recourent alors à la « Brute Force » : ils essaient tout simplement des mots de passe, en calculent le hash et regardent s'ils correspondent au butin. C'est pourquoi la longueur de votre mot de passe est si déterminante – elle augmente tellement le nombre de combinaisons possibles qu'une correspondance devient statistiquement impossible. Chez SavePaper.work, nous recommandons donc toujours d'utiliser notre générateur de mots de passe.

Comprendre le hashing vous montre pourquoi certains comportements sont si importants. Voici 3 leçons tirées de la technique :

1. La longueur du mot de passe est reine : plus le mot de passe est long, plus le hash est inutile pour une attaque par force brute.
2. Unicité : si un hash est cassé, il ne devrait valoir que pour un seul service.
3. Confiance dans la technique : utilisez des services qui appliquent des standards modernes (comme Argon2).
   
   Le savoir technique dissipe la peur du monde numérique et la remplace par une action compétente. Chez SavePaper.work, nous souhaitons vous accompagner sur ce chemin et vous mettre entre les mains les outils dont vous avez besoin pour votre sécurité. L'éducation est la meilleure protection.