Brute force : définition, méthodes et protections
Brute force : attaques par force brute en informatique
L'attaque par force brute est une technique d'intrusion qui enchaîne 1 000 000 de tentatives de mot de passe par seconde contre un compte, un serveur ou un coffre, jusqu'à ce que la combinaison exacte soit trouvée. Elle ne cherche aucun point faible dans le code : elle épuise simplement l'espace des possibles, ce qui en fait la méthode la plus prévisible et, une fois bien contre-mesurée, la plus facile à bloquer.
Ce qui compte n'est pas la puissance de l'outil mais la régularité des essais. La force brute se juge sur ses 3 variantes, ses 5 familles de cibles et ses 4 contre-mesures ; c'est cette arithmétique qu'il faut retenir.
Comment fonctionne une attaque par force brute ?
Une attaque par force brute fonctionne par élimination pure : un logiciel génère des combinaisons de caractères, les soumet une par une à un champ de connexion et recommence jusqu'au succès. Le temps que cela prend dépend de la taille de l'espace des possibles, c'est-à-dire du nombre de combinaisons à essayer. Un code PIN de 4 chiffres n'ouvre que 10 000 combinaisons, un code de 6 chiffres en offre 1 000 000 et un mot de passe de 8 caractères aléatoires environ 6 600 000 000 000 000 : plus l'espace est grand, plus la force brute s'use.
Le point faible n'est pas l'ordinateur, c'est la régularité : comme chaque essai coûte le même temps, un attaquant sait exactement combien d'énergie consacrer à une cible. C'est ce qui distingue la force brute d'un cheval de Troie, qui s'introduit par ruse sans rien tester ; si la question « Qu'est-ce qu'un cheval de Troie (trojan) ? » vous traverse, retenez qu'un trojan cache un programme malveillant dans un fichier apparemment légitime, là où la force brute frappe toujours au champ de mot de passe et se décline en 3 variantes.
Quelles sont les 3 variantes d'attaque par force brute ?
Les attaques par force brute se déclinent en 3 variantes, du plus lent au plus ciblé : la force brute pure, l'attaque par dictionnaire et l'attaque hybride.
| Variante | Principe | Vitesse | Cible idéale |
|---|---|---|---|
| Force brute pure | Énumère chaque combinaison possible, sans sauter aucune | Lente | Codes courts, PIN de 4 chiffres |
| Attaque par dictionnaire | Rejoue une liste de mots réels, les plus courants d'abord | Rapide | Mots de passe faibles, mot suivi d'un chiffre |
| Attaque hybride | Enchaîne un mot et des mutations, du type mot2024 | Très rapide | Mots « améliorés » par une date ou un @ |
La force brute pure ne lit rien : elle décompte l'alphabet, de la première combinaison à la dernière. L'attaque par dictionnaire part d'une liste de 10 000 mots les plus utilisés, souvent complétée par des noms propres et des mots de passe déjà fuités dans d'autres bases. L'hybride combine les deux en appliquant des règles : transformer « soleil » en « soleil2024 », en « S0LEIL@ » ou en « soleil! ». C'est pourquoi un mot de passe du type mot + 2 chiffres tombe si vite, et c'est aussi ce qui sépare la force brute de l'attaque par dictionnaire, une nuance qu'il faut regarder de près.
Force brute ou attaque par dictionnaire : quelle différence ?
La différence entre force brute et attaque par dictionnaire tient à la liste d'essais : la force brute énumère toutes les combinaisons possibles, du premier au dernier, sans jamais sauter ; le dictionnaire ne rejoue qu'une liste de mots réels, ce qui le rend plus rapide mais plus fragile. Sur un mot de passe faible, le dictionnaire gagne ; sur un mot de passe fort et aléatoire, seul le passage en force brute pure finit par payer.
En pratique, un attaquant lance les 2 dans l'ordre : dictionnaire d'abord, car c'est gratuit, puis force brute pure si le dictionnaire échoue. C'est le même raisonnement qu'un programmeur qui cherche une solution en algorithmique : on essaie d'abord la méthode simple, comme l'énumération brute pour le sac à dos, avant de passer à un algorithme plus malin. Quelle que soit la variante retenue, elles visent au bout du compte les mêmes cibles.
Quelles cibles visent les attaques par force brute ?
Les cibles d'une attaque par force brute partagent un point commun : elles exposent un point d'accès où l'on peut réessayer sans fin, sans être détecté immédiatement. On les retrouve dans 5 familles.
- Comptes en ligne, comme les e-mails, les banques et les réseaux sociaux, via le formulaire de connexion
- Wi-Fi domestique et professionnel, où l'attaque teste les clés WPA à la suite
- Coffres et disques chiffrés, comme les images BitLocker ou les dossiers protégés
- Applications mobiles et API, quand aucune limite de tentative n'est posée
- Serveurs de messagerie, exposés via les ports IMAP et SMTP
Le Wi-Fi mérite une attention particulière : une clé WPA2 de 10 caractères n'offre qu'un espace que la force brute peut réduire en quelques semaines si rien ne la freine. C'est exactement ce qu'exploitent les vérificateurs de mot de passe, ces outils qui testent des milliers de clés à la suite jusqu'à la bonne. Ces cibles laissent des traces que la détection sait repérer.
Comment détecter une attaque par force brute ?
Pour détecter une attaque par force brute, surveillez le rythme des échecs de connexion : une seule adresse qui échoue 10 fois par minute est un signal d'alarme. La détection repose sur 3 traces.
- Le journal d'authentification, qui enregistre chaque échec avec son adresse et son horodatage
- Le nombre de tentatives par compte, qui explose bien plus vite que la normale
- Le trafic réseau, quand des dizaines de connexions convergent vers un même champ de mot de passe
Les plateformes modernes intègrent cette détection en interne. Keycloak, le serveur d'authentification, peut bloquer automatiquement une adresse après un seuil d'échecs, et des suites de sécurité comme Malwarebytes repèrent les outils de force brute installés sur une machine. La détection ne sert qu'à une chose : déclencher la contre-mesure au bon moment.
Quelles contre-mesures arrêtent une attaque par force brute ?
Pour arrêter une attaque par force brute, combinez 4 contre-mesures qui jouent ensemble : le verrouillage de compte, l'authentification à 2 facteurs, la limitation de débit et le mot de passe long.
| Contre-mesure | Effet | Règle simple |
|---|---|---|
| Verrouillage de compte | Gèle le compte après un nombre d'échecs | Bloquer après 5 tentatives ratées, 30 minutes |
| Authentification à 2 facteurs | Ajoute un code à part du mot de passe | Activer un code TOTP de 6 chiffres |
| Limitation de débit | Capte le nombre de requêtes par adresse | Limiter à 10 requêtes par minute |
| Mot de passe long | Élargit l'espace des possibles | Viser 16 caractères aléatoires minimum |
Le verrouillage de compte est la première ligne : après 5 échecs, le compte est gelé 30 minutes, ce qui rend l'épuisement de l'espace impossible. L'authentification à 2 facteurs va plus loin : l'attaquant doit encore deviner un code de 6 chiffres qui expire en 30 secondes, même si le mot de passe tombe. La limitation de débit plafonne les essais par adresse, et le mot de passe long élargit l'espace au point que la force brute ne rentre plus.
Le pare-feu informatique complète l'ensemble en filtrant le trafic avant qu'il n'atteigne l'application ; placé en première ligne, il peut couper une attaque par force brute dès qu'elle dépasse un volume anormal de connexions. Les 4 contre-mesures ne remplacent pas une habitude de base : choisir un mot de passe long et unique, et le stocker dans un gestionnaire.