On recherche un mot de passe de 8 caractères par force brute, en essayant tous les candidats. Si l'on peut essayer 1×10^10 candidats par seconde, quelle combinaison est la plus proche du temps nécessaire pour essayer tous les candidats, d'une part pour un mot de passe composé uniquement de lettres minuscules (26 types), d'autre part pour un mot de passe composé de majuscules, de minuscules et de chiffres (62 types) ?

Réponse : A. Minuscules seules : environ 21 secondes ; 62 types : environ 6 heures

Le nombre de candidats pour un mot de passe de 8 caractères est le nombre de caractères utilisables multiplié 8 fois par lui-même. Avec des minuscules seulement, il vaut 26^8 = 208827064576 (environ 2,1×10^11) ; à 1×10^10 par seconde, tous sont essayés en environ 2,1×10^11 ÷ 1×10^10 ≈ 21 secondes. Avec 62 types, il vaut 62^8 = 218340105584896 (environ 2,2×10^14), ce qui demande environ 21 834 secondes, soit environ 6 heures. Augmenter le nombre de types de caractères multiplie le nombre de candidats par le rapport par caractère élevé à la puissance 8 ; ici, il est multiplié par environ 1000. Ce calcul n'est toutefois qu'un ordre de grandeur pour le cassage par force brute, hors ligne, de valeurs de hachage rapides ayant fuité. Les mots du dictionnaire et les mots de passe réutilisés sont trouvés bien plus vite que par force brute ; il est donc important d'utiliser des mots de passe longs et aléatoires et, côté service, de combiner hachage lent, limitation des tentatives de connexion et authentification multifacteur.