Quand la grammaire décode les mots de passe

La longueur d’un mot de passe ne détermine en aucun cas son niveau de sécurité. Recourir à la grammaire permettrait de deviner la structure et donc le sens de ce verrou numérique.

La grammaire pourrait aider à déjouer le potentiel de sécurité d'un mot de passe. C'est en effet ce que nous apprend une étude récente réalisée par une équipe de chercheurs de l'Institut de recherche en informatique de la Carnegie Mellon University. Ceux-ci ont réussi à mettre au point un algorithme dont le but est de décoder les mots de passe informatiques lorsque ceux-ci prennent la forme d'une phrase (espace ou non compris), et cela, en fonction même de sa structure. En effet, les chercheurs révèlent que si l'on pense en matière de probabilités, plus la phrase est longue, plus cela réduit le nombre de combinaison et de séquence de mots possibles.

Probabilités de combinaisons de mots

Ainsi, cet algorithme a été testé sur plus de 1400 mots de passe dont la longueur atteignaient les 16 caractères et plus. Celui-ci a dépassé en performance les autres logiciels similaires, en arrivant sans intervention humaine à déterminer près de 10% des données. Et la raison pour cela est que celui-ci arrive à déterminer les structures de phrase en prenant en compte qu'un pronom est généralement plus court qu'un verbe, un verbe est plus court qu'un adjectif et les adjectifs sont plus courts que des noms. Ainsi, lorsque l'on pense que la majorité des phrases se décomposent en pronom-verbe-adjectif-nom (ex : « Shehave3cats ») ou en nom-verbe-adjectif-nom (ex : « Andyhave3cats »), les probabilités qu'un mot plutôt qu'un autre soit utilisé se réduisent.

Prévention contre les attaques informatiques

Les chercheurs conseillent donc, pour plus de sécurité, non pas d'accroître le nombre de mots/caractères à l'intérieur des mots de passe, mais tout simplement d'incorporer plus de noms dans ceux-ci. Car, après vérification, le mot de passe de 5 mots "Th3r3 can only b3 #1" a été beaucoup plus facile à décoder que celui de 3 mots : "Hammered asinine requirements". Les chercheurs assurent enfin que cet algorithme a été créé, non pas dans un but de malveillance, mais dans le cadre d'un projet de recherche pour leur université et à des fins de prévention. Selon Ashwini Rao, étudiante à l'origine du projet, ce n'est toutefois qu'une question de temps avant que quelqu'un d'autre réussisse à créer un algorithme plus puissant que leur.