>> On parlait de zip/rar/... : pas de clefs, uniquement un mot
>> de passe. Une attaque brute sur un mot de passe, c'est
>> faisable sans problème majeur.
>
> Quand même, avec un mot de passe de longueur 8 ayant majuscules chiffres et
> symboles, ça donne 70^8 possibilités soit à raison d'un million d'essais à la
> seconde un temps de craquage de 3300ans en moyenne. À mon avis, c'est jouable
> comme sécurité...
un million d'essais à la seconde ça fait à peu près 3000 cycles processeur pour
tenter de décrypter avec un mot de passe.
Je ne connais pas bien non plus le
format zip crypté, mais vu qu'il s'agit d'un format de compression, une fois décrypté, il doit être très rapide de savoir, après tentative d'un mot de passe, s'il convient ("en-têtes" zip corrects, préfixes etc.). Donc quelques milliers de cycles semble être plus que raisonnable pour un essai de mot de passe.
Par ailleurs rien n'interdit la parallélisation sur plusieurs machines (quelques centaines, pourquoi pas ? une salle informatique de 30 postes avec des dual-core 3GHz = 60 fils parallèles de test ; plusieurs salles = 33ans -> quelques mois, voire semaines).
Et encore ces calculs se font dans l'hypothèse d'un mot de passe fort, cf John The Ripper et autres...
Tout ça pour dire que quelqu'un qui voudra vraiment (et donc y mettra les moyens...) décrypter le truc y arrivera, plus ou moins rapidement eu égard à la sensibilité des données et à leur date de péremption.
Cela est en grande partie à cause de la taille de la clef... Si la clef double de
taille (8 octets ->16 octets), avec les mêmes hypothèses (un million de tests par seconde (ce qui n'est pas le cas des mots de passe sous Linux par exemple, où si on rate il y a une latence de quelques secondes et une seule machine réalise le calcul), attaque par force brute seulement, parallélisable ) on passe à 10^25 ans, et même en parallélisant/utilisant toutes les ressources de la planète/prenant en compte la loi de Moore, les données seront déclassifiées avant qu'on ait le temps de les décrypter.
En fait tout dépend du niveau de confiance qu'on veut avoir pour ses données...
khivapia