Récupération : les limites du navigateur

Mesh Hash fait de vrais calculs, y compris sur votre carte graphique. Mais soyons honnêtes sur ce qu’un navigateur peut et ne peut pas faire.

Pourquoi le GPU accélère tant

Retrouver une entrée par comparaison, c’est répéter la même opération (hacher, comparer) sur des milliards de candidats indépendants. C’est exactement ce pour quoi une carte graphique est faite : des milliers de petits cœurs qui travaillent en parallèle. Là où un processeur teste quelques millions de MD5 par seconde, un GPU en teste des centaines de millions, voire des milliards. Notre moteur force brute utilise WebGPU pour MD5, SHA-1 et SHA-256 quand c’est possible.

Le mur mathématique

L’accélération ne change rien au fond : chaque caractère ajouté multiplie le nombre de combinaisons par la taille du jeu de caractères. Un mot de passe de 8 caractères parmi 95 possibles, c’est 95⁸ ≈ 6,6 × 10¹⁵ combinaisons. Même à un milliard par seconde, cela dépasse deux mois ; à 12 caractères, on parle de millions d’années. C’est pourquoi l’outilestime le temps avant de lancer et refuse l’impossible.

Navigateur contre outil natif (hashcat, John the Ripper)

Un outil natif comme hashcat accède directement au pilote de la carte graphique, exploite des optimisations très bas niveau et tourne sans les contraintes d’un navigateur. Sur le même matériel, il est nettement plus rapide que WebGPU. Un navigateur reste idéal pourcomprendre, tester ses propres empreintes et traiter des cas simples, mais pour un audit sérieux sur des hachages rapides, les professionnels utilisent des outils hors ligne dédiés, souvent sur plusieurs GPU.

Et les bases de hachages précalculés ?

Certains services en ligne interrogent d’immenses tables précalculées (des téraoctets). Ce n’est pas réaliste côté navigateur, et ce n’est pas notre approche : rien n’est envoyé, tout se calcule chez vous. Contre ces tables, la parade est simple et connue : unsel unique par mot de passe les rend inutilisables.

À retenir

• Le GPU accélère énormément, mais ne bat pas les mathématiques.
• Un mot de passe long et varié reste hors de portée, ici comme ailleurs.
• Pour un usage professionnel intensif : outils natifs hors ligne, avec autorisation.
• La meilleure défense reste un mot de passe long, unique, correctement haché et salé.