Glossary
Nombre d'itérations
Le nombre d'itérations indique combien de fois une fonction de dérivation de clé répète son tour interne par tentative — l'équivalent PBKDF2 du facteur de coût de bcrypt.
Le nombre d'itérations est le nombre de fois qu'une fonction de dérivation de clé comme PBKDF2 répète son tour HMAC interne avant de produire la clé finale. Il joue, pour les formats basés sur PBKDF2, le même rôle que le facteur de coût pour bcrypt : un réglage direct et linéaire du temps nécessaire pour vérifier une tentative, aussi bien pour un attaquant que pour un utilisateur légitime.
Les recommandations actuelles poussent ce chiffre bien plus haut qu'autrefois. L'OWASP recommande aujourd'hui au moins 600 000 itérations pour PBKDF2-HMAC-SHA256, alors qu'il y a dix ans 10 000 était jugé raisonnable — le matériel a gagné en puissance, le nombre doit donc suivre. Bitwarden intègre directement son nombre d'itérations choisi dans le hash exporté, ce qui permet de lire le coût exact de cassage d'un coffre avant même de lancer hashcat.
Un faible nombre d'itérations est un problème plus grave qu'un sel faible : c'est le paramètre qui détermine le plus directement si un hash volé tombe en quelques heures ou résiste pendant des années. Voir casser les coffres de gestionnaires de mots de passe pour voir comment cela se joue chez KeePass, 1Password, Bitwarden et LastPass.