4.2 Nombre d'itérations

Un nombre d'itérations a traditionnellement servi l'objectif d'augmenter le coût de production de clés à partir d'un mot de passe, augmentant ainsi la difficulté d'attaque. Mathématiquement, un nombre d'itérations de c augmentera la force de sécurité d'un mot de passe de log2(c) bits contre les attaques basées sur des essais comme la force brute ou les attaques par dictionnaire.

Le choix d'une valeur raisonnable pour le nombre d'itérations dépend de l'environnement et des circonstances, et varie d'une application à l'autre. Ce document suit les recommandations faites dans la publication spéciale FIPS 800-132 [NISTSP132], qui stipule:

Le nombre d'itérations DOIT être sélectionné aussi grand que possible, tant que le temps requis pour générer la clé en utilisant le mot de passe entré est acceptable pour les utilisateurs. [...] Un nombre d'itérations minimum de 1 000 est recommandé. Pour les clés particulièrement critiques, ou pour les systèmes très puissants ou les systèmes où les performances perçues par l'utilisateur ne sont pas critiques, un nombre d'itérations de 10 000 000 peut être approprié.