L'idée est qu'un utilisateur aura tendance, naturellement, à aller vers la facilité et donc à utiliser quelque chose de facile à retenir, quelque chose existant déjà, au lieu d'une suite barbare de caractères impossibles à mémoriser (ce qui est, pourtant, l'une des règles de bonne pratique avec les mots de passe).

L'attaque par dictionnaire cherche donc à pallier le problème du temps soulevé par les attaques en "force brute". Elle risque de passer à côté de mots de passe tarabiscotés, mais est beaucoup plus rapide que la "force brute". Seul le compromis temps/mémoire par "Tables Arc-en-ciel" arrive à casser relativement rapidement tous les mots de passe.

Nombre de combinaisons possibles lors d'une attaque par dictionnaire
Dans une attaque en "force brute" de mots de passe de 8 caractères de long utilisant un jeu de caractères simpliste, de 26 lettres uniquement (majuscules ou minuscules - insensibles à la case) et les 10 chiffres, il y a déjà 2 901 713 047 668 combinaisons possibles.

Dans une attaque par dictionnaire, on va tenter tous les mots présents dans de simples dictionnaires de la langue de l'utilisateur attaqué ainsi que les mots de passe faibles habituels (mots de passe par défaut des équipements, dates, immatriculations de véhicules, dictionnaires de noms d'animaux, dictionnaires des patronymes d'un pays ou d'une culture, dictionnaire des prénoms, etc. ...).

En nombre, cela donne :

• 200.000 combinaisons existant réellement dans la langue française, noms propres inclus (selon l'Académie Française, ici). Et encore... un dictionnaire d'écolier, avec 20.000 mots, est suffisant ! Et encore... dans une attaque contre un mot de passe que l'autorité de vérification limite à 8 caractères, il faudrait ne tenir compte que des mots de moins de 9 caractères !
  
  
• Ajoutons à cela les "mots de passe" les plus bêtes, construits à partir de dates. Généralement, ce sont les dates anniversaires de naissance ou d'un évènement vécu qui sont utilisées. On se limitera donc aux 100 dernières années soit, à raison de 365 dates par an, 36.500 dates. Combien êtes-vous à utiliser la date de la prise d'Uxellodunum comme mot de passe ?
  
  
• Dans le pire des cas, si l'attaque est robotisée, ajoutons :
  
  
  • Environ 20.000 prénoms
    
  • Environ 1.500.000 patronymes
    
  • Les noms d'animaux (nombre ?)
    
  • Les immatriculations possibles de véhicules (nombre ?)
    
  • Les juxtapositions et permutations de patronymes/prénoms ou prénoms/patronymes ou leurs initiales