Générer une phrase de passe
Plusieurs mots français tirés au sort battent un mot de passe court sur les deux tableaux : plus difficile à casser, et bien plus facile à retenir. C'est la méthode des dés, sans les dés.
Tient pour les comptes du quotidien. Pour votre messagerie ou un gestionnaire, ajoutez un mot ou deux.
Chaque mot est tiré au sort parmi 512, soit exactement 9 bits par mot. La majuscule et le chiffre ajouté n'apportent presque rien : un attaquant les essaie en premier.
Le tirage se fait dans votre navigateur avec son générateur aléatoire cryptographique. Rien n'est envoyé, rien n'est enregistré.
Pourquoi une phrase de passe est-elle plus solide que X7#kp2 ?
Parce que la force vient de la longueur, pas des contorsions typographiques. X7#kp2 offre six caractères parmi quatre-vingt-quinze possibles, ce qu'une machine épuise en quelques secondes. Huit mots tirés parmi 512 offrent 72 bits : la même machine y passerait des dizaines d'années. Et cette phrase-là, vous la retenez vraiment.
Que veut dire la méthode des dés ?
Elle vient de Diceware, une méthode inventée en 1995 : on lance de vrais dés, et le résultat désigne un mot dans une liste numérotée. L'important n'est pas la liste, c'est le tirage. Un mot que vous choisissez vous-même ne vaut presque rien, parce que vous le choisiriez comme tout le monde. Le même mot tiré au sort vaut sa pleine valeur. Ici, les dés sont remplacés par le générateur aléatoire cryptographique de votre navigateur.
Combien de mots faut-il ?
Sept mots, soit soixante-trois bits, tiennent plusieurs semaines face à une base volée hachée vite. Huit mots, le réglage par défaut ici, portent à soixante-douze bits et font passer le cassage à plusieurs dizaines d'années. En dessous de sept, comptez en heures ou en jours : c'est acceptable pour un forum sans enjeu, pas pour votre messagerie ni pour le mot de passe maître d'un gestionnaire, qui ouvrent tous les autres. L'outil affiche l'entropie en bits et le temps de cassage, pour que le choix ne relève pas de la croyance.
Ce qu'il ne faut pas en faire
- N'ajoutez pas un mot à vous pour la rendre plus personnelle : cela détruit le hasard qui fait toute sa valeur.
- Ne la réutilisez pas sur plusieurs sites, quelle que soit sa force : une fuite sur l'un la porterait aux autres.
- Ne la tirez pas sur l'ordinateur de quelqu'un d'autre, et préférez un gestionnaire à un pense-bête pour la conserver.
Questions fréquentes
La phrase de passe est-elle envoyée quelque part ?
Non. Le tirage se fait dans votre navigateur, avec son générateur aléatoire cryptographique. Rien n'est envoyé à notre serveur, rien n'est enregistré, aucune phrase n'est journalisée. Vous pouvez couper votre connexion : l'outil fonctionne encore.
La liste de mots est-elle publique ? Cela n'affaiblit-il pas la phrase ?
Non, et c'est le point contre-intuitif. La liste est publique et compte 512 mots. La force vient du tirage, pas du secret : un attaquant qui connaît la liste doit tout de même essayer toutes les combinaisons, ce que mesure précisément l'entropie annoncée.
Pourquoi exactement neuf bits par mot ?
Parce que la liste compte exactement 512 mots, et que 512 vaut deux puissance 9. Chaque mot tiré ajoute donc précisément 9 bits, sans arrondi dans ce qui est annoncé.
Ajouter une majuscule et un chiffre renforce-t-il beaucoup ?
Presque pas, et l'outil le dit. Mettre une majuscule au début et ajouter un chiffre à la fin sont les deux premières transformations qu'essaie un outil de cassage. Elles apportent à peine plus de quatre bits, là où un mot supplémentaire en apporte neuf.
Puis-je remplacer un mot qui ne me plaît pas ?
Vous le pouvez, mais chaque substitution que vous faites vous-même abaisse la force réelle, parce que votre choix est prévisible là où le tirage ne l'est pas. Tirez plutôt à nouveau.
Les autres outils
Ne ratez pas la prochaine analyse