Générateur de phrase de passe
Plusieurs mots sans lien tirés au hasard valent une chaîne aléatoire et se saisissent bien plus facilement de mémoire ; ici ils viennent de la liste de l'EFF.
Les mots sont tirés de la liste EFF de 7 776 mots, chacun apporte donc 12,9 bits. Plus facile à saisir et à retenir qu’une suite aléatoire de même robustesse.
Un PIN ne vaut que par l’appareil qui limite le nombre d’essais. Ne le réutilisez pas comme mot de passe.
Générer une phrase de passe faite de mots aléatoires
Une phrase de passe est un mot de passe composé de mots entiers au lieu de caractères : tricycle-jigsaw-rehab-ointment-zoning plutôt qu'une file de signes de ponctuation. Être lisible ne la rend pas plus faible. La robustesse vient de la façon dont les mots ont été choisis, et ici chacun est tiré au hasard dans une liste de 7 776 mots par le générateur lui-même, et non par vous.
Cette distinction compte plus que tout le reste de cette page. Un vers, un titre de chanson ou une phrase qui vous est venue à l'esprit n'est pas aléatoire, quelle que soit sa longueur, car les programmes de devinette se nourrissent des textes publiés. C'est le tirage à l'aveugle dans une liste fixe qui rend vraie l'arithmétique ci-dessous.
La liste de mots
Les mots viennent de la grande liste pour phrases de passe publiée par l'Electronic Frontier Foundation, reprise ici sans changement sous licence <abbr title="Creative Commons Attribution 3.0 United States">CC BY 3.0 US. Elle contient 7 776 entrées de 3 à 9 lettres, assez courtes à saisir et assez ordinaires pour être écrites après une seule écoute. Le compte est voulu : 7 776 est 6 puissance 5, la méthode d'origine lance donc cinq dés pour trouver chaque mot, d'où le nom Diceware.
Comme chaque mot est également probable, chacun apporte le logarithme en base 2 de 7 776, soit environ 12,9 bits. La liste pèse près de 76 Ko et n'est téléchargée qu'au passage en mode Phrase de passe, pour que le reste de l'outil reste léger.
Pourquoi cinq ou six mots
| Mots | Entropie | Caractères aléatoires équivalents |
|---|---|---|
| 3 | environ 39 bits | 6 |
| 4 | environ 52 bits | 8 |
| 5 | environ 65 bits | 10 |
| 6 | environ 78 bits | 12 |
| 8 | environ 103 bits | 16 |
| 12 | environ 155 bits | 24 |
La colonne de droite donne le nombre de caractères aléatoires tirés du jeu complet de 88 caractères du générateur qui atteindrait la même robustesse, et cela revient à presque exactement deux caractères par mot. Trois ou quatre mots sont trop peu pour ce qui compte : entre 39 et 52 bits, ils restent à portée d'une attaque hors ligne sérieuse sur une base de données divulguée. Cinq mots vous font passer cette limite, six mots à environ 78 bits sont le conseil habituel pour un secret qui garde d'autres secrets, et le curseur monte jusqu'à douze si vous voulez de la marge.
Plus facile à saisir là où saisir est pénible
Une chaîne aléatoire de robustesse égale est plus courte, mais hostile à taper partout où il n'y a pas de vrai clavier. Dix caractères de ponctuation mêlée sur un téléphone, cela veut dire changer deux fois de disposition par symbole, chercher le bon crochet et plisser les yeux pour savoir si c'est un l ou un 1 ; le même travail sur une console de jeu ou un téléviseur connecté, lettre après lettre à la télécommande, est pire encore. Une phrase de passe de six mots n'est que des minuscules et un séparateur répété : longue, mais chaque frappe se trouve sur la première couche du clavier, et vous pouvez relire où vous en êtes.
Choisissez le séparateur selon le champ. Les traits d'union et les tirets bas sont acceptés presque partout ; les espaces se lisent le plus naturellement, mais certains formulaires de connexion les rognent ou les refusent, alors essayez avant de vous engager. Majuscule à chaque mot et Ajouter deux chiffres existent pour les systèmes qui imposent des règles sur les types de caractères, pas pour gagner en robustesse.
Où une phrase de passe a sa place
Réservez-la aux quelques secrets que vous saisissez de mémoire : le mot de passe maître de votre gestionnaire, une clé de chiffrement de disque, la session de l'ordinateur portable lui-même. Tous les autres comptes sont mieux servis par une longue chaîne aléatoire issue du générateur de mot de passe fort, qu'un gestionnaire remplit pour vous et que personne n'a à mémoriser. Le guide des mots de passe forts couvre le reste du tableau : gestionnaires, authentification à deux facteurs et cas où changer un mot de passe sert vraiment à quelque chose.
Deux formes voisines ont leur propre page : un code PIN aléatoire pour les claviers numériques et les écrans de verrouillage, et une clé wifi pour un secret qu'il faut saisir une fois sur chaque appareil de la maison.