Générateur de mots de passe

Le National Institute of Standards and Technology américain a réécrit ses recommandations sur les mots de passe dans la SP 800-63B, puis les a durcies dans la révision 4, publiée en 2024. Ses conseils vont à l'encontre des anciennes règles d'entreprise : les services doivent accepter des mots de passe d'au moins 64 caractères, ne pas imposer de mélange de majuscules, de chiffres et de symboles, ne pas obliger à changer de mot de passe à intervalles réguliers, et plutôt vérifier les nouveaux mots de passe par rapport à des listes de mots de passe compromis et courants.

Le raisonnement est arithmétique. Les règles de composition poussent les gens vers des schémas prévisibles comme « Summer2024! », que les attaquants testent en premier. À l'inverse, chaque caractère aléatoire supplémentaire multiplie le travail d'une attaque par force brute par la taille du jeu de caractères. Passer de 12 à 16 caractères aléatoires pris parmi les 94 symboles ASCII imprimables ajoute environ 26 bits, ce qui rend la devinette environ 78 millions de fois plus difficile.

L'entropie mesure combien de mots de passe également probables le générateur aurait pu produire. Pour un mot de passe aléatoire, elle vaut longueur × log2(taille du jeu). Avec les quatre jeux de caractères, le jeu compte 94 symboles, soit environ 6,55 bits par caractère : 16 caractères donnent donc environ 105 bits. Exclure les caractères qui se ressemblent réduit le jeu à 84 et coûte un peu moins d'un cinquième de bit par caractère. Le tableau ci-dessus utilise le même calcul et suppose un attaquant hors ligne qui tente 10 milliards d'essais par seconde, un chiffre réaliste pour une machine à GPU face à un hachage rapide ; un hachage lent comme bcrypt divise ce rythme de plusieurs ordres de grandeur.

Les phrases secrètes fonctionnent de la même façon, avec des mots au lieu de caractères. La liste intégrée ici compte 367 mots courts et usuels : chaque mot ajoute environ 8,5 bits et six mots donnent environ 51 bits. C'est facile à saisir et à retenir, mais plus faible qu'un mot de passe aléatoire de 16 caractères. Choisir « chiffre aléatoire » comme séparateur ajoute environ 3,3 bits par intervalle. Pour une phrase secrète qui protège quelque chose d'important, utilisez huit mots, ou une liste Diceware de 7 776 mots où chaque mot vaut 12,9 bits.

L'indicateur qualifie de faible un mot de passe en dessous de 40 bits, de moyen entre 40 et 59, de fort entre 60 et 79 et de très fort à partir de 80. Il évalue les réglages du générateur, pas la chaîne obtenue, ce qui est la seule façon honnête de noter un mot de passe : « correct horse battery staple » obtient un score élevé auprès des testeurs fondés sur des motifs, mais c'est la première phrase que tout attaquant essaie.

Utilisez un mot de passe différent pour chaque compte et laissez un gestionnaire de mots de passe les retenir : la réutilisation transforme un seul site compromis en de nombreux comptes piratés. Enregistrez le mot de passe dans le gestionnaire avant de valider le formulaire d'inscription, et activez l'authentification à deux facteurs partout où elle est proposée. Pour verrouiller un document plutôt qu'un compte, une phrase secrète solide fonctionne bien avec Protéger un PDF, qui chiffre le fichier avec le mot de passe de votre choix.