Générateur Mot de Passe
Générer des mots de passe aléatoires sécurisés
La robustesse d'un mot de passe se mesure en bits d'entropie — plus l'entropie est elevee, plus il faut de temps pour le craquer. Un mot de passe aleatoire de 12 caracteres possede environ 72 bits d'entropie.
Qu’est-ce que l’entropie d’un mot de passe ?
L’entropie est une mesure de l’imprevisibilite, exprimee en bits. Dans le contexte des mots de passe, l’entropie quantifie le nombre de tentatives qu’un attaquant devrait effectuer pour craquer le mot de passe par force brute. Chaque bit d’entropie double le nombre de combinaisons possibles.
Un mot de passe avec n bits d’entropie signifie qu’il y a 2^n mots de passe egalement probables que l’attaquant doit parcourir. Par exemple, 50 bits d’entropie signifient 2^50 (environ 1,1 billiard) combinaisons possibles, tandis que 80 bits signifient 2^80 (environ 1,2 trilliard) combinaisons.
Plus l’entropie est elevee, plus le mot de passe est resistant aux attaques par force brute et par dictionnaire. Cependant, l’entropie seule ne raconte pas toute l’histoire — un mot de passe present dans une base de fuites a une entropie effective de zero, quelle que soit sa robustesse theorique, car les attaquants essaient d’abord les mots de passe connus.
L’entropie est la metrique la plus importante pour evaluer la robustesse d’un mot de passe. La longueur, la diversite des caracteres et le veritable aleatoire contribuent tous a une entropie plus elevee. Les schemas, les mots du dictionnaire et les informations personnelles reduisent tous l’entropie effective car ils rendent le mot de passe plus previsible.
Calcul de l’entropie
La formule de l’entropie d’un mot de passe depend de la methode utilisee pour le generer :
Mots de passe a caracteres aleatoires
Pour un mot de passe de longueur L tire uniformement au hasard d’un jeu de caracteres de taille C :
Entropie = L x log2(C)
| Jeu de caracteres | Taille (C) | Exemples | Entropie par caractere |
|---|---|---|---|
| Chiffres uniquement | 10 | 0-9 | 3,32 bits |
| Lettres minuscules | 26 | a-z | 4,70 bits |
| Minuscules + chiffres | 36 | a-z, 0-9 | 5,17 bits |
| Casse mixte + chiffres | 62 | A-Z, a-z, 0-9 | 5,95 bits |
| Tous les ASCII imprimables | 95 | A-Z, a-z, 0-9, symboles | 6,57 bits |
Un mot de passe de 12 caracteres utilisant tous les caracteres ASCII imprimables possede 12 x 6,57 = ~79 bits d’entropie.
Phrases de passe Diceware
Pour une phrase de passe de W mots choisis aleatoirement dans une liste de N mots :
Entropie = W x log2(N)
La liste Diceware standard contient 7 776 mots (6^5, correspondant a cinq lancers de des). Chaque mot ajoute log2(7776) = ~12,9 bits d’entropie.
| Mots | Entropie | Niveau de robustesse |
|---|---|---|
| 3 mots | ~39 bits | Faible (en ligne uniquement avec limitation de debit) |
| 4 mots | ~51 bits | Modere (adequat pour la plupart des comptes en ligne) |
| 5 mots | ~64 bits | Fort (minimum recommande pour les comptes importants) |
| 6 mots | ~77 bits | Tres fort (adapte aux mots de passe maitres) |
| 7 mots | ~90 bits | Excellent (portefeuilles de cryptomonnaie, cles de chiffrement) |
Entropie vs temps de craquage
Le temps pour craquer un mot de passe depend a la fois de l’entropie et de la vitesse de l’attaquant (mesuree en tentatives par seconde). Le tableau suivant suppose une attaque hors ligne contre un hash rapide (comme SHA-256 non sale) a 10 milliards de tentatives par seconde :
| Entropie (bits) | Combinaisons | Temps de craquage estime |
|---|---|---|
| 40 | ~1 billion | Secondes |
| 50 | ~1 billiard | Heures |
| 60 | ~1 trillion | Mois |
| 70 | ~1 trilliard | Annees |
| 80 | ~1,2 x 10^24 | Siecles |
| 90+ | ~1,2 x 10^27 | Mort thermique de l’univers |
Phrase de passe vs aleatoire
Il existe deux approches principales pour generer des mots de passe robustes, chacune avec ses compromis.
Mots de passe a caracteres aleatoires
Les mots de passe a caracteres aleatoires maximisent l’entropie par caractere. Un mot de passe aleatoire de 16 caracteres utilisant l’ensemble complet des ASCII imprimables fournit environ 105 bits d’entropie — extremement robuste. Cependant, des chaines comme k7$Qm!xR9pL#vW2n sont difficiles a memoriser et penibles a taper sur un clavier mobile.
Les mots de passe aleatoires sont plus adaptes aux situations ou un gestionnaire de mots de passe gere le stockage et le remplissage automatique. Si vous utilisez un gestionnaire de mots de passe (et vous devriez), les mots de passe a caracteres aleatoires sont le choix optimal car la memorisation n’a pas d’importance.
Phrases de passe Diceware
Les phrases de passe utilisent plusieurs mots choisis aleatoirement, generalement separes par des tirets ou des espaces. Une phrase de passe Diceware de 5 mots comme lunar-fabric-ocean-timber-quartz possede environ 64 bits d’entropie — suffisamment robuste pour la plupart des usages — et est considerablement plus facile a retenir et a taper.
L’idee cle est que la securite d’une phrase de passe vient de l’aleatoire de la selection des mots, pas de l’obscurite des mots eux-memes. Chaque mot doit etre choisi par un processus veritablement aleatoire (lancers de des ou generateur de nombres aleatoires cryptographique), pas par un humain qui choisit des mots qui “semblent aleatoires”.
Les phrases de passe sont ideales pour les mots de passe maitres (coffre-forts de gestionnaires de mots de passe, chiffrement de disque) ou vous devez taper le mot de passe de memoire et ne pouvez pas compter sur le remplissage automatique.
Lequel choisir ?
| Scenario | Recommandation |
|---|---|
| Stocke dans un gestionnaire de mots de passe | Aleatoire 16+ caracteres |
| Doit etre memorise (mot de passe maitre) | Diceware 5-6 mots |
| Doit etre tape frequemment sur mobile | Diceware 5-6 mots |
| Haute securite (cles de chiffrement) | Aleatoire 20+ caracteres ou Diceware 7+ mots |
Cas d’utilisation courants
- Inscription a un compte : Chaque nouveau compte devrait recevoir un mot de passe unique genere aleatoirement et stocke dans un gestionnaire de mots de passe. Reutiliser des mots de passe entre les services est la plus grande erreur de securite que la plupart des gens commettent
- Creation du mot de passe maitre : Le seul mot de passe que vous devez memoriser — le mot de passe maitre de votre gestionnaire — devrait etre une phrase de passe Diceware robuste (5+ mots) puisqu’il protege tous vos autres identifiants
- Generation de cles API : Les cles API et les jetons doivent etre generes a l’aide de generateurs de nombres aleatoires cryptographiquement securises avec une entropie suffisante (128+ bits) pour empecher les attaques par devinette
- Derivation de cles de chiffrement : Le chiffrement de disque complet (BitLocker, LUKS, FileVault) et le chiffrement de fichiers (GPG, age) derivent leurs cles de chiffrement de votre phrase de passe. Les phrases de passe faibles compromettent l’ensemble du chiffrement
- Mots de passe Wi-Fi : Les cles pre-partagees WPA2/WPA3 devraient avoir au moins 60 bits d’entropie. Une phrase de passe de 5 mots ou un mot de passe aleatoire de 10+ caracteres est la recommandation minimale
- Codes de recuperation a deux facteurs : Les codes de recuperation de sauvegarde doivent avoir suffisamment d’entropie pour qu’un attaquant ne puisse pas les deviner dans un nombre raisonnable de tentatives, meme s’il a acces a un facteur
Essayez ces exemples
Un mot de passe de 16 caracteres utilisant majuscules, minuscules, chiffres et symboles (environ 95 caracteres ASCII imprimables). Entropie : log2(95^16) = ~105 bits. A 10 milliards de tentatives par seconde, il faudrait des milliers de milliards d'annees pour le craquer par force brute.
k7$Qm!xR9pL#vW2n Ce mot de passe apparait dans toutes les bases de donnees de fuites majeures. Il a une entropie effective quasi nulle car les attaquants essaient d'abord les mots du dictionnaire et les schemas courants, avant la force brute. Il serait cracke en moins d'une seconde.
password123 Une phrase de passe de 4 mots issus d'une liste d'environ 7 776 mots (Diceware). Entropie : log2(7776^4) = ~51 bits. Plus facile a retenir que des caracteres aleatoires, et toujours robuste contre les attaques en ligne avec limitation de debit.
correct-horse-battery-staple