Question 1

Dois-je utiliser un mot de passe aléatoire ou une phrase secrète ?

Accepted Answer

Les deux sont légitimes, et les directives NIST 2024 sur l'identité numérique privilégient explicitement la longueur plutôt que des règles de complexité imposées. Un mot de passe aléatoire concentre plus d'entropie par caractère, idéal quand un gestionnaire de mots de passe le retient pour vous. Une phrase secrète - plusieurs mots aléatoires enchaînés - échange un peu d'entropie par caractère contre quelque chose qu'un humain peut réellement mémoriser et taper, ce qui compte pour les mots de passe maîtres ou tout ce que vous tapez de mémoire.

Question 2

Que signifient réellement les bits d'entropie ?

Accepted Answer

Chaque bit d'entropie supplémentaire double le nombre de tentatives qu'un attaquant devrait faire pour essayer toutes les possibilités. Un mot de passe avec 40 bits d'entropie a environ mille milliards de combinaisons possibles ; un avec 80 bits en a environ mille milliards de fois mille milliards. Les recommandations de sécurité considèrent généralement 80 bits ou plus comme excellents pour tout ce qui ne peut pas être protégé par une limitation de débit ou un verrouillage, comme une clé de chiffrement ou le mot de passe maître d'un gestionnaire.

Question 3

Comment le temps de piratage estimé est-il calculé ?

Accepted Answer

Il suppose un attaquant ayant un accès hors ligne à un hachage de mot de passe, tentant environ 10 milliards d'essais par seconde - une approximation grossière d'un cluster de GPU moderne. Il vise à communiquer un ordre de grandeur, pas une prévision précise : le temps de piratage réel dépend fortement de l'algorithme de hachage utilisé par le système cible, que cet outil n'a aucun moyen de connaître.

Question 4

Pourquoi exclure les caractères ambigus comme l, 1, I, O et 0 ?

Accepted Answer

Ils sont faciles à confondre à l'oral, à l'écrit ou dans certaines polices d'affichage. Les exclure échange une petite quantité d'entropie contre un mot de passe moins sujet aux erreurs de saisie depuis un écran ou un papier - utile pour les mots de passe que vous devrez saisir manuellement plutôt que coller depuis un gestionnaire.

Question 5

Le générateur aléatoire pourrait-il favoriser certains caractères par rapport à d'autres ?

Accepted Answer

Non - il utilise un échantillonnage par rejet reposant sur crypto.getRandomValues() plutôt qu'une simple opération modulo. Prendre un octet aléatoire et calculer octet % taillePool donnerait aux caractères situés en début de pool des chances légèrement meilleures dès que la taille du pool ne divise pas 256 de façon exacte ; le générateur rejette donc toute valeur hors plage et retire à nouveau jusqu'à obtenir un résultat dans une plage qui se divise de façon exacte. Résultat : chaque caractère a exactement la même probabilité d'être choisi, quel que soit le nombre de types de caractères activés.

Question 6

Pourquoi un mot de passe aléatoire inclut-il toujours au moins un caractère de chaque type que j'ai activé ?

Accepted Answer

Après avoir constitué le pool de caractères, le générateur met de côté un caractère de chaque catégorie activée - majuscules, minuscules, chiffres, symboles - avant de remplir le reste de la longueur à partir du pool complet, puis mélange le tout dans un ordre aléatoire. Cela garantit que votre mot de passe ne se retrouvera pas accidentellement composé uniquement de lettres sans chiffre, ce qui compte car de nombreux sites rejettent un mot de passe auquel il manque un type de caractère requis, même si le pool en contenait un. L'étape de mélange utilise la même sélection aléatoire non biaisée, donc les caractères garantis ne finissent pas à des positions prévisibles.

Tarayıcınız güncel değil

Générateur de mot de passe

Questions fréquentes