Générateur de mots de passe

Ce qui fait la robustesse d’un mot de passe

Pour un mot de passe généré aléatoirement, la robustesse se mesure par l’entropie : length × log2(pool size) bits, c’est-à-dire la longueur multipliée par le logarithme en base 2 du nombre de caractères possibles, soit la taille du jeu de caractères dans lequel le mot de passe est tiré. Chaque bit supplémentaire double le nombre d’essais nécessaires. La longueur multiplie l’entropie, alors qu’un jeu de caractères plus grand n’ajoute que peu par caractère : la longueur l’emporte donc. Un mot de passe de 16 minuscules offre environ 11 millions de fois plus de possibilités qu’un mot de passe de 8 caractères qui mélange les quatre types.

Avec les quatre types, on obtient ici 89 caractères possibles : 26 + 26 + 10 + 27 symboles. L’outil affiche l’entropie arrondie au bit entier inférieur. Ces chiffres ne valent que pour des mots de passe aléatoires : un mot de passe inventé par une personne a bien moins d’entropie que sa longueur ne le laisse penser.

Ce que recommande la publication NIST SP 800-63B

La publication NIST SP 800-63B, référence fédérale américaine en matière d’authentification numérique, s’adresse aux services qui vérifient les mots de passe. Sa révision actuelle, SP 800-63B-4, indique que ces services :

• doivent exiger au moins 15 caractères lorsque le mot de passe est le seul facteur, ou 8 en complément d’un autre facteur, et devraient autoriser au moins 64 caractères ;
• ne doivent imposer ni règles de composition du type « une majuscule, un chiffre et un symbole », ni changements périodiques, mais doivent exiger un changement en cas d’indice de compromission ;
• doivent comparer les nouveaux mots de passe à une liste de blocage de mots de passe courants, prévisibles ou compromis ;
• devraient accepter tous les caractères ASCII imprimables ainsi que l’espace, et autoriser le collage pour que les gestionnaires de mots de passe fonctionnent.

Pour les utilisateurs, la leçon est la même : la longueur et le caractère aléatoire comptent ; les substitutions prévisibles comme P@ssw0rd1, non.

Gestionnaires de mots de passe et phrases de passe

Un mot de passe réutilisé représente souvent un risque plus grand qu’un mot de passe court : après une fuite, les attaquants essaient les paires adresse e-mail et mot de passe divulguées sur d’autres sites (credential stuffing, ou bourrage d’identifiants). Utilisez un mot de passe aléatoire différent pour chaque compte et laissez un gestionnaire de mots de passe les retenir à votre place : un mot de passe de 20 caractères ne demande alors pas plus d’effort qu’un mot de passe de 8.

Pour les rares mots de passe que vous tapez de mémoire, comme le mot de passe maître du gestionnaire, une phrase de passe est plus pratique : des mots tirés aléatoirement, par exemple avec des dés et la longue liste de mots de l’EFF. Chaque mot tiré parmi ses 7 776 entrées apporte environ 12,9 bits, si bien que six mots donnent environ 77,5 bits. Cet outil crée des mots de passe composés de caractères, pas des phrases de passe ; pour les clés d’API et les autres secrets destinés aux machines, utilisez le générateur de Base64 aléatoire.

Fonctionnement de ce générateur

Les mots de passe sont créés sur votre appareil avec crypto.getRandomValues(), le générateur de nombres aléatoires cryptographiquement sûr du navigateur, et ne sont jamais envoyés ni stockés. Un simple modulo rendrait certains caractères légèrement plus probables : l’outil procède donc par échantillonnage avec rejet. Les valeurs aléatoires de 32 bits supérieures ou égales au plus grand multiple du nombre de caractères possibles sont tirées à nouveau, si bien que chaque caractère a exactement la même probabilité d’apparaître.

Exclure les caractères similaires retire i l 1 L o 0 O, ce qui est utile lorsqu’un mot de passe est lu à voix haute ou recopié depuis un papier, comme une clé Wi-Fi. Exclure les symboles ambigus retire les parenthèses, crochets, accolades et chevrons, la barre oblique, le tilde et , ; : ., que certains formulaires, shells et fichiers de configuration gèrent mal, et conserve ! @ # $ % ^ & * - _ = + ?. Ces deux options réduisent le nombre de caractères possibles : ajoutez un ou deux caractères à la longueur pour compenser.