Texte et outils du quotidien · Générateur de mots de passe
Bits d'entropie par rapport aux compteurs de force : ce que le nombre mesure réellement
· Contexte
mots de passe entropie mètres de force
Explique ce qu'est un peu d'entropie, pourquoi elle peut être calculée exactement pour les mots de passe générés mais uniquement estimée pour ceux choisis par l'homme, et pourquoi les indicateurs de force et les chiffres d'entropie sont souvent en désaccord.
La barre verte qui mentait : un indicateur de force adore « P@ssw0rd2024 » et hausse les épaules devant une phrase secrète de six mots.
ToolAcre n'affiche pas de barre colorée allant du rouge au vert et n'accepte pas de mot de passe pour la notation. Il estime le processus aléatoire configuré dans son propre générateur et énonce des hypothèses à côté du résultat. L’affirmation du classeur selon laquelle un compteur typique aime un exemple et en rejette un autre nécessite des preuves provenant d’une implémentation nommée, qui ne fait pas partie de ce référentiel.
Corriger ce titre est important car un calcul transparent et un score heuristique répondent à des questions différentes. ToolAcre connaît son pool, son nombre de tirages, sa règle de cas et sa règle de délimitation. Il ne sait pas comment une corde choisie ailleurs a été produite et refuse donc de laisser entendre que l'apparence seule révèle la force.
Une barre de force verte se trouve à l'extérieur de cet outil ; ToolAcre rapporte une estimation déclarée du générateur
Un bit représente un doublement du nombre de résultats également possibles. Si un tirage a N options uniformes, sa contribution est log₂(N). Des choix indépendants s'ajoutent. Cette arithmétique est exacte pour le modèle indiqué, mais le référentiel ne fournit aucun seuil de bits universel permettant de définir un mot de passe approprié pour chaque compte.
Les modèles de menace diffèrent et les valeurs générées restent vulnérables aux chemins de compromis qui n'énumèrent pas l'espace. Un décompte peut comparer les paramètres sans rien dire de définitif sur le phishing, les logiciels malveillants, la réutilisation, la récupération ou une destination qui stocke mal les informations d'identification.
Un calcul de bits suit le nombre de choix vérifiés, sans seuil de sécurité universel
La même séquence de mots visible peut résulter d'index aléatoires sécurisés ou d'une personne sélectionnant une citation. Les chaînes correspondent tandis que les processus diffèrent. ToolAcre estime le premier car chaque opération aléatoire est connue ; il n'estime pas la seconde car les préférences humaines et l'ordre des attaquants ne sont pas modélisés.
Cette vue axée sur le processus explique également pourquoi le formatage déterministe n'ajoute aucune entropie. Les majuscules fixes et les séparateurs transforment les mots sélectionnés de manière prévisible. La casse aléatoire et les délimiteurs aléatoires ajoutent des choix explicites car le moteur effectue de nouveaux tirages pour eux.
L'estimation décrit le processus de génération et les paramètres, pas la seule chaîne visible
Pour les valeurs générées, le package peut calculer à partir de la liste de mots filtrée réelle et des tirages configurés. Le mode Caractère utilise la taille de l'alphabet sélectionnée et la longueur demandée. Ces entrées sont visibles et testables, permettant à l'estimation de changer lorsqu'un utilisateur réduit le pool ou désactive une classe.
Les valeurs créées par l'homme ont besoin d'un modèle de choix probables, et pas simplement d'un alphabet élevé à une longueur de chaîne. ToolAcre ne contient pas ce modèle et n'invite pas les utilisateurs à coller les informations d'identification existantes, ce qui évite également d'exposer un secret pour un score douteux.
Comment fonctionnent les compteurs de force : comptage des règles, vérifications du dictionnaire et correspondance de modèles, et où chacun induit en erreur
Certains compteurs externes utilisent des dictionnaires, des correspondances de modèles ou des heuristiques de composition, mais leurs règles et versions ne constituent pas des sources ici. Cet article n’organise donc pas un faux concours contre un compteur « type ». Une comparaison valide nécessiterait une implémentation nommée, des entrées et un code actuel.
L'absence est volontaire. Le comportement heuristique peut changer indépendamment de ToolAcre, tandis que l'estimation du générateur reste liée aux opérations contrôlées par le référentiel. Les lecteurs devraient interpréter un autre compteur à partir de sa propre documentation plutôt que de supposer que chaque barre verte signifie la même chose.
Le comportement des mesureurs de résistance tiers est une preuve extérieure au référentiel
Commencez par six mots d'un pool éligible de N sous des minuscules fixes et des espaces : la contribution du mot est 6 × log₂(N). Passez au cas aléatoire et ajoutez six choix binaires. Revenez à la casse fixe et ajoutez un septième mot ; l'incrément est log₂(N). Chaque différence suit un paramètre visible.
Pour le mode caractère, utilisez l'alphabet sélectionné exact rapporté par la source et multipliez log₂ de sa taille par la longueur comme le fait l'estimation du package. Ces calculs comparent les processus pris en charge. Ils ne produisent pas d’exemple de référence, de prévision de temps de crack ou de recommandation universelle.
Exemple concret : calculer trois modifications de paramètres prises en charge sans simuler un compteur
L'entropie de Shannon des corpus en langage naturel et les mesures de recherche en devinant sont en dehors de la mise en œuvre du générateur. Il en va de même pour les modèles de mots de passe formés de manière empirique. Les confondre avec un calcul de choix uniforme ferait en sorte qu’un mot familier « entropie » recouvre plusieurs définitions incompatibles.
La page des limitations du produit emprunte déjà la voie la plus sûre : le numéro décrit les paramètres selon des hypothèses énoncées, et les estimations de temps sont des comparaisons plutôt que des prédictions. Gardez ces qualificatifs attachés chaque fois que le numéro est cité.
Ce qu'il faut retenir : une phrase secrète générée a une entropie connue, c'est pourquoi le générateur de mots de passe peut être honnête quant à sa force.
Une phrase secrète générée a un modèle calculable car ToolAcre contrôle et expose les choix aléatoires. Cette transparence est la propriété utile. Le chiffre binaire qui en résulte n’est pas une peinture intrinsèque sur les personnages et ne garantit pas la sécurité de chaque attaquant ou système.
Utilisez l'estimation pour auditer les modifications de configuration, puis gardez la valeur réelle privée et unique. N'utilisez pas ToolAcre en tant que gestionnaire et ne collez pas un identifiant existant pour évaluation. Un modèle clair vaut mieux qu'un mètre sûr seulement lorsque sa limite reste visible.