Texte et outils du quotidien · Générateur de mots de passe
Pourquoi « agrafe de batterie de cheval correcte » ne fonctionne que si les mots sont aléatoires
· Pourquoi c'est important
mots de passe phrases secrètes caractère aléatoire
La célèbre bande dessinée a rendu les phrases secrètes populaires et a également engendré une mauvaise habitude : choisir ses propres mots ; cet article explique pourquoi la force dépend entièrement d'une sélection aléatoire à partir d'une liste connue.
La bande dessinée dont tout le monde se souvient et la leçon que la moitié d'entre eux ont manquée : quatre mots courants ne sont forts que lorsqu'ils sont choisis par les dés.
Une séquence mémorable de quatre mots démontre un format, et non le processus qui l'a sélectionné. Le calcul de ToolAcre dépend de la réception par chaque position d'un index uniforme indépendant du pool de mots éligibles. Si une personne choisit quatre mots familiers parce qu’ils semblent amusants ou forment une scène, le nombre visible de mots reste quatre tandis que la distribution sous-jacente change.
Le référentiel n'utilise pas de bande dessinée ou de phrase célèbre comme source de seuil de sécurité. Il implémente et teste une routine de sélection aléatoire. La leçon pratique est de préserver cette routine plutôt que de copier un exemple public ou d’imiter sa grammaire. Toute phrase imprimée dans un article est déjà connue et ne doit pas devenir une référence.
Quatre mots familiers ne constituent pas la preuve d'un processus de sélection aléatoire
Le choix humain peut favoriser les objets préférés, les noms, les citations, l'ordre grammatical et les mots qui vont ensemble. ToolAcre ne tente pas d'estimer ces préférences, il n'évalue donc pas une phrase existante. Appeler une séquence auto-choisie équivalente à quatre tirages uniformes appliquerait la formule génératrice à un processus qui ne s’est jamais produit.
La sélection aléatoire peut toujours produire deux mots qui se rapportent ou même se répètent, car les tirages utilisent le remplacement. La modification de cette sortie jusqu'à ce qu'elle semble plus aléatoire introduit la préférence humaine après coup. La procédure honnête consiste à accepter le nouveau résultat ou à générer un tout nouveau candidat, sans publier aucun des deux.
Principe de Kerckhoffs appliqué aux listes de mots : l'attaquant peut connaître l'intégralité de la liste EFF et la phrase secrète reste forte
Les listes EFF sont des actifs publics statiques, et cela ne compromet pas le décompte des indices possibles. Pour la longue liste, la build vérifie les entrées 7,776. Un attaquant peut connaître chaque mot, l'ordre du fichier et tous les paramètres ; la partie inconnue est de savoir quels indices indépendants Web Crypto a sélectionnés pour cette sortie privée particulière.
Cette conception évite « la sécurité grâce à une liste de mots secrète ». Cela signifie également que le filtrage doit être pris en compte. Si l'utilisateur réduit la longueur des mots autorisée, le pool éligible devient plus petit et la fonction d'entropie utilise ce pool réel plutôt que de continuer à citer 7,776.
Une liste de mots publique reste utilisable car l'index aléatoire, et non le secret de la liste, est l'entrée
Une expression telle que « tranche de tarte aux pommes rouges » comporte des associations et une structure grammaticale. Le référentiel ne contient aucun modèle sur la fréquence à laquelle les utilisateurs créent ce modèle, il n'attribue donc aucun espace de recherche numérique. Traiter les quatre jetons comme indépendants simplement parce qu'ils sont séparés par des espaces ignorerait les preuves de sélection.
ToolAcre choisit à la place chaque mot jusqu'à `secureRandomChoice` dans la même liste éligible. Le mot précédent ne restreint pas le tirage suivant. Cette indépendance est une propriété du chemin du code et non une propriété visuelle de la phrase complétée.
Les mots associés révèlent un processus humain que ce générateur ne modélise pas
Pour quatre mots de liste longue générés sans filtrage, le nombre de sorties ordonnées est 7,776⁴ car chacune des quatre positions peut recevoir n'importe quel index de liste. Le calcul peut être dérivé en ligne de la taille du fichier vérifiée. Une phrase de quatre mots créée par une personne ne reçoit ici aucun numéro correspondant car son processus de candidature n'est pas spécifié.
Cette comparaison évite délibérément les estimations de temps de crack et n'imprime pas de phrase générée. Il établit seulement qu'un processus est dénombrable à partir de choix uniformes connus tandis que l'autre ne l'est pas. L’adéquation d’un compte dépend toujours de la destination, de l’appareil et du modèle de menace plus large.
Exemple concret : comparez un générateur uniforme connu avec une phrase humaine non quantifiée
Une histoire mnémotechnique peut être construite après sélection si elle laisse inchangés les mots, l'ordre, la règle de casse et les délimiteurs. L’histoire est un aide-mémoire, pas une raison pour lui substituer un mot plus gentil. La publication de l'histoire ou de la phrase révélerait les informations d'identification, alors gardez les deux dans le cadre du processus de traitement approuvé.
ToolAcre lui-même n'enseigne ni ne teste les méthodes mnémoniques. Il fournit des mots anglais et des contrôles de formatage. La mémorisation d'un résultat particulier est personnelle et le stockage appartient à un gestionnaire plutôt qu'à cette page.
Ce que cela ne couvre pas : les allégations d'entropie spécifiques dans la bande dessinée et comment elles ont été calculées
Cet article ne reproduit pas les affirmations d'entropie spécifiques de la bande dessinée car la bande dessinée n'est pas une source de référentiel fournie à des fins de vérification. Il ne prétend pas non plus que n’importe quel nombre de mots vainc chaque attaque. Le phishing, les logiciels malveillants, la réutilisation et une destination compromise restent en dehors de l'arithmétique des listes.
L'omission préserve une limite utile : les mathématiques à choix générés peuvent être vérifiées directement par rapport au code et aux fichiers, tandis que l'histoire culturelle et les affirmations de tiers ont besoin de leurs propres sources primaires. Les deux ne doivent pas être mélangés car le format semble familier.
Ce qu'il faut retenir : gardez l'idée, abandonnez l'habitude ; laissez le générateur de mot de passe choisir les mots de la liste EFF
Conservez l'idée d'un identifiant multi-mots, mais laissez un processus aléatoire audité choisir les mots. ToolAcre utilise des actifs EFF vérifiés, Web Crypto et des indices impartiaux. Un vocabulaire public est attendu ; une nouvelle combinaison privée est la partie qui doit rester inconnue.
Ne choisissez pas les mots par thème, ne réparez pas les sorties maladroites et ne réutilisez pas le résultat. La génération fournit un candidat et l'oublie ; la politique de gestion, de stockage et de destination se déroule ailleurs. Le calcul de la force suit un processus aléatoire et non le charme de la phrase finale.