WizeGénérateur de mot de passe calculé chez vous et nulle part ailleurs
Les cinquante-deux autres outils
Le piège du tirage aléatoire est silencieux
C’est le défaut le plus courant de ces outils et il ne se voit jamais à l’œil. Pour choisir un signe parmi soixante-dix, on tire un octet, qui vaut de 0 à 255 et beaucoup d’outils prennent simplement le reste de la division. Le problème est que 256 ne se divise pas par 70 : les premiers signes de l’alphabet sortent plus souvent que les derniers.
L’entropie annoncée n’existe alors pas tout à fait et rien ne le montre : le mot de passe a l’air aussi aléatoire qu’un autre. Ici, les tirages qui tomberaient dans la zone déséquilibrée sont écartés et refaits. C’est mesuré et la mesure se refait à volonté depuis le banc d’essai du projet.
La phrase de passe tire dans exactement 256 mots
Ce n’est pas un chiffre rond pour faire joli. 256 mots donnent huit bits pile par mot, ce qui rend le calcul d’entropie exact au lieu d’approché. Un dictionnaire de 250 ou de 300 mots obligerait à annoncer une valeur arrondie, donc à mentir un peu.
Cinq mots valent donc exactement quarante bits et c’est vérifiable de tête. Le générateur refuse de fonctionner si son dictionnaire ne fait pas exactement 256 mots distincts : une entropie fausse est un faux résultat et rien sur la page ne le montrerait.
Mot de passe ou phrase de passe
Le mot de passe est plus court et plus dense. Il convient partout où vous ne le retapez jamais à la main, parce qu’un gestionnaire s’en occupe.
La phrase de passe est plus longue et bien plus facile à retenir et à retaper. Elle convient pour ce qu’on saisit soi-même : le mot de passe principal d’un gestionnaire, une session de travail, le chiffrement d’un disque, une archive protégée.
À nombre de bits égal, les deux se valent. Le choix se fait sur l’usage, pas sur la solidité.
Ce que l’entropie veut dire, en clair
C’est le nombre de bits d’incertitude pour qui essaierait de deviner. Chaque bit double le nombre d’essais nécessaires. En ordre de grandeur : sous 50 bits c’est court, entre 60 et 80 c’est confortable pour un compte ordinaire, au-delà de 90 c’est du domaine de l’inutilement solide pour un usage courant.
Ce chiffre ne vaut que pour un secret vraiment tiré au hasard. Un mot de passe choisi par un humain, même compliqué, vaut bien moins que sa longueur ne le laisse croire : c’est précisément pourquoi ces générateurs existent.
Rien n’est enregistré et rien n’est transmis
Le secret est fabriqué dans votre navigateur par le générateur cryptographique du système. Il n’est ni envoyé, ni conservé, ni écrit dans la mémoire du navigateur. Quitter la page l’efface définitivement : notez-le ou enregistrez-le dans votre gestionnaire avant de partir.
Questions fréquentes
Mon mot de passe est-il envoyé quelque part ? Non. Il est fabriqué dans votre navigateur par le générateur cryptographique du système et il n’en sort pas.
Est-il enregistré dans mon navigateur ? Non. Quitter la page l’efface définitivement : notez-le ou enregistrez-le dans votre gestionnaire avant de partir.
Pourquoi le dictionnaire fait-il exactement 256 mots ? Parce que 256 mots donnent huit bits pile par mot, ce qui rend le calcul d’entropie exact au lieu d’approché.
Combien de bits faut-il viser ? Sous 50 bits c’est court, entre 60 et 80 c’est confortable pour un compte ordinaire, au-delà de 90 c’est inutilement solide pour un usage courant.
Faut-il préférer le mot de passe ou la phrase ? À nombre de bits égal, les deux se valent. La phrase convient à ce que vous retapez vous-même, le mot de passe à ce qu’un gestionnaire retient pour vous.