Le Wiki Koumbit
Pour générer un mot de passe respectant nos PratiquesSécurité, il faut donc avoir au moins 10 caractères incluant des chiffres et des lettres. Ceci permet de générer des mots de passe, mais il y a d'autres façon de gérer ces mot de passe une fois générés, voir GestionDesMotDePasse et PasswordManagementService/SoftwareComparison.
Contents
Manuellement
Méthode "acronyme"
Cette méthode donne un mot de passe relativement robuste et facile à se rappeler, mais comparativement court.
- choisir une phrase secrète d'au moins 8 à 10 mots
- prendre le premier mot de chaque lettre
- ajouter des signes de ponctuation et des chiffres
- le mot de passe résultant ne doit pas être un mot existant et doit faire au moins 8 caractères
Le problème avec cette approche est que le mot de passe résultant est souvent plus difficile à se rappeler et plus facile à deviner que la phrase originale! À utiliser seulement si la phrase originale est *trop longue* pour le système identifié.
Méthode "phrase"
Cette méthode donne un mot de passe robuste, facile à se rappeler et plus long que la méthode précédente.
- choisir une série de mots aléatoires (7 mots et plus idéalement)
- choisir une série de symboles aléatoires (des chiffres ou les symboles au dessus sur votre clavier)
- mettre les symboles entre les mots, ceci est votre mot de passe, il devrait être au moins 15-20 caractères
Les systèmes suivants génèrent de tels mots de passe:
XKCD-password-generator (pas encore dans Debian, voir 768772)
Sous GNU/Linux
pwgen
Utiliser l'outil en ligne de commande pwgen. Exemple:
$ pwgen -s 10 DK7AAwvokQ r5e5JB4brI v7gRfbn0dQ KQoGQZ2Js5 rXG55yKVfY ZxZJnwV9lB yPMOM1tmgC b3jppH5OuV cz069928jU nKNy19YBFC ynfhDWigU2 Qd54oJbMQF LE32vwKAS5 L4uMI1a7lO 84civ9gYgJ k0NhdMuvuZ yfJRcrR0SA dX7dRIpPav Q2T6zf1xL0 P0OcSOybLv xVg7ETxf2W [...]
L'outil affiche plusieurs mot de passes potentiels, en choisir un seulement.
Notez que la sortie par défaut donne des mots de passe qui sont faibles (discussion, bug debian). L'option -s est essentielle pour obtenir un mot de passe sécuritaire. L'option -y peut également être utilisée pour ajouter des symboles pour plus de sécurité.
pwqgen
Le logiciel passwdqc comprend un programme pwqgen qui génère des mots de passes un peu comme la méthode "phrase":
$ pwqgen movie=engine+Mecca
Par défaut, pwqgen génère un mot de passe avec 47 bits d'entropie, ce qui correspond à la sortie par défaut de pwgen -s, soit un mot de passe de 8 caractères avec des majuscules, minuscules et des chiffres. Pour générer un mot de passe plus sécuritaire en accord avec la politique établie ci-haut, utiliser:
pwqgen random=62
Pour vérifier ces chiffres, on peut observer que pwqgen utilise trois mots d'une dictionnaire de 4096 mots, séparé par un de 16 caractères aléatoires. Ceci nous donne:
qalc> log(((4096 * 2)^3) * (16^2); 2) = 47
Ceci correspond plus ou moins à des majuscules, minuscules et chiffres sur 8 caractères:
qalc> log((26 + 26 + 10)^8; 2) ≈ 47,63357
On peut donc augmenter l'entropie du mot de passe avec un argument en ligne de commande:
pwqgen random=62
62 bits génère un mot de passe à 4 mots et 3 symboles et correspond à un mot de passe de 10 caractères avec majuscules, minuscules, chiffres et 10 symboles:
log((26 + 26 + 10 + 10)^10; 2) ≈ 61,69925
À noter que ces calculs assument que l'attaquant sait que vous utilisez pwqgen pour générer vos mots de passe et donc également le dictionnaire utilisé. Malheureusement, pwqgen ne permet pas d'utiliser un autre dictionnaire, ce qui rend des outils comme XKCD-password-generator plus robustes car ils peuvent utiliser d'autres dictionnaires.
Si l'attaquant ne connaît pas le générateur utilisé et assume un mot de passe de chiffres et de lettres, l'entropie résultante est beaucoup plus grande, calculée à partir de la longueur du mot de passe. Dans le premier exemple, le mot de passe généré comporte 19 caractères, ce qui nous donne 117 bits d'entropie. Avec random=62, on génère des mots de passe de près de 25 caractères, ce qui donne plus de 150 bits d'entropie.
En ligne
Ne pas utiliser de site web ou de logiciel en ligne pour générer votre mot de passe! Votre mot de passe pourrait être intercepté en transit ou délibérément choisi par le site web pour s'introduire sur vos serveurs!
Gestion des mots de passe
Il est possible de générer des mots de passe automatiquement pour chaque site que vous utilisez, avec un gestionnaire de mot de passe. Voir GestionDesMotDePasse et PasswordManagementService/SoftwareComparison.