Phrase secrète vs mot de passe : entropie et sécurité expliquées

Chaque mot de passe possède une propriété mesurable appelée entropie — le nombre de bits d'aléatoire qu'il contient. Plus d'entropie signifie plus de combinaisons possibles qu'un attaquant doit essayer. Un mot de passe avec 50 bits d'entropie a 2^50 possibilités. À un milliard d'essais par seconde, cela prend environ 13 jours. À 80 bits, même un billion d'essais par seconde prendrait 38 000 ans.

L'idée clé est que l'entropie dépend de la façon dont le mot de passe a été généré, pas de son apparence. "Tr0ub4dor&3" semble complexe mais n'a qu'environ 28 bits d'entropie. Pendant ce temps, "correct horse battery staple" fournit environ 52 bits avec la liste EFF de 7 776 mots.

La plupart des politiques se concentrent sur la composition des caractères plutôt que l'entropie réelle. Cela crée un faux sentiment de sécurité : "Summer2026!" satisfait toutes les exigences mais tombe face à une attaque par dictionnaire en secondes.

Pour un mot de passe vraiment aléatoire, l'entropie = log₂(C^L), où C est la taille du jeu de caractères et L la longueur. Un mot de passe de 12 caractères d'un ensemble de 95 a ≈ 79 bits.

Pour les phrases, l'entropie = log₂(W^N), où W est la taille de la liste et N le nombre de mots. Avec la liste EFF (7 776 mots) : 4 mots ≈ 51,7 bits ; 5 mots ≈ 64,6 bits ; 6 mots ≈ 77,5 bits ; 7 mots ≈ 90,5 bits.

Ce calcul suppose que l'attaquant connaît votre méthode de génération. C'est la mesure de sécurité conservative et réaliste.

Les phrases offrent un avantage unique : elles échangent la complexité de caractères contre la longueur, atteignant une haute entropie tout en restant mémorables. Une phrase de six mots a environ 78 bits d'entropie — égalant un mot de passe aléatoire de 12 caractères — mais est bien plus facile à retenir.

Le facteur de mémorabilité n'est pas qu'une commodité — c'est un avantage de sécurité. Quand les mots de passe sont difficiles à retenir, les utilisateurs les notent de façon non sécurisée ou les réutilisent.

Les phrases résistent aussi mieux à l'observation par-dessus l'épaule que les mots de passe en caractères.

La méthode Diceware, développée par Arnold Reinhold en 1995, utilise des dés physiques pour sélectionner des mots d'une liste numérotée. L'EFF a mis à jour la liste en 2016 pour utiliser uniquement des mots anglais courants.

Les mots de passe aléatoires atteignent une entropie plus élevée par caractère. Un mot de passe de 16 caractères fournit environ 105 bits — il faudrait 8 mots Diceware pour égaler cela.

Pour les comptes gérés par un gestionnaire, les mots de passe aléatoires sont strictement supérieurs. Le gestionnaire gère tout, donc la mémorabilité est sans importance.

Les mots de passe aléatoires sont aussi plus compacts, ce qui compte dans les systèmes avec des limites de longueur basses.

L'inconvénient clé est qu'ils sont impossibles à mémoriser. Si vous perdez l'accès à votre gestionnaire, la récupération dépend de votre stratégie de sauvegarde.

Utilisez des phrases pour : votre mot de passe maître ; les connexions ordinateur ; les PINs de téléphone ; les mots de passe de chiffrement de disque ; et tout identifiant où vous ne pouvez pas compter sur le remplissage automatique.

Utilisez des mots de passe aléatoires pour : tous les comptes dans votre gestionnaire ; les clés API ; les comptes de service ; les mots de passe de base de données.

Pour une sécurité maximale, combinez les deux approches : une phrase forte comme mot de passe maître et des mots de passe aléatoires uniques pour chaque compte individuel.

Commencez avec un minimum de 5 mots pour les comptes personnels et 6-7 pour les cibles à haute valeur. Utilisez la liste EFF ou une liste équivalente avec au moins 7 776 entrées.

Envisagez d'ajouter une ou deux modifications : mettez en majuscule un mot aléatoire, insérez un chiffre entre deux mots ou utilisez un séparateur inhabituel.

Ne sélectionnez jamais les mots vous-même. La sélection humaine est fortement biaisée vers les mots communs. Utilisez toujours des dés ou un générateur cryptographique.

Les phrases et les mots de passe aléatoires peuvent offrir une excellente sécurité utilisés correctement. Le choix dépend du contexte : phrases pour la mémoire humaine, mots de passe aléatoires pour la gestion machine.

Quelle que soit la méthode, le facteur le plus important est l'unicité. Une phrase parfaite réutilisée sur trois sites est bien moins sécurisée que trois mots de passe médiocres mais uniques.