Journal Devine mon mot de passe

Sommaire

• Courte (mon œil) introduction
• Jouons un peu
  • Comment se déroule une manche ?
  • Et le vibe-coding dans tout ça ?
  • Partage
  • Le vrai mot de passe.

Salut 'Nal,

Spoiler alert : une (petite) partie du travail présenté ici a été vibe-codé comme un cochon et je m’en explique plus bas. Malgré cet aveu et la (relative) culpabilité que j'en ressens, que cela ne vous empêche pas de moinsser si vous le souhaitez.

Courte (mon œil) introduction

Tu sais, cher Nal, que d’ordinaire j’enseigne la physique-chimie à des collégiens. Tu sais aussi probablement que nos daycideurs daycident habituellement de confier à l’école la résolution de tous les malheurs du monde et l’éducation à toutes sortes de choses. « L’éducation au numérique » en fait partie et la « cybersécurité » aussi. Bon, c’est vrai, il y a du boulot.

Et quand je dis du boulot, je vais te décrire la première séance avec des ordinateurs pour de petits 6ᵉ.

Il faut arriver à :
1- allumer un ordinateur
2- saisir un identifiant et un mot de passe pour ouvrir une session (client Windows, AD windows de même, pas taper, je n’y suis pour rien)
3- lancer un navigateur (Firefox quand même) qui par bonheur a l’espace numérique de travail (ENT) comme page d’accueil
4- saisir un identifiant et un mot de passe provisoire sur cet ENT
5- l’ENT demande immédiatement de choisir un mot de passe de complexité définie
6- lire la charte, cocher la case qui va bien, valider
7- lire le règlement du collège, cocher la case, valider

Tout ça en 55 min, avec 29 ou 30 choupinous tout excités d’être dans cette belle salle info

Ça n’a l’air de rien comme ça mais en ressortant j’ai toujours l’impression qu’il restait à Hercule un 13ᵉ travail et qu'il s'est lâchement dégonflé.

Je devine, chères moules linuxèfèriennes, certaines moues dubitatives. Et pourtant :

1- oui, il faut allumer l’ordi et l’écran. Non Jean-Thimothé, tu as allumé la tour, mais tu as éteint l’écran, il était déjà allumé avant. Gwendoline, la tour c’est la grosse boîte noire. Jean-Marcel ton clavier est à l’envers. M’sieur Kévin il a éteint mon ordi paskil pensait allumer le sien !
2- l’identifiant commence par la première lettre du prénom, mais Léonard s’obstine à mettre le chiffre un au lieu d’un L minuscule. Il y a parfois souvent un chiffre à la fin pour différentier les homonymes, Bob Andriatsimialomananarivo a vu son nom un peu raccourci, Jessica de L’Isle-Jourdain a perdu ses espaces, son apostrophe mais pas le tiret (non - pas _)
3- eh oui, il vaut mieux ne pas trop bouger la souris pendant un double clic
4- voir 2. Mais l’identifiant n’est pas le même. Il y a un point entre la première lettre du prénom et le nom. Pas le même nombre pour régler le problème des homonymes et pas les mêmes règles de simplification des noms longs.

5- Horreur absolue mais cette année ça s’est bien passé, j’y reviens

6 et 7 on n’a plus le temps, ça sonne, je retourne pleurer en salle des profs. Tout cela semble tellement inutile et les élèves n’ont finalement rien appris.

Je te la fais courte, cher ‘Nal, mais à la séance suivante la moitié des élèves ne sait plus son mot de passe de l’ENT, descend chez la secrétaire du collège, remonte avec un nouveau mot de passe provisoire et reprend les points 4 et 5.

Jouons un peu

Cette année j’ai essayé un truc et j’en suis assez content, pourvu que ça dure. Oh, je ne prétend pas avoir réglé tous les problèmes de cette foutue séance, mais juste le point 5, et j’espère la mémorisation du mot de passe.

Avant la rentrée, je suis tombé sur https://wiki.nothing2hide.org/doku.php?id=fiches_pedagogiques:devine-mon-mot-de-passe un petit jeu qui permet aux élèves de comprendre pourquoi il faut utiliser des mots de passe un petit peu complexe.
Le principe du jeu, si tu as la flemme de cliquer et de lire, est de faire s’affronter les élèves deux par deux. Un élève choisi un ensemble de cartes qui compose un « mot de passe ». Le deuxième tente de le deviner. Il y a des cartes de couleur, des cartes avec des lettres et des cartes avec des nombres. Plus le mot de passe est complexe, plus il est difficile à trouver.

J’ai créé ma version du jeu, en y apportant quelques modifications. Pour le fun, les deux joueurs sont explicitement nommés méchant·e et gentil·le. Les cartes « couleurs » sont remplacées par des cartes « symboles » avec des caractères spéciaux, de ceux qui posent des problèmes lors du point 5. J’ai dessiné les cartes avec inkscape, utilisé des illustrations (CC-by-sa) empruntées à Gee (grisebouille.net) et imprimé tout ça au collège. J’essaye maintenant de faire imprimer ça de façon un peu plus pro pour l’année prochaine, j’ai un peu fait ça dans l’urgence :-/

Comment se déroule une manche ?

En quatre temps.

Attribution des rôles : chaque élève du binôme tire au sort une carte « rôle » pour déterminer qui sera le « gentil » (créateur du mot de passe) et qui sera le « méchant » (l’attaquant qui doit le deviner).
Création du mot de passe : le « gentil » choisit les cartes constituant son mot de passe (voir détails ci-dessous) et les pose, face cachée, devant lui sur la table. L’ordre des cartes n’a pas d’importance (ex : A3 est identique à 3A)
L’attaque : au signal de l’enseignant, le « méchant » a 10 secondes pour deviner le mot de passe et un nombre de tentatives qui dépend de la manche. Il énonce à voix haute ses propositions au « gentil ». Au bout des 10 secondes, le gentil découvre ses cartes.
Fin de manche : l’enseignant relève le nombre de mots de passe cassés et commente les résultats.

1ʳᵉ manche
Le mot de passe est constitué d’une seule lettre
Le méchant a 3 essais maximum pour trouver. La probabilité de trouver lors de la manche est de 3/5. Avec 15 binômes (classe de 30 élèves) une dizaine de mots de passe sont cassés. C'est facile !

2ᵉ manche
Le mot de passe est constitué d’une lettre et d’un chiffre. Le méchant a 3 essais maximum pour trouver. L’ordre n’intervient pas, il y a donc 25 combinaisons possibles.
Avec 15 binômes le taux de réussite est de l’ordre de un ou deux. Si aucun code n’est trouvé, on refait une manche semblable.

3ᵉ manche
Le mot de passe est constitué d’une lettre et d’un chiffre. Le méchant a 10 secondes maximum pour trouver sans limite du nombre d’essais.
En augmentant le nombre d’essais, le nombre de réussite augmente nécessairement. J’en profite pour expliquer que certains systèmes envoient bouler les maladroits au bout de quelques erreurs.

4ᵉ manche
Le mot de passe est constitué d’une lettre, d’un chiffre et d’un symbole. Le méchant a 10 secondes maximum pour trouver sans limite du nombre d’essais.
Il y a 125 combinaisons possibles et la probabilité de casser un code devient faible.

Et le vibe-coding dans tout ça ?

Ah oui, j’ai fait un aveu en début de journal – j’y arrive.
Les mots de passe restent très simples. Il faut encore justifier la nécessité d’un vrai mot de passe. C’est là qu’arrive mon « super méchant ». Le super méchant va défier tous les binômes en même temps et casser tous les mots de passe par force brute. Chaque binôme choisi son mot de passe et le super-méchant fait défiler toutes les combinaisons possibles de mots de passe. En moins de 7 secondes c’est fait. Bon, le défilement est très fortement ralenti pour que les élèves voient qu’il se passe quelque chose puis on vérifie : tous les mots de passes sont trouvés, ils ne sont pas assez forts.

C’est ce super méchant et la page web autour que j’ai « vibe-codé », en moins de deux heures, avec claude.ai, par manque de temps et par manque de compétences (j’avais pris pascal en LV1 à la fac, le JS c’est pas mon fort). Il est probable que le code soit cracra, mais j’aurai du mal à le critiquer. Cette page web sert aussi à animer les autres parties du jeu en affichant les consignes pour la manche en cours et un chronomètre pour les 10s quand c’est nécessaire.

Partage

Tout ce qui a été source d'inspiration est sous licence CC-by-sa. Le résultat aussi et comme ça semble pas trop mal marcher, j'ai déposé ça sur la forge éduc'nat

https://forge.apps.education.fr/devine-mon-pass/devine-mon-pass

La description : https://devine-mon-pass.forge.apps.education.fr/devine-mon-pass/

La page de jeu et le super méchant : https://devine-mon-pass.forge.apps.education.fr/devine-mon-pass/jeu-passe.html

Le vrai mot de passe.

La fin de la séance est consacrée aux méthodes de mémorisation des mots de passe, je leur donne quelques trucs pour construire un mot de passe pas trop difficile à retenir, suffisamment complexe pour satisfaire aux exigences de l’ENT et ils ont comme « devoir à la maison » à choisir et apprendre par cœur leur futur mot de passe pour la séance suivante. Pour une fois le point 5 est passé comme une fleur !

Le document distribué : https://nuage03.apps.education.fr/index.php/s/ZFDxg5qjNemW4JH