Comme quoi un petit peu de math permet parfois d'enlever une idée faussée par la grandeur des chiffres à manipuler de tête ... (Si vous arrivez à faire ce genre de comparaison de tête, 26^7 inférieur ou supérieur à 62^5, je suis très heureux pour vous !)
En dessous le tableau du nombre de possibilité de composition d'un mot de passe en fonction du nombre de caractères et des caractères utilisés :
min min+chif min+maj min+maj+chif
1 26 36 52 62
2 676 1 296 2 704 3 844
3 17 576 46 656 140 608 238 328
4 456 976 1 679 616 7 311 616 14 776 336
5 11 881 376 60 466 176 380 204 032 916 132 832
6 308 915 776 2 176 782 336 19 770 609 664 56 800 235 584
7 8 031 810 176 78 364 164 096 1 028 071 702 528 3 521 614 606 208
8 208 827 064 576 2 821 109 907 456 53 459 728 531 456 218 340 105 584 896
Bien entendu, 8 caractères avec des minuscules, des majuscules, des chiffres et des signes &"'-_=$*!:; : c'est encore mieux !
Avec un bémol pour le mot de passe ultime que même quand toi tu le connais tu peux pas te logger : lors des installations, de plus en plus de distribs proposent une installation localisée et dans la langue que l'on souhaite, lorsque vous choisissez un mot de passe root bien compliqué (accent, signes) et que vous rebootez avec un clavier non configuré car vous avez demandé une autre langue d'utilisation que la langue utilisée pour l'installation, c'est beaucoup plus dur de passer en administration ... Vraiment très dur ...
Sinon sur le net, je crée des mots de passe avec deux règles qui dépendent de l'adresse du site comme ça il est différent sur tous les sites. Site bancaires, achat, etc. une règle qui forme un mot de passe de 8 caractères avec minuscules, majuscules, chiffres et pour les sites moins "sensibles" une règle toute bête. On peut utiliser la deuxième lettre du TLD, le nombre de lettre de l'adresse, les initiales du nom du site, la troisième lettre de l'url du site -1, etc.
Pour les serveurs, c'est une autre règle ...
J'ai donc 3 règles à retenir plutôt que 500 mots de passe. Un inconvénient de cette méthode : quand il faut changer de mot de passe tous les mois par exemple ...
Et vous ? C'est le même partout ? Vous faites comment ?
# Non
Posté par farib . Évalué à 5.
# Muhuhu
Posté par Vincent (site web personnel) . Évalué à 8.
Comme tout le monde, j'utilise "god" comme mot de passe pour tout.
C'est plus simple.
[^] # Re: Muhuhu
Posté par Bruce Le Nain (site web personnel) . Évalué à 2.
[^] # Re: Muhuhu
Posté par Nap . Évalué à 4.
tellement con que personne ne peut y penser, en plus c'est ni des minuscules ni des majuscules ni des chiffres, bref ça déchire tout. Pour plus de sécurité on peut en mettre une cinquantaine. Le seul souci c'est si on le tape devant quelqu'un.
[^] # Re: Muhuhu
Posté par jahrynx . Évalué à 8.
pourquoi donc ?
parce que c'est le seul mot de passe ou le type peut lire ce que tu as tappé ?
[^] # Re: Muhuhu
Posté par Maxime (site web personnel) . Évalué à 1.
Maintenant c'est ma date de naissance (fser pourra confirmer s'il lis ce thread)
[^] # Re: Muhuhu
Posté par Uvoguine . Évalué à 7.
[^] # Re: Muhuhu
Posté par Bruce Le Nain (site web personnel) . Évalué à 2.
# Une racine commune...
Posté par alt3 (site web personnel) . Évalué à 2.
Ex:
generalmachin
gnrlmchn
gnrl
et voala.
# pwgen
Posté par Arnaud . Évalué à 4.
... et ça marche bien, ils sont assez simples à mémoriser.
Un exemple pour la route :
[^] # Re: pwgen
Posté par gc (site web personnel) . Évalué à 1.
[^] # Re: pwgen
Posté par Zorro (site web personnel) . Évalué à 2.
C'est comme le mot de passe qui m'a été attribué pour le MdkClub. Je sais pas si c'est exprès, mais il est aléatoire (enfin, je pense...) ET prononçable. Du coup, je l'ai jamais changé.
Sinon, pour le reste, j'ai bien sûr le même mot de passe pour tout, et aucun mot de passe pour les comptes root de mes PC de travail. Je passe tellement souvent en root (je passe mon temps à les bidouiller) que ça me fait ch-er de le retaper à chaque fois.
[^] # Re: pwgen
Posté par scand1sk (site web personnel) . Évalué à 2.
[^] # Re: pwgen
Posté par totof2000 . Évalué à 2.
[^] # Re: pwgen
Posté par Arnaud . Évalué à 1.
[^] # Re: pwgen
Posté par jpph . Évalué à 1.
[^] # Re: pwgen
Posté par tgl . Évalué à 3.
root() { local command="/bin/bash -l" if [ -n "${*}" ]; then command="${command} -c '{ cd \"${PWD}\" ;" # That mess is for quoting the command's arguments # (think of `root cat filename\ with\ spaces`) while [ -n "${*}" ] ; do command="${command} \"${1}\"" shift done command="${command} ; }'" fi sudo su -c "${command}" }Bon ouais c'est un peu bourrin, faudrait peut-être simplement que je fasse "man sudo" un jour, qui sait...[^] # Re: pwgen
Posté par Zorro (site web personnel) . Évalué à 0.
[^] # Re: pwgen
Posté par totof2000 . Évalué à 2.
[^] # Re: pwgen
Posté par Antoine J. . Évalué à 3.
Il semblerait que tes facultés cognitives soient "différentes" des miennes.
# Diceware
Posté par Matthieu Weber . Évalué à 5.
Et, oui, ça marche. J'arrive toujours à me souvenir du mot de passe de ma clef PGP (qui fait 22 caractères de long, lettres, chiffres et symboles), et pourtant je l'utilise moins d'une fois par mois.
# Par association d'idées
Posté par Nicolas Évrard (site web personnel, Mastodon) . Évalué à 3.
Par exemple le mot de passe qui a duré mes quatre ans d'université malgré les tests de l'admin à été composé ainsi:
* Je démarre avec le nom d'un groupe : radiohead
* Je transofrme les lettres de façon classique: r@d10head
* Je découpe le mot et traduit certaines parties: r@d10kop (kop = tête en néerlandais)
* Je fais un mapping sur le clavier en prenant la lettre à gauche ou à droite du mot: ezs1°jpo
Je trouve ça bien car il suffit de retenir une méthode pour tout un ensemble de mot de passe et qu'en plus à la fin, le mot obtenu n'a vraiment plus rien à voir avec le mot du début.
[^] # Re: Par association d'idées
Posté par Seazor . Évalué à 6.
Non pas pour le découvrir, mais pour le retaper.
En tout cas, pour moi ca le serait.
Clavier US au boulot, jap sur le pda, francais chez moi et belge chez des potes ou sur mon portable... (le francais, c'est parce que j'ai pas fait gaffe à l'achat :( )
J'te raconte pas les différences pour certaines ponctuations !! (genre "y avait quoi a coté de @ ?")
[^] # Re: Par association d'idées
Posté par Jimmy . Évalué à 3.
J'utilise souvent pour mes mots de passe le mapping du clavier : choisir un mot de passe non pas par rapport à une (absence de) signification, mais pour qu'il soit rapide à taper et vide de sens.
- alternance des deux mains, pour éviter qu'on puisse l'espionner par-dessus l'épaule
- utilisation aléatoire de majuscules pour la même raison
- mis de chiffres et de caractères spéciaux en utilisant la première ligne du clavier, avec ou sans majuscules
- di- ou trigraphes tapés très rapidement avec la même main. Voire même doublement de certains caractères.
A incompréhensibilité et complexité du mdp équivalente, ca permet de le taper très vite, et de s'en souvenir "géographiquement" plutôt que sémantiquement.
Vous me direz, et en cas de clavier différent ? J'utilise quotidiennement un qwerty et un azerty, il y a quand même pas mal de touches qui ne bougent pas. Mais à mon avis c'est encore meilleur d'avoir un mdp qui se tappe différemment selon le clavier, et il n'est pas si difficile de s'y adapter avec un peu d'habitude ...
# Lyrique :)
Posté par zeb . Évalué à 4.
L'oeil etait dans la tombe et regardait Cain. -> LoedlterC.
(ou la deuxieme lettre, etc...) avec la ponctuation.
C'est facile a retenir.
[^] # Re: Lyrique :)
Posté par chx dein . Évalué à 0.
by$P87l°kb
Ensuite tu les tapes des dizaines de fois, et tu le connais par coeur.
Par contre, c'est vrai que c'est chaud quand à l'installation le clavier est mal configuré. Ce fut mon cas avec la ubuntu. C'est assez énervant.
[^] # Re: Lyrique :)
Posté par zeb . Évalué à 2.
alors que tu peux prendre un poeme, et utiliser chaque vers pour faire un mot de passe. Ainsi, tu ne t'embrouilleras pas. Et se rappeler des caracteres speciaux comme %, $, ), c'est plutot difficile ama.
[^] # Re: Lyrique :)
Posté par zeb . Évalué à 2.
# Un peu de poésie, quoi
Posté par romain . Évalué à 2.
Exemple (que je n'utilise pas, prendre des trucs quand même pas trop évidents) :
"Les sanglots longs des violons de l'automne, blessent mon coeur d'une langueur monotone." => lsldvdlabmcdulm. Un peu extrême, celui-là. :-)
Evidemment, c'est aussi facile de monter un dictionnaire d'attaque du coup. Mais savoir quelle attaque est la bonne...
[^] # Re: Un peu de poésie, quoi
Posté par patrick_g (site web personnel) . Évalué à 3.
[^] # Re: Un peu de poésie, quoi
Posté par ZeroHeure . Évalué à 3.
Exemple:
"Albinoni jouait de sa musique, blême"
Donne A8j6d2s2m7,b6
"La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay
# Hum
Posté par cho7 (site web personnel) . Évalué à 6.
Tu raisonnes "logiquement", comme si le cracker de mot de passe savait la structure du mot de passe (minuscule, majuscule, etc)
Mais si il ne la connait pas, il devra se farcir toutes les combinaisons possibles, car il n'est pas devin.
Ainsi si je sais que le mot de passe a trouver est bien dans la plage chiffre-minuscule-majuscule, et que le mot de passe est "plop", alors même si il y a 26^4 combinaisons possible théorique d'après ton tableau, le programme se farcira quand même les majuscules et les chiffres, soit (26M + 26m + 10c) ^4 = 14 776 336 possibilités.
Donc tes valeurs calculées dépendent fortement de l'algorithme utilisé, et de la possibilité de restreindre ce dernier à un domaine de recherche (ex. minuscule seulement)
Bref, c'etait mon avis du moment.
[^] # Re: Hum
Posté par scand1sk (site web personnel) . Évalué à 6.
Si tu n'as que des minuscules, on va tomber plus vite sur ton mot de passe.
# Dans le genre
Posté par Vivi (site web personnel) . Évalué à 3.
L'idée c'est que tu as une passphrase, tu la concatènes avec l'URL du site et tu calcules le hash. Ça te fait un mdp différent pour chaque site à partir d'une seule passphrase.
[^] # Re: Dans le genre
Posté par rangzen (site web personnel) . Évalué à 1.
C'est génial ce truc !
Manque juste un plugin mozilla ou un mini projet avec gui minimaliste pour éviter d'avoir à retenir l'adresse :)
[^] # Re: Dans le genre
Posté par cho7 (site web personnel) . Évalué à 3.
Il y a une variable extrakey à regler selon ses envies pour personaliser un peu l'algorithme.
Il génère des mots de passe de 8 caractères, mais c'est facilement changeable.
#!/bin/sh
extrakey="xuhazefiuhfezuh"
echo "Veuillez saisir votre passphrase : "
read pass
clear
echo "Veuillez saisir le nom du site (ex: linuxfr.org) : "
read www
md5=`echo $pass$www$extrakey | md5sum | cut -b 1,2,3,4,5,6,7,8`
echo "Votre mot de passe est : $md5"
[^] # Re: Dans le genre
Posté par rangzen (site web personnel) . Évalué à 1.
Par contre, je vois pas trop à quoi sert extrakey ?
Surtout que je viens de tester et ça facilite beaucoup la recherche dans /proc/kcore
[^] # Re: Dans le genre
Posté par cho7 (site web personnel) . Évalué à 2.
Mais bon, après chacun fait comme il veut, moi personnelement c'est ma dernière idée que je vais retenir, je vais mettre mon pass en dur, comme ca je n'aurai plus qu'a tapper le nom du site, et le script me donnera le mot de passe.
Donc ou bien tu consideres que tu es le seul a utiliser le script, donc la passphrase ne sert a rien, tu peux la mettre en dur, et de ce fait très très longue et compliquée, ou alors tu vas la tapper a chaque fois, donc dans ce cas vaut mieux une passphrase simple, avec en arriere plan un extrakey compliqué qui complique le md5sum, meme si tu tappe "plop" comme mot de passe, et de prendre les précautions pour stocker l'extrakey dans un fichier non-readable pour tout le monde.
Bref, plein de solution, et pas spécialement une meilleure que les autres.
[^] # Re: Dans le genre
Posté par rangzen (site web personnel) . Évalué à 1.
Sinon pour éviter quand même le mot de passe en dur, tu rajoutes une boucle et tu lances dans un xterm qui traine toujours :) Comme ça, tu rentres la passphrase uniquement au lancement ...
[^] # Re: Dans le genre
Posté par rangzen (site web personnel) . Évalué à 1.
#!/usr/bin/python import getpass import sha import base64 passphrase = getpass.getpass("pass phrase : ") location = raw_input("location : ") print "password : "+base64.encodestring(sha.new(passphrase+location).digest())[0:8]et le one liner pour nos amis les mongeurs :)import getpass, sha, base64;print "password : "+base64.encodestring(sha.new(getpass.getpass("pass phrase : ")+raw_input("location : ")).digest())[0:8][^] # Re: Dans le genre
Posté par rangzen (site web personnel) . Évalué à 1.
Il faut quand même que l'attaquant connaisse la méthode utilisé pour la transformation avant d'attaquer un brute force ou une attaque dico avec transformation
Une passphrase statique + un petit mot de passe à retaper à chaque fois reste un bon compromis ...
[^] # Re: Dans le genre
Posté par Johann Heymes . Évalué à 2.
read -s pass[^] # Re: Dans le genre
Posté par rangzen (site web personnel) . Évalué à 1.
# md5, sha1 mes amis
Posté par ange_thom . Évalué à 2.
Comme je connais cette règle de base et que je cherche souvent la complexité j'ai cherché un système pour me générer rapidement une chaîne de chiffres et lettres : les MD5sum. Comme tout le monde j'ai des milliers de fichiers sur mes disques donc je fais un MD5sum (ou un sha1) sur un fichier quelconque. J'obtiens une chaîne plutot longue de chiffres et de lettres. J'en choisi un ou plusieurs morceaux totalisant 5 à 10 caractères et j'y insère ici et la des caractères non alphanumériques. Résultat : un mot de passe pas facile à retenir d'un minimum de 8 caractères.
[^] # Re: md5, sha1 mes amis
Posté par Buf (Mastodon) . Évalué à 5.
Pour générer des mots de passe, j'utilise ça :
dd if=/dev/random count=6 bs=1 | openssl base64
ça me donne un mot de passe aléatoire de 8 caractères, avec majuscules/minuscules/chiffres, du genre : BTjaFXk9 ou cpKiO8gO
[^] # Re: md5, sha1 mes amis
Posté par fredix . Évalué à 2.
http://oss.wired-networks.net/revelation/(...)
[^] # Re: md5, sha1 mes amis
Posté par Buf (Mastodon) . Évalué à 1.
[^] # Re: md5, sha1 mes amis
Posté par Michel Pastor . Évalué à 2.
http://oss.wired-networks.net/revelation/img/screenshots/edit.png(...)
[^] # Re: md5, sha1 mes amis
Posté par Olivier Guerrier . Évalué à 2.
J'ai rajouté une option qui permet d'utiliser le hash sha1 d'un fichier (connu) comme moteur d'entropie, à la place de /dev/random.
L'idée est qu'il suffit de se souvenir du fichier en question et d'un identifiant en clair pour regénérer à volonté un mot de passe.
par ex:
pwgen -H ~/un/fichier.ext#login@host [options standards pwgen]
Du coup, je viens de mettre le patch et les sources prépatchés en ligne:
http://www.guerrier.org/olivier/pwgen/(...)
# apg rulez
Posté par Loïs Taulelle ࿋ (site web personnel) . Évalué à 3.
alias apg='apg -a 0 -M sNCL -n 8 -x 12 -m 8 -E I1l0O\|\_ -t'
et je me suis forcé à en retenir 70.
Proverbe Alien : Sauvez la terre ? Mangez des humains !
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.