Accueil Brèves Plan du site Contact


Charentaises

 
La Méthode Diceware

UN PROBLÈME : VOTRE MOT DE PASSE. UNE SOLUTION : QUELQUES DÉS !
POUR L’UTILISATEUR SANS CONNAISSANCE TECHNIQUE, SOUHAITANT CONSTRUIRE UNE PHRASE DE PASE SÉCURISÉE ET FACILE À MÉMORISER.

Première publication : 15 décembre 2001, mise en ligne: samedi 15 décembre 2001, par Joachim D.

Le grand point faible des logiciels de cryptographie forte est le mot de passe de l’utilisateur ; découvert, il permet à n’importe qui d’utiliser une clé secrète comme le ferait son utilisateur légitime, corrompant le réseau de confiance, raison pour laquelle il faut des mots de passe forts. Malheureusement, les mots de passe forts sont le plus souvent difficiles à se rappeller. La méthode décrite ici permet de construire des mots de passe (phrases de passe) forts et facile à se rappeller ; cette solution est élégante, efficace, et sûre, même si les moyens utilisés pour construire la phrase de passe sont publiquement accessibles. Le traducteur de cette méthode l’utilise couramment pour son usage personnel.

(traduit de la "Diceware Passphrase Homepage", par Arnold G. Reinhold)

Cette page n'a qu'un seul but: vous enseigner un meilleur moyen de créer une phrase de passe à utiliser avec PGP, Hushmail, ou d'autres programmes de cryptage et de sécurité. L'information présentée ici peut être utilisées par n'importe qui. Aucune connaissance en cryptographie ou en mathématique n'est requise. Si vous vous sentez assez concerné par votre intimité pour utiliser le cryptage, prenez quelques minutes et apprenez comment le faire correctement.

[L'adresse de la version originale de ce document est désormais "http://www.diceware.com". Mettez vos liens à jour.]

Cette page est également disponible en Chinois, en Japonais et en Finlandais.

[...]

Qu'est-ce qu'une phrase de passe?

Une phrase de passe est un groupe de mots et de caractères que vous tapez à l'adresse de votre ordinateur pour lui faire savoir avec sureté que la personne au clavier est bien vous. Vous avez souvent besoin d'une phrase de passe lorsque souhaitez faire faire à l'ordinateur quelque chose de spécial, comme coder ou décoder un message secret.

Par exemple PGP, le programme de cryptage si populaire de Phil Zimmermann, vous oblige à créer une phrase de passe à chaque fois que vous signez ou décryptez des messages, de même que GPG, la version open-source. Un nouveau service en ligne, HushMail, fournit un service gratuit d'email cryptés, mais sa sécurité dépend presque entièrement de la qualité de la phrase de passe choisie. (Voyez la FAQ Diceware si vous pensez utilisez Hushmail.) Vous devriez suivre les instructions de la méthode Diceware et préparer votre phrase de passe avant de créer votre clé PGP ou d'ouvrir votre nouveau compte Hushmail.

Les phrases de passe ne diffèrent des mots de passe que par la longueur. Les mots de passes sont habituellement courts - 6 à 10 caractères. Les mots de passe courts sont admissibles pour s'identifier auprès de systèmes informatiques programmés pour détecter un grand nombre de suppositions incorrectes, mais ils ne sont pas sûrs à utiliser avec des crypto-systèmes. Les phrases de passe sont habituellement beaucoup plus longues - jusqu'à 100 caractères, voire plus. Leur plus grande longueur les rend plus sures. Les phrases de passe modernes furent inventées par Sigmund N. Porter en 1982.

Choisir une bonne phrase de passe est une des choses les plus importantes que vous pouvez faire pour préserver la confidentialité de vos données informatiques et de vos messages électroniques. Une phrase de passe doit être:

  • Connue de vous seul.
  • Suffisament longue pour être sure.
  • Difficile à deviner - même pour quelqu'un qui vous connait très bien.
  • Facile à retenir et à saisir sans erreur.

Qu'est ce que [la méthode] Diceware?

Diceware est une méthode pour construire une phrase de passe qui utilise des dés pour choisir au hasard des mots parmi une liste spéciale, appelée 'liste de mots Diceware'. Chaque mot de la liste est précédé par un nombre à cinq chiffres. Chaque chiffre est compris entre un et six, ce qui vous permet de d'utiliser les tirages de cinq lancers de dés pour choisir un unique mot de la liste.

Voici un court extrait de la liste de mots Diceware:

       16655     clause
       16656     claw
       16661     clay
       16662     clean
       16663     clear
       16664     cleat
       16665     cleft
       16666     clerk
       21111     cliche
       21112     click
       21113     cliff
       21114     climb
       21115     clime
       21116     cling
       21121     clink
       21122     clint
       21123     clio
       21124     clip
       21125     clive
       21126     cloak
       21131     clock

La liste complète contient 7776 mots anglais courts, des abbréviations, et des séquences de caractères facile à se rappeller. La longueur moyenne de chaque mot est à peu près de 4,2 caractères. Le mot le plus long fait six lettres. La liste repose sur une liste plus longue postée sur le newsgroup sci.crypt, par Peter Kwangjun Suk. Une autre liste, éditée par Alan Beale, contient moins d'américanismes et de mots obscures. Vous pouvez aussi télécharger la liste de mots diceware au format PostScript. Pour plus d'information voyez la FAQ Diceware.

Utiliser la méthode Diceware

Pour utiliser la liste Diceware, vous avez besoin d'un ou plusieurs dés. Les dés sont inclus dans de nombreux jeux de plateau, et sont vendus séparément dans les magasins de jouets, [...] ou de magie. Aux Etats-Unis, Toys"R"Us les vend par cinq pour environ un dollar. Vous pouvez acheter en ligne des dés certifiés pour casino, auprès de Casinocom.com, pour environ 11,00 US$, mais ils dépassent largement notre besoin. N'utilisez pas d'émulateur de dés, qu'il soit informatique ou électronique.

  1. Premièrement, téléchargez la liste Diceware ou la liste alternative de Beale, et enregistrez la sur votre ordinateur. Imprimez la si vous le souhaitez. Ensuite revenez à cette page à l'aide du bouton 'Retour' de votre navigateur.
  2. Ensuite, décidez du nombre de mots que vous souhaitez avoir dans votre phrase. Nous recommandons une phrase de passe de cinq mots pour utiliser PGP, S/MIME et autres programmes de cryptage. Si vous êtes paresseux, une phrase de passe de quatre mots fournit quand même une protection raisonnable. PourS les paranoïaques, une phrase de passe de six mots rendra toute attaque sur votre phrase irréalisable pour l'avenir envisageable. Si vous souhaitez comprendre pourquoi, voyez la FAQ Diceware.
  3. Maintenant lancez les dés et notez les résultats sur une feuille de brouillon. Notez les par groupe de cinq. Faites autant de ces groupes que vous voulez de mots dans votre phrase de passe. Vous pouvez lancer un dé cinq fois, ou une fois cinq dés, ou une combinaison entre les deux. Si vous lancez plusieurs dés à la fois, lisez le résultat de gauche à droite.
  4. recherchez chaque nombre à cinq chiffres ainsi obtenu dans la liste Diceware et prenez le mot correspondant. Par exemple, 21124 signifie que le prochain mot de votre phrase de passe sera "clip".
  5. Une fois que vous avez fini, les mots que vous avez trouvés forment votre nouvelle phrase de passe. Apprenez les par coeur, puis détruisez votre feuille de brouillon, ou conservez la dans un endroit vraiment très sûr. Voilà, c'est fini!

Exemples:

Supposons que vous choisissez une phrase de passe de cinq mots, comme recommandé pour la plupart des utilisateurs. Vous aurez besoin de 5 fois 5 ou 25 lancers de dés. Disons que les tirages donnent ceci:

     

      1, 6, 6, 6, 5, 1, 5, 6, 5, 3, 5, 6, 3, 2, 2, 3, 5, 6, 

      1, 6, 6, 5, 2, 2, and 4

Notez les résultats sur une feuille de brouillon par groupes de cinq tirages:

      1 6 6 6 5 

      1 5 6 5 3 

      5 6 3 2 2 

      3 5 6 1 6 

      6 5 2 2 4

Vous regardez ensuite dans la liste de mots Diceware pour chaque groupe de 5 tirages le nombre résultat et le mot lui correspondant:

      1 6 6 6 5     cleft

      1 5 6 5 3     cam

      5 6 3 2 2     synod

      3 5 6 1 6     lacy

      6 5 2 2 4     yr

Votre Phrase de passe serait alors:

      cleft cam synod lacy yr

Quelques tuyaux:

  • Pour une sécurité optimale, assurez vous que vous êtes seul et fermez les rideaux. Ecrivez sur une surface dure - pas sur un bloc-note. Après avoir appris votre phrase de passe, brûlez vos notes, dispersez les cendres et jetez les dans les toilettes.
  • Si vous souhaitez travailler avec une copy imprimée de la liste de mots, téléchargez la liste de mots Diceware au format PostScript. Ou bien ouvrez la liste ASCII avec votre traitement de texte et formattez la en 4 colonnes et 54 lignes par page. Vous obtiendrez un résultat propre et imprimable de 36 pages, dans lequel les deux premier lancers de dés sont les mêmes pour toute la page. Cela rend la recherche plus facile. Prenez garde à ne pas marquer la copie imprimée en aucune façon alors que vous sélectionnez vos mots. Vous pouvez aussi trouver la liste de mots en Appendice de Internet Secrets.
  • Si vous avez besoin de créer souvent des phrases de passe, prenez une boîte à chaussure ou une petite boîte alimentaire. Mettez-y cinq dés, secouez les vigoureusement - au moins dix secousses - puis posez la boîte de sorte que les dés glissent dans un angle. Ouvrez la boîte et lisez le résultat de gauche à droite, ou de bas en haut dans le cas d'un alignement vertical, puis recherchez directement le mot correspondant dans la liste. Répétez cette procédure jusqu'à ce que vous ayez assez de mots pour votre phrase de passe.
  • Nous recommandons que vous utilisiez la phrase de passe exactement telle qu'elle est créée. Si vous souhaitez une phrase de passe plus forte, choisissez un mot supplémentaire en utilisant la méthode Diceware.
  • Dans la mesure où plusieurs mots font deux caractères ou moins, vous pouvez obtenir une phrase de passe très courte. Si votre phrase de passe fait moins de 14 caractères, en incluant les espaces entre les mots, nous recommandons de reprendre à zéro et de créer une nouvelle phrase de passe. Vous devriez reprendre à zéro aussi si la phrase de passe est une proposition ou une phrase anglaise reconnaissable. (aucune de ces situations n'arrive souvent.)
  • Voyez la FAQ Diceware pour des suggestions sur la façon d'apprendre votre phrase de passe.

Matériaux optionnels que vous n'avez pas vraiment besoin de connaître:

Pour une sécurité supplémentaire sans ajouter de mot, introduisez dans votre phrase de passe un caractère spécial ou un numéro choisi au hasard. Voici comment le faire de façon sure: lancez un dé pour choisir un mot dans votre phrase de passe, lancez le encore pour choisir une lettre dans ce mot. Lancez le une troisième et une quatrième fois pour choisir le caractère à ajouter dans la table suivante:

               Third Roll 
         1   2   3   4   5   6

   F 1   ~   !   #   $   %   ^

   o 2   &   *   (   )   -   =

   u 3   +   [   ]   \   {   }

   r 4   :   ;   "   '   <   >

   t 5   ?   /   0   1   2   3

   h 6   4   5   6   7   8   9

Pour ceux qui sont enclins aux détails techniques, chaque mot de votre phrase de passe Diceware comporte 12,92 bits d'entropie, l'entropie étant ce qui quantifie sa sécurité. Une phrase de passe Diceware de cinq mots aurait une entropie d'au moins 64,6 bits; une phrase de six mots aurait 77,5 bits, et une de sept 90,4 bits. Insérer une lettre au hasard ajoute environ 10 bits d'entropy. Cela suppose, bien sûr, que vous conserviez le secret de votre phrase de passe.

Pourquoi Diceware?

Il y a de nombreuses recommandations sur l'Internet à propos de la façon de choisir une phrase de passe. Plusieurs sont bonnes, quelques unes sont mauvaises, mais presque toutes attendent de l'utilisateur qu'il juge de ce qui va être difficile à deviner pour quelqu'un d'autre. Certaines ne donnent aucune indication sur la façon de faire ça, d'autres vous font faire de complexes calculs mathématiques. Par contraste, la méthode Diceware pour créer des phrases de passe est:

  • Facile à apprendre et utiliser.
  • Très sure.
  • Totalement descriptive - nous vous indiquons exactement que faire à chaque étape du processus.
  • Transparente - il n'y a pas de "Faites moi confiance".
  • Gratuite - il n'y a pas de programmes ou de matériel requis, juste la liste Diceware et quelques dés ordinaires.

La nature descriptive de la méthode Diceware est très importante pour les nouveaux utilisateurs de PGP. Voici le témoignage d'une expérience personnelle, posté sur le newsgroup alt.security.pgp en Janvien 1996:

"Je souhaitais juste rapporter une anecdote sur la difficulté qu'il y a à convaincre un novice de l'importance d'un mot de passe sûr, et l'amener à comprendre ce qu'est un mot de passe sûr. Je suis un ancien aussi bien sur l'Internet qu'en matière de sécurité. Mais ma soeur débute complètement, et vient jsute d'ouvrir un compte Internet. Elle vit [dans le Middle-West] alors que je vis [sur la côte ouest]. Ainsi, nous échangeons un certain nombre de messages électroniques très personnels.

Récemment, elle décida de donner son mot de passe Internet à son mari afin qu'il puisse se connecter. Cependant, elle voulait qu'il ne puisse pas lire les messages privés que nous échangions. Bien sûr, je lui parlai de PGP.

Je lui donnai la leçon habituel sur l'importance de choisir un mot de passe que personne d'autre ne puisse facilement deviner, et que le mot de passe idéal serait un mot obscur et absurde qui n'aurait de signification que pour elle. Je lui dis de ne choisir ni anniversaires, ni commémorations, ni noms propres, et autres indications de cet ordre. Je ne suggérai pas de combinaison aléatoire de lettres et de nombres, car nous n'en étions pas à vouloir une sécurité de grande classe, nous voulions juste conserver cette correspondance loin des yeux de son mari. Alors, après qu'elle eut choisi son mot de passe, je décidai d'essayer de le pirater. Le PREMIER mot de passe que j'essayai fonctionna! Elle était très surprise de la facilité avec laquelle je l'avais truvé, mais c'était un mot que quiconque la connaissait aurait à l'esprit. Donc, après lui avoir donné quelques trucs supplémentaires sur un bon choix de mot de passe, je la laissai essayer encore. Cette fois-ci, cela me prit trois essais avant de trouver le bon mot. Finalement, elle abandonna et me laissa choisir un mot de passe pour elle."

Aurait-elle utilisé la méthode Diceware que sa première phrase elle-même aurait été totalement sûre et connue d'elle seule. Souvenez-vous: en cryptographie à clé publique, la sécurité de vos messages dépend de la phrase de passe de leur destinataire. Passez le mot sur cette méthode.

Liens et références:

Liens en relation avec Diceware:

[Autres versions de ce document:

[Documents complémentaires:]

  • The Diceware Kit: Instructions pour créer une liste de mots Diceware pour d'autres langues.

S. N. Porter, A Password Extension for Improved Human Factors, Advances in Cryptology: A Report on CRYPTO 81, Allen Gersho, editor, volume 0, U.C. Santa Barbara Dept. of Elec. and Computer Eng., Santa Barbara, 1982. Pages 81--81. Also in Computers & Security, Vol. 1. No. 1, 1982, North Holland Press.

[...]

Pour plus d'informations sur PGP:

Internet Gurus Central -- Introduction to PGP

MIT's Distribution Site for PGP

PGP International Home Page

Fran Litterio's Cryptography, PGP and Your Privacy Page

PGP Home Page

[Liens recommandés par le traducteur sur PGP:


Voici d'autres sites proposant des recommandations sur la constitution de phrases de passe. Je n'insinue pas que l'information fournie par ces sites est fausse, mais juste qu'elle pourrait s'avérer trop complexe pour la plupart des gens. Allez y voir et jugez en par vous-même.

©Copyright (c) 1996-2000, Arnold G. Reinhold, Cambridge, Mass. USA.


Note du traducteur sur "La Méthode Diceware"

Ce document est traduit d'une page de Arnold G. Reinhold, avec son aimable autorisation. Vous pourrez trouver l'original sur le <site personnel de Arnold G. Reinhold>. Des modifications structurelles ont été apportées à la page de Rheinold, mais le texte original a été autant que possible respecté. Vous trouverez la liste des modifications <ici>. La traduction est assez libre. Si vous remarquez des erreurs conséquentes, ou connaissez des tournures plus appropriées, n'hésitez pas à <m'en faire part>.

La séquence de caractère "[...]" indique la suppression d'éléments de l'original (cas où ces éléments n'ont aucune pertinence pour un francophone). Les textes compris entre crochets '[' & ']' sont mes interpolations.

Terminologie et modifications:

  • Le terme "passphrase" a été systématiquement traduit par "phrase de passe", un peu long mais sans ambiguité.
  • Le terme "open-source" a été écrit de cette façon car c'est le choix de Reinhold, qui nous a semblé cohérent.
  • Le terme "Diceware" a été traduit soit par "Diceware", soit par "méthode Diceware".

    En soit, l'usage d'accoller deux termes comme c'est le cas trouve difficilement des équivalents en français. D'autre part, l'idée fondamentale que contient ce terme est celui d'un procédé, presque un algorithme. C'est pourquoi je lui ai conféré la traduction sur-formulée de "méthode".

    La sur-formulation a été abandonnée dans l'expression "liste de mots Diceware" et "liste Diceware".

  • "casino-grade dice" a été rendu par "des dés certifiés pour casino", faute d'une expression plus adéquate.
  • "rolls" (of dice) a été rendu par "lancer".
  • "outcome" (of the roll) a été rendu par "tirage".
  • "small food storage box" a été rendu par "boîte alimentaire".
  • Le titre a été adapté dans un sens traduisant mieux le sujet général du document.
  • Les renvois au traductions japonaise chinoise et finlandaise ont été adaptés.
  • Le lien vers <http://www.pgp.com/> a été déplacé sur certaines occurences de "PGP".
  • Certaines occurences de "Phil Zimmermann" ont donné lieu à un lien vers <la page de PRZ>.

Dernière mise à jour :

16 mars 2003

Transféré sous SPIP le 26 octobre 2003


[ Imprimer cet article ] [ Haut ]
 

 
  Dossiers en cours
      Sur la loi Sarre

Encres cynophiles

Gauche d’auteur Le Laboratoire du Professeur Diafoirus
      La cage à troll

Techno Grog
      Technique...


      Contact

[ Plan du site ] [ Haut ]
 

 
Dans la même rubrique

Autres articles :
Signer des pages web avec PGP :
Contre-Attaque
La redirection de page



[ Haut ]
 

Accueil Brèves Plan du site Contact


Vous pouvez afficher les news sur votre site.
Copyright © Charentaises 2002

Site développé avec SPIP, un programme Open Source écrit en PHP sous licence GNU/GPL.

Design © Drop Zone City