Pour ma part, j’ai construit ma phrase de passe en essayant de faire en sorte qu’elle ait « presque du sens » pour moi, alors qu’elle en est dépourvue.
Pour illustrer, elle pourrait ressembler à quelque chose comme ça (en réalité, elle n’y ressemble pas du tout, mais j’ai essayé d’appliquer peu ou prou le même principe pour construire cet exemple) :
<?#import [gpg];open("fei+th7Xah5e") end
Je dis que ça a « presque du sens » parce que ça pourrait se comprendre, dans un pseudo-langage qui aurait l’air d’un mix entre PHP et je ne sais quel autre, comme l’inclusion d’un hypothétique module dédié à l’utilisation de GnuPG et l’ouverture d’un trousseau de clef. Ce qui tient lieu de « paramètre » à la « fonction » open est choisi aléatoirement, c’est la seule partie de la phrase de passe que je dois réellement mémoriser — j’arrive à retrouver le reste en me souvenant de l’idée initiale qui a conduit à cette phrase de passe.
aux final la phrase de passe peut se trouver plus facilement à partir de dictionnaires (au final est-ce si grave que ça, je ne sais pas trop)
La phrase de passe est ce qui protège les clefs privées au cas où le fichier qui les contient ($GNUPGHOME/secring.gpg) ne serait plus aussi privé qu’il doit l’être. Un attaquant doit d’abord se procurer ce fichier avant de pouvoir se livrer à une attaque par dictionnaire.
Sachant cela, il serait tentant de se dire qu’une phrase de passe faible n’est pas grave, « de toute façon le trousseau privé est à l’abri sur ma machine, personne ne peut venir le chercher ».
Toutefois, pénétrer ta machine,1 exfiltrer le trousseau privé et bruteforcer la phrase de passe est presque certainement plus facile et moins coûteux que de cryptanalyser la clef proprement dite (retrouver la clef privée à partir de la clef publique).
Au final, normalement, je n'ai pas besoin de taper la phrase de passe maitresse souvent
Attention à ne pas confondre « clef maîtresse » et « phrase de passe protégeant le trousseau privé ». À ma connaissance, il n’y a qu’une seule phrase de passe pour tout le trousseau privé, je ne crois pas que GnuPG permette de choisir des phrases de passe différente pour la clef maîtresse et pour chacune des sous-clefs.
Donc, même si tu n’utilises la clef maîtresse qu’occasionnellement (en principe, seulement pour modifier ton trousseau et certifier d’autres clefs), tu auras besoin de saisir ta phrase de passe pour chaque utilisation de routine de tes sous-clefs.
Et ça tombe bien, parce que c’est justement ce qui va te permettre de mémoriser la phrase de passe rapidement et sans efforts. À l’inverse, il n’y a rien de tel pour oublier une phrase de passe que de s’en servir une fois tous les trois mois...
1 À ce sujet, Bruce Schneier, après avoir vu une partie des documents de Snowden, a résumé les capacités de pénétration de la NSA par ces mots : « If the NSA wants in your computer, it’s in. Period. »
# Une possibilité
Posté par gouttegd . En réponse au message Bien garder secret sa phrase de passe pour GnuPG. Évalué à 4.
Pour ma part, j’ai construit ma phrase de passe en essayant de faire en sorte qu’elle ait « presque du sens » pour moi, alors qu’elle en est dépourvue.
Pour illustrer, elle pourrait ressembler à quelque chose comme ça (en réalité, elle n’y ressemble pas du tout, mais j’ai essayé d’appliquer peu ou prou le même principe pour construire cet exemple) :
Je dis que ça a « presque du sens » parce que ça pourrait se comprendre, dans un pseudo-langage qui aurait l’air d’un mix entre PHP et je ne sais quel autre, comme l’inclusion d’un hypothétique module dédié à l’utilisation de GnuPG et l’ouverture d’un trousseau de clef. Ce qui tient lieu de « paramètre » à la « fonction » open est choisi aléatoirement, c’est la seule partie de la phrase de passe que je dois réellement mémoriser — j’arrive à retrouver le reste en me souvenant de l’idée initiale qui a conduit à cette phrase de passe.
La phrase de passe est ce qui protège les clefs privées au cas où le fichier qui les contient (
$GNUPGHOME/secring.gpg) ne serait plus aussi privé qu’il doit l’être. Un attaquant doit d’abord se procurer ce fichier avant de pouvoir se livrer à une attaque par dictionnaire.Sachant cela, il serait tentant de se dire qu’une phrase de passe faible n’est pas grave, « de toute façon le trousseau privé est à l’abri sur ma machine, personne ne peut venir le chercher ».
Toutefois, pénétrer ta machine,1 exfiltrer le trousseau privé et bruteforcer la phrase de passe est presque certainement plus facile et moins coûteux que de cryptanalyser la clef proprement dite (retrouver la clef privée à partir de la clef publique).
Attention à ne pas confondre « clef maîtresse » et « phrase de passe protégeant le trousseau privé ». À ma connaissance, il n’y a qu’une seule phrase de passe pour tout le trousseau privé, je ne crois pas que GnuPG permette de choisir des phrases de passe différente pour la clef maîtresse et pour chacune des sous-clefs.
Donc, même si tu n’utilises la clef maîtresse qu’occasionnellement (en principe, seulement pour modifier ton trousseau et certifier d’autres clefs), tu auras besoin de saisir ta phrase de passe pour chaque utilisation de routine de tes sous-clefs.
Et ça tombe bien, parce que c’est justement ce qui va te permettre de mémoriser la phrase de passe rapidement et sans efforts. À l’inverse, il n’y a rien de tel pour oublier une phrase de passe que de s’en servir une fois tous les trois mois...
1 À ce sujet, Bruce Schneier, après avoir vu une partie des documents de Snowden, a résumé les capacités de pénétration de la NSA par ces mots : « If the NSA wants in your computer, it’s in. Period. »