Parce que rand() n'est pas vraiment aléatoire : ça utilise une liste de nombres, donc si on connait le premier nombre d'une série de nombres aléatoires, on peut retrouver les nombres suivants en appliquant le même algo avec la même « graine » (seed). Comme rand() n'est pas parfaitement aléatoire, on peut utiliser ce fait pour casser plus facilement le mot de passe.
Autant l'entropie d'un dé est connue, parce qu'aléatoire, autant l'entropie de rand(), je ne la connais pas (parce je ne sais pas comment la calculer ; ça dépend de l'algo).
Pour ce qui est de la phrase de passe (PdP), on ne compte pas l'entropie apportée par chaque lettre, mais l'entropie apportée par chaque mot. au sein de la phrase. La liste contient 7776 (6^5) mots ; chaque mot représente une des composantes de la phrase de passe.
Si on a une PdP de 2 mots, on a 7776 x 7776 combinaisons possibles ; avec 3 mots on a 7776 x 7776 x 7776 combinaisons possibles. Si les mots sont choisis purement au hasard, il faut alors tester toutes les combinaisons possibles pour réussir à craquer la PdP.
Diceware est conçu pour permettre d'utiliser des mots courants d'une langue donnée, et en même temps être résistant aux attaques par dictionnaire (qui consiste à essayer tous les mots d'une langue pour craquer la PdP)
Autre explication : tu parles de créer des mots de passes avec des caractères ascii. En supposant qu'on puisse utiliser tous les caractères ASCII (128 symboles), on peut créer des MdP d'une longeur de 2 caractères (128 x 128 possibilités), de 3 caractères (128 x 128 x 128 possibilités) etc. Diceware propose de remplacer le caractère (en tant qu'unité) par un mot, et la table de 128 caractères par une table de 7776 mots. La PdP est plus longue qu'un mot de passe, mais plus facile à se rappeler.
Petit calcul pour les matheux : l'entropie d'une lettre de l'alphabet choisie au hasard est de log2(26) = 4,7. Une PdP Diceware de 5 mots (en moyenne 20 caractères) a une entropie de 64,6 bits. Pour obtenir la même entropie avec des lettres (minuscules) au hasard, il faut 14 lettres. Mais la PdP diceware, bien que 50% plus longue, sera bien plus facile à mémoriser, pour un niveau de sécurité identique, qu'une suite de 14 lettres choisies au hasard.
[^] # Re: Et l'entropie alors ??
Posté par Matthieu Weber . En réponse au journal Diceware -- Liste de mots en français. Évalué à 5.
Autant l'entropie d'un dé est connue, parce qu'aléatoire, autant l'entropie de rand(), je ne la connais pas (parce je ne sais pas comment la calculer ; ça dépend de l'algo).
Pour ce qui est de la phrase de passe (PdP), on ne compte pas l'entropie apportée par chaque lettre, mais l'entropie apportée par chaque mot. au sein de la phrase. La liste contient 7776 (6^5) mots ; chaque mot représente une des composantes de la phrase de passe.
Si on a une PdP de 2 mots, on a 7776 x 7776 combinaisons possibles ; avec 3 mots on a 7776 x 7776 x 7776 combinaisons possibles. Si les mots sont choisis purement au hasard, il faut alors tester toutes les combinaisons possibles pour réussir à craquer la PdP.
Diceware est conçu pour permettre d'utiliser des mots courants d'une langue donnée, et en même temps être résistant aux attaques par dictionnaire (qui consiste à essayer tous les mots d'une langue pour craquer la PdP)
Autre explication : tu parles de créer des mots de passes avec des caractères ascii. En supposant qu'on puisse utiliser tous les caractères ASCII (128 symboles), on peut créer des MdP d'une longeur de 2 caractères (128 x 128 possibilités), de 3 caractères (128 x 128 x 128 possibilités) etc. Diceware propose de remplacer le caractère (en tant qu'unité) par un mot, et la table de 128 caractères par une table de 7776 mots. La PdP est plus longue qu'un mot de passe, mais plus facile à se rappeler.
Petit calcul pour les matheux : l'entropie d'une lettre de l'alphabet choisie au hasard est de log2(26) = 4,7. Une PdP Diceware de 5 mots (en moyenne 20 caractères) a une entropie de 64,6 bits. Pour obtenir la même entropie avec des lettres (minuscules) au hasard, il faut 14 lettres. Mais la PdP diceware, bien que 50% plus longue, sera bien plus facile à mémoriser, pour un niveau de sécurité identique, qu'une suite de 14 lettres choisies au hasard.