Mot de passe ou phrase de passe : lequel est le plus sûr ?

Le plus robuste est celui qui contient le plus de hasard. Un mot de passe aléatoire et une phrase de mots tirés au hasard peuvent être exactement aussi robustes. La différence est ailleurs : le mot de passe est plus court, la phrase se retient et se tape plus facilement. Voici combien de mots valent combien de caractères, et quand choisir l’un ou l’autre.

D’où vient la robustesse

La robustesse se mesure en bits. Chaque bit supplémentaire double le nombre d’essais nécessaires à un attaquant. Nous comptons de façon stricte : l’attaquant sait comment le mot de passe ou la phrase ont été créés, connaît la liste de mots et leur nombre, et ignore seulement ce que le hasard a tiré.

• Mot de passe aléatoire : chaque caractère est tiré parmi 81 possibilités (minuscules, majuscules, chiffres et symboles) et apporte 6,3 bits.
• Phrase de passe : chaque mot est tiré d’une liste de 2 048 mots français et apporte 11,0 bits. Un mot vaut donc 1,7 caractère aléatoire.

Phrase de passe	Robustesse	Mot de passe aléatoire équivalent	Hachage rapide (MD5)
4 mots	44 bits	8 caractères	41 secondes
5 mots	55 bits	9 caractères	23 heures
6 mots	66 bits	11 caractères	5 ans
7 mots	77 bits	13 caractères	11 000 ans
8 mots	88 bits	14 caractères	23 000 000 ans

Le générateur commence à 6 mots. Une telle phrase a 66 bits, autant qu’un mot de passe aléatoire de 11 caractères. À titre de comparaison, un mot de passe aléatoire de 16 caractères a 101 bits, et une phrase en français ne le rattrape qu’à 10 mots.

Plus longue, mais plus facile à retenir

Les mots de la liste comptent en moyenne 6,8 lettres. Une phrase de 6 mots reliés par des tirets fait donc en moyenne 46 caractères, alors qu’un mot de passe aléatoire aussi robuste n’en a que 11. La longueur gêne peu. Vous retenez 6 mots, pas 46 caractères, et sur un téléphone vous les tapez sans passer aux chiffres et aux symboles.

Avec 6 mots français, la phrase est bonne, mais pas hors d’atteinte. Si une base de données avec des hachages rapides fuitait, une carte graphique mettrait en moyenne 5 ans. Là où le service stocke les mots de passe avec un hachage lent (bcrypt dans le test), il faudrait 4 600 000 ans. Le générateur juge une phrase très forte à partir de 10 mots français.

Seulement des mots tirés au hasard

Les chiffres du tableau ne valent que pour des mots choisis par le hasard. Une phrase inventée, une citation, un vers de chanson ou un proverbe sont bien plus faibles. Les gens choisissent leurs mots de façon prévisible et les attaquants disposent de dictionnaires de phrases entières.

Les retouches que demandent les formulaires n’aident guère. Une majuscule au début de chaque mot est facile à supposer, elle n’apporte rien. Un chiffre aléatoire à la fin apporte 3,3 bits, moins qu’un mot. Pour renforcer la phrase, ajoutez plutôt un mot.

Quand utiliser l’un ou l’autre

• Mots de passe des services courants : un mot de passe aléatoire du générateur de mots de passe, enregistré dans un gestionnaire de mots de passe. Vous n’avez pas à le retenir, sa longueur et ses caractères importent donc peu.
• Ce que vous devez retenir ou taper à la main : le mot de passe maître du gestionnaire, la connexion à l’ordinateur ou le chiffrement du disque. Une phrase convient mieux. Pour le mot de passe maître, qui protège tout le reste, tirez au moins 10 mots français ou 8 mots anglais.

L’institut américain NIST, dans sa norme SP 800-63B-4, exige au moins 15 caractères quand le mot de passe est le seul moyen de connexion, et une phrase de 6 mots dépasse largement ce seuil. Mot de passe ou phrase, les mêmes règles s’appliquent : un par service et la double authentification sur les comptes importants. Pour en savoir plus : Comment créer un mot de passe solide.

Le générateur de phrase de passe tire les mots directement dans votre navigateur. La phrase n’est ni envoyée ni enregistrée.