Générateur de mots de passe

Comment le résultat est calculé

1. Le mot de passe est tiré de la source d’aléa cryptographique de votre navigateur (crypto.getRandomValues). Chaque caractère est choisi avec la même probabilité parmi les caractères autorisés, et les tirages qui favoriseraient certains caractères sont écartés.
2. Chaque type de caractères activé apparaît au moins une fois : un mot de passe auquel il en manque un est écarté et tiré de nouveau, si bien que tous les mots de passe valides restent également probables.
3. La robustesse en bits est le logarithme en base 2 du nombre de mots de passe possibles. Ce nombre est compté exactement, y compris la règle selon laquelle chaque type de caractères apparaît.
4. Le temps pour le deviner est la moitié de toutes les possibilités (la moyenne) divisée par le nombre d’essais qu’un attaquant réalise par seconde.
5. Les niveaux de robustesse sont les nôtres, pas une norme : en dessous de 60 bits faible, de 60 à 100 bits bonne, à partir de 100 bits très forte.

Hypothèses et limites

• La robustesse ne vaut que pour un mot de passe créé par ce générateur, pas pour un mot de passe que vous avez inventé ou modifié à la main.
• Les vitesses sont des mesures d’une carte graphique. Un attaquant peut en utiliser de nombreuses, et un service peut employer un hachage plus lent ou limiter les essais ; le temps réel peut donc être plus court ou bien plus long.
• La mesure de bcrypt utilise 32 itérations (coût 5). Les services en utilisent souvent davantage, ce qui ralentit encore l’attaquant.
• Le générateur ne vérifie pas si un mot de passe a fuité et ne connaît pas les règles d’un site précis, par exemple les symboles qu’il refuse.
• Les attaques visant la personne (hameçonnage, logiciels malveillants) ne figurent pas dans les chiffres, et un mot de passe robuste n’en protège pas.

La vitesse en ligne (10 essais par seconde) est notre exemple. Les vitesses hors ligne sont des mesures publiées : MD5 215,8 GH/s et bcrypt 255,3 kH/s sur une NVIDIA RTX 5090 (hashcat v6.2.6).

Sources des données et période concernée

Chaque chiffre avec lequel un calculateur démarre ou à partir duquel il calcule provient de l'une des sources ci-dessous. Les noms des séries sont donnés tels que l'éditeur les nomme. Chaque ligne indique la période à laquelle les données se rapportent et, là où nous la consignons, le jour du téléchargement. Les données officielles peuvent avoir plusieurs mois lors de leur publication ; vérifiez donc la valeur actuelle avant de décider.

Officiel

Publié par une banque centrale, un institut de statistique, l'Union européenne ou un autre organisme public.

Données académiques ou sectorielles

Un jeu de données d'une université, d'un fournisseur d'indices, d'une association sectorielle ou d'un fournisseur de données.

D'après la presse

Un chiffre d'un organisme officiel que nous ne connaissons que par la presse et que nous n'avons pas vérifié à la source. Considérez-le comme approximatif.

Exemple

Un chiffre rond de notre part, pas une statistique. Remplacez-le par le vôtre.