Pwgen – Créez facilement vos mots de passe
Comme nous l’avons vu dans le billet sur Revelation, sauvegarder ses mots de passe dans un endroit sûr est important mais bien entendu, il va falloir en choisir un avant. Si vous manquez d’inspiration Pwgen est un petit utilitaire en ligne de commande sympa, qui va vous permettre de générer facilement des mots de passe en fonction de critères que vous lui aurez indiqué. Nous allons voir vite fait dans ce billet comment s’en servir, quels sont ses avantages et où se situent ses limites.
Installlation :
Pwgen est disponible sur la plus part des distributions GNU/Linux depuis les dépôts officiels. Sur Ubuntu vous pouvez donc l’installer facilement à l’aide de la commande suivante :
sudo apt-get install pwgen
Usages :
Maintenant que vous avez installé Pwgen, vous allez pouvoir générer très facilement vos mots de passe à l’aide de la commande :
pwgen
Comme vous pouvez le constater en jetant un œil sur l’image d’illustration, les mots de passe ainsi générés sont un peu basiques et méritent qu’on les pimentent un peu. Par défaut 160 mots de passe apparaissent et il contiennent 8 caractères composés de majuscules, de minuscules et de chiffres. C’est déjà pas mal mais on peut faire mieux.
Si vous voulez par exemple augmenter/diminuer le nombre de caractères et choisir le nombre de mots de passe à générer, vous pouvez affiner votre commande de cette manière.
pwgen 10 5
Où 10 est le nombre de caractères que doit comporter le mot de passe et où 5 est le nombre de mots de passe que nous voulons générer.
Cette commande devrait vous afficher un retour de ce type :
lavachelibre@lavachelibre:~$ pwgen 10 5
Vi4uze0evo tahCai9uve Ael1ii2wop Iem3ahxaib baCheej8so
lavachelibre@lavachelibre:~$
Nous allons maintenant pimenter encore un peu notre mot de passe en demandant à Pwgen d’insérer au minimum 1 caractère spécial grâce à l’option -y et de choisir un mot de passe complètement aléatoire à l’aide de l’option -s. Ceci va augmenter considérablement la solidité de notre mot de passe.
Entrez la commande suivante :
pwgen -sy 10 5
Qui nous donne un retour de ce type :
lavachelibre@lavachelibre:~$ pwgen -sy 10 5
%1O**WS^_7 42emme{A=] /RoF7F&b!d 05LLfiu?UX |ro5kk<SRR
lavachelibre@lavachelibre:~$
C’est déjà mieux et dans la plus part de cas cela sera largement suffisant.
Vous pouvez bien entendu faire appel à d’autres options comme indiqué sur cette page dédiée à pwgen, issue de la doc Ubuntu.
-1 Permet d’afficher un mot de passe par ligne.
-0 Permet de générer des mots de passe ne contenant pas de chiffres.
-A Permet de générer des mots de passe ne contenant pas de majuscules.
-c Permet d’inclure au moins une majuscule dans le mot de passe généré.
-B Permet de ne pas utiliser de caractères pouvant prêter à confusion (1 et l ou O et 0 par exemple).
Vous pouvez bien entendu avoir accès à ces options via --help à n’importe quel moment.
Nous venons de voir que Pwgen est un outil simple à utiliser et qu’il est à première vue assez efficace. Néanmoins il n’a pas que des avantages et les plus paranos d’entre-vous pourront ne pas le trouver assez sûr à leur goût. Selon la méthode que vous utilisez la génération aléatoire ne l’est pas toujours autant que ça et l’historique des commandes dans Bash peut vous jouer des tours, pour qui sait où chercher.
Un simple history dans votre terminal affichera en effet la liste des commandes que vous avez entré, ce qui peut donner une idée très précise de la structure de vos mots de passe à un attaquant potentiel. Celui-ci pourra alors effectuer un bruteforce ciblé sur un nombre de caractères bien précis et augmenter ainsi ses chances de réussite. Berf, ce n’est pas vraiment top.
Aller plus loin :
Pour générer un mot de passe le plus aléatoire possible vous pouvez vous servir d’un fichier multimédia, qui servira de base à vos mots de passe.
Entrez la commande suivante par exemple :
pwgen -y 10 5 -H scrat.avi
lavachelibre@lavachelibre:~/Vidéos$ pwgen -sy 10 5 -H scrat.avi
t=Uv5J-?i~ i?hWYV;Br3 V[7Vq=,>_H xfr^TeZ2+i KVJexK~,&1
lavachelibre@lavachelibre:~/Vidéos$
La encore ce n’est pas la panacée et vous pourrez constater en entrant plusieurs fois la même commande que les mêmes résultats s’afficheront à chaque fois (même avec -s). Mais bon, c’est toujours une possibilité de plus pour brouiller les pistes et elle a l’avantage de vous permettre de retrouver facilement votre mot de passe si vous l’avez égaré. Pas mal pour les têtes-en-l’air.
Vous avez une autre méthode plus efficace qui consiste à utiliser des fichiers « word lists », identiques à ceux disponibles sur la page de téléchargement du site officiel. Si vous y jetez un œil dessus,vous verrez que ceux-ci ne sont que des fichiers .txt, ce qui implique que vous pouvez également créer votre propre dico pour générer des mots de passe plus solides. Crunch est un très bon outil si vous voulez vous faire quelques dicos aux petits oignons.
Concernant l’historique de bash enfin, vous pouvez lui faire la peau après avoir généré votre mot passe à l’aide de la commande suivante :
shred ~/.bash_history && killall -9 bash
Conclusion :
Pwgen est un outil simple, qui permet de générer facilement des mots de passe assez complexes, mais comme vous avez pu le voir il n’est pas exempt de quelques défauts. On ne va pas pour autant tomber dans la parano et on peut partir du principe que pour un usage privé celui-ci sera largement suffisant. En milieux professionnels en revanche, je ne l’utiliserai sans doute pas sans quelques customisations.
En résumé, le meilleur mot de passe reste encore et toujours celui qui sort de votre tête, pour peu qu’il respecte les standards de sécurité. Si vous voulez en savoir plus sur Pwgen vous pouvez néanmoins vous procurer une doc PDF en cliquant sur ce lien.
Amusez-vous bien.
