nombre caracteres et bits ?

to

Bonjour .
j'envoie parfois par mail des fichiers , parfois je fais un paquet
win.rar et je met un mot de passe.

Rien de bien secret à caché ,mais puisque winrar le fait.....

Le Help dit "les archives RAR sont cryptées en utilisant la norme
standard AES-128 "

j'ai cru comprendre qu'en france on a le droit de crypter jusqu'a 128
bits ;

Cela represente quels nombre de caracteres maximum à mettre dans le mot
de passe ???
je suppose qu'avant de prendre les caractères ils forment un hash du mot

de passe... dans ce cas pas de limite.

c'est en effet utile car un caractère de 8 bit n'apporte pas 8 bits
d'information forcément.

ainsi j'ai lu qu'en langue anglaise, un caractère apporte en moyenne 1,5
bit d'information. en effet tout les mots ne sont pas possible.
ainsi il faudrait un phrase de 85 caractères pour produire 128 bits
d'information ... et encore il faut une phrase aléatoire, pas une
citation connue ou une phrase prévisible et personnelle..

pour des mots de passe vraiment aléatoire (lettres majuscules,
minuscules, chiffres, quelques ponctuation) tu peut espérer un peu plus
de 6 bits par caractères... ca fait quand même 21 caractères ...

mais en fait actuellement les attaques brutales sur 64 bits sont la
limite (ca augmente chaque année... on va dire un bit tout les 18 mois
car le cpu double de vitesse), et quelques bits de moins pour les gens
normaux, et de plus pour les grosses organisations... 128bits en brutal
est inacessible.

donc un mot de passe vraiement aléatoire de 10 caractères
alphanum-maj-min ca commence à être sérieux... 15-20 c'est blindé.
reste à bien générer ce mot de passe (qui n'est pas un mot mais).

pour une phrase prévoir une bonne dizaine de mots

et si je met plus de caracteres que le maxi autorisé qu'est ce qu'on me
fait .

ou bien ça n'a rien à voir , ,j'en met tant que je veux...

Le (on) samedi 01 septembre 2007 00:36, Alain a écrit (wrote) :

mais en fait actuellement les attaques brutales sur 64 bits sont la
limite (ca augmente chaque année... on va dire un bit tout les 18 mois
car le cpu double de vitesse), et quelques bits de moins pour les gens
normaux, et de plus pour les grosses organisations... 128bits en brutal
est inacessible.

D'ailleurs quand on parle d'attaque par force brute et de leur accessibilité, en

général on envisage ça sur à quelle échelle : sur un ordinateur personnel, un
cluster, une machine parallèle spécialisée ? Et quelle échelle de temps ?

Par exemple, on dit que DES (clé de 56 bits) est crackable par recherche
exhaustive la fin des années 90 je crois (sur des machines spécialisées). De
nos jours, mettons 9 ans soit 18 « cycles de doublement de puissance » plus
tard, combien de temps faudrait-il pour trouver par force brute une clé DES sur
un ordinateur personnel ?

donc un mot de passe vraiement aléatoire de 10 caractères
alphanum-maj-min ca commence à être sérieux... 15-20 c'est blindé.
reste à bien générer ce mot de passe (qui n'est pas un mot mais).

D'ailleurs, j'ai pris l'habitude depuis quelque temps d'utiliser l'utilitaire

pwgen pour choisir mes mots de passe. Ce dernier propose des mots de passe
semi-aléatoires mais pas trop durs à retenir. Par exemple,

ohf;oh6Z eeW_ohr7 Ook*u1ee dac8ju}N od2rei=X ooJ{ie9e EiX1sae* Xi3bie.M

Ça a l'air plutôt compliqué, mais si on essaie l'option « vraiment »
(pseudo-)aléatoire, on voit que c'est encore assez régulier par rapport à :

8N7t>~wg 6W5_a`>P {i[50GKB wo_$9Kws LC7^{>EQ ?XvP|x1h }I3W|i-P u;c'5ycC

Je me demande s'il y a moyen d'estimer l'entropie d'un mot de passe de mettons,
8 caractères, de la première catégorie par rapport à la seconde. Perd-on
beaucoup à votre avis ?

Théoriquement avec tous les caractères ascii imprimables, on a 96^8
possibilités, soit l'équivalent d'un peu moins de 53 bits d'information. Est-ce
déjà envisageable à attaquer par la force brute ? Un mot de passe un peu plus
régulier l'est-il plus ?

Bien entendu je pense que c'est plutôt théorique comme question, vu que pour la
sécurité d'une machine (je pense à des mots de passes de comptes unix),
l'attaque des mots de passe par force brutale n'est certainement pas la menace
première. M'enfin je suis quand même bien curieux de savoir.

Manuel.

Bizarre comme info
1.5 bit pour un caractère
On doit avoir la même définition du mot bit
Un bit = 0 ou 1
Pour faire un caractère il faut 7 bits et 8 bits pour le full ascii
et pour les caractères unicode sont sur 16 bits ( chinois par exemple)

A priori en France il n'y a plus de limite de longueur de cle

Je ne pense pas que Winrar crypte le fichier met refuse accès celui ci à
l'aide d'un password

Gilles

"Alain" <alain@no.ne.org> a écrit dans le message de groupe de discussion :
46d89807$0$25914$ba4acef3@news.orange.fr...

to

Bonjour .
j'envoie parfois par mail des fichiers , parfois je fais un paquet
win.rar et je met un mot de passe.

Rien de bien secret à caché ,mais puisque winrar le fait.....

Le Help dit "les archives RAR sont cryptées en utilisant la norme
standard AES-128 "

j'ai cru comprendre qu'en france on a le droit de crypter jusqu'a 128
bits ;

Cela represente quels nombre de caracteres maximum à mettre dans le mot
de passe ???
je suppose qu'avant de prendre les caractères ils forment un hash du mot

de passe... dans ce cas pas de limite.

c'est en effet utile car un caractère de 8 bit n'apporte pas 8 bits
d'information forcément.

ainsi j'ai lu qu'en langue anglaise, un caractère apporte en moyenne 1,5
bit d'information. en effet tout les mots ne sont pas possible.
ainsi il faudrait un phrase de 85 caractères pour produire 128 bits
d'information ... et encore il faut une phrase aléatoire, pas une citation
connue ou une phrase prévisible et personnelle..

pour des mots de passe vraiment aléatoire (lettres majuscules, minuscules,
chiffres, quelques ponctuation) tu peut espérer un peu plus de 6 bits par
caractères... ca fait quand même 21 caractères ...

mais en fait actuellement les attaques brutales sur 64 bits sont la limite
(ca augmente chaque année... on va dire un bit tout les 18 mois car le cpu
double de vitesse), et quelques bits de moins pour les gens normaux, et de
plus pour les grosses organisations... 128bits en brutal est inacessible.

donc un mot de passe vraiement aléatoire de 10 caractères alphanum-maj-min
ca commence à être sérieux... 15-20 c'est blindé.
reste à bien générer ce mot de passe (qui n'est pas un mot mais).

pour une phrase prévoir une bonne dizaine de mots

et si je met plus de caracteres que le maxi autorisé qu'est ce qu'on me
fait .

ou bien ça n'a rien à voir , ,j'en met tant que je veux...

(Merci de citer ce à quoi vous répondez, on est obligé de chercher sinon.)

Le (on) dimanche 09 septembre 2007 12:27, Gilles FEVRE a écrit (wrote) :

ainsi j'ai lu qu'en langue anglaise, un caractère apporte en moyenne 1,5
bit d'information. en effet tout les mots ne sont pas possible.
Bizarre comme info

1.5 bit pour un caractère

Non pas bizarre. La remarque de base est qu'il s'agit d'une langue fixée
(l'anglais pas exemple), et que toutes les combinaisons de lettres ne
forment pas des mots de cette langue.

On doit avoir la même définition du mot bit
Un bit = 0 ou 1
Pour faire un caractère il faut 7 bits et 8 bits pour le full ascii
et pour les caractères unicode sont sur 16 bits ( chinois par exemple)

Ça c'est la façon dont sont codés les choses. Ce n'est pas parce que ça

prend une certaine place en mémoire que ça contient exactement cette
quantité d'information. Sinon des trucs comme zip ne marcheraient jamais.
Et tout le monde peut observer que les fichiers texte se compressent *très*
bien.

Bref, l'idée est qu'en anglais il y a, par exemple, un certain nombre de
mots de trois lettres, et que ce nombre est largement inférieur à 26^3. Il
est a fortiori très inférieur à 2^21, nombre auquel on arrive en supposant
naïvement que chaque caractère représente 7 bits d'information.

(À titre de comparaison, 2^21 c'est environ 2 millions, mon Larousse
illustré comporte moins de 60 000 mots, dont la plupart font plus de trois
lettres, et dont beaucoup que je ne connais pas et que je ne penserais en
particulier pas à utiliser dans un mot de passe...)

Je ne pense pas que Winrar crypte le fichier met refuse accès celui ci à
l'aide d'un password

Je n'ai pas compris cette dernière phrase.

Manuel.

Bizarre comme info
1.5 bit pour un caractère
On doit avoir la même définition du mot bit
Un bit = 0 ou 1
Pour faire un caractère il faut 7 bits et 8 bits pour le full ascii
et pour les caractères unicode sont sur 16 bits ( chinois par exemple)

Par exmple en francais si tu utilise un mot de 2 lettres (normalement 16
bits en ASCII), il n'y autras pas 16 bits d'information si la 1ere
lettre est Q. A une exception près (le mot QAT si mes souvenirs sont
bon), Q est toujours suivi d'un U. Donc un mot de 2 lettres avec Q au
debut contient bien moins d'information que la somme des bits qui
servent à le coder.

"Gilles FEVRE" <gfevre@hotmail.com> a écrit:

Je ne pense pas que Winrar crypte le fichier met refuse
accès celui ci à l'aide d'un password

et Manuel <manuel.pg@free.fr> lui a répondu

Je n'ai pas compris cette dernière phrase.

Gilles tentait de signifier qu'il crois que Winrar ne chiffre
pas vraiment ses archives, mais refuse seulement de les
traiter quand le mot de passe est incorrect.

Cela n'est pas ce que suggère un coup d'oeil superficiel
au source de unrar
http://www.rarlab.com/rar/unrarsrc-3.7.7.tar.gz
qui donne plutôt à penser que le format winrar supporte,
entre autres, le chiffrement AES; et qu'il y a même des
précautions prises pour ralentir la recherche exhaustive
des mots de passe (voir CryptData::SetCryptKeys dans
crypt.cpp)
Note:je ne me prononce ni sur ce qui est employé par
"jcharles" <jcharles@orange.fr>, ni sur si WInRAR AES
comporte des faiblesses, accidentelles ou délibérées.


François Grieu

Le (on) lundi 10 septembre 2007 09:38, Francois Grieu a écrit (wrote) :

"Gilles FEVRE" <gfevre@hotmail.com> a écrit:

Je ne pense pas que Winrar crypte le fichier met refuse
accès celui ci à l'aide d'un password

et Manuel <manuel.pg@free.fr> lui a répondu

Je n'ai pas compris cette dernière phrase.

Gilles tentait de signifier qu'il crois que Winrar ne chiffre
pas vraiment ses archives, mais refuse seulement de les
traiter quand le mot de passe est incorrect.

Ah d'accord, je comprends maintenant. J'avoue que je n'aurais jamais pensé à

ça, vu que ce serait une protection très faible, mais c'est effectivement
concevable.

Cela n'est pas ce que suggère un coup d'oeil superficiel
au source de unrar

Bon, ça rassure plutôt sur le sérieux du truc alors.

Note:je ne me prononce ni sur ce qui est employé par
"jcharles" <jcharles@orange.fr>, ni sur si WInRAR AES
comporte des faiblesses, accidentelles ou délibérées.

Soyons prudents :)

Manuel.

Bizarre comme info
Je ne pense pas que Winrar crypte le fichier met refuse accès celui ci à
l'aide d'un password

Ce n'est pas vraiment le sujet du groupe, mais si, WinRar depuis les
versions 3 crypte effectivement tout le fichier de manière forte (avec
AES, comme dit dans le premier message).

Ayant déjà eu à essayer de récupérer des archives dont j'avais perdu le
mot de passe, c'est efficace (i.e. ça demande une attaque en force
brute).

Fred
--
I could die but I could lie I can deal with what's in your mind
Anyway, I'm tired and I feel lazy You know we're both lost in maze
You're miserable, I'm so dazed Don't you think you should feel
Suddenly lazy Lazy Lazy... (Noir Désir, Lazy)

Le (on) lundi 10 septembre 2007 22:28, F. Senault a écrit (wrote) :

Ce n'est pas vraiment le sujet du groupe, mais si, WinRar depuis les
versions 3 crypte effectivement tout le fichier de manière forte (avec
AES, comme dit dans le premier message).

Ayant déjà eu à essayer de récupérer des archives dont j'avais perdu le
mot de passe, c'est efficace (i.e. ça demande une attaque en force
brute).

Et ça se fait, par force brute ? Je remarque que tu dis essayer...

Manuel.

Le (on) lundi 10 septembre 2007 22:28, F. Senault a écrit (wrote) :

Ce n'est pas vraiment le sujet du groupe, mais si, WinRar depuis les
versions 3 crypte effectivement tout le fichier de manière forte (avec
AES, comme dit dans le premier message).

Ayant déjà eu à essayer de récupérer des archives dont j'avais perdu le
mot de passe, c'est efficace (i.e. ça demande une attaque en force
brute).

Et ça se fait, par force brute ? Je remarque que tu dis essayer...

Ca dépend du mot de passe. Mes souvenirs sont relativement vagues, mais
il me semble que le programme de cassage avait mis presque une journée
pour atteindre 5 (6 ?) caractères, avec un alphabet limite (minuscules,
chiffres, peut-être majuscules et un ou deux signes, genre -, . et _).
Ca devait déjà être sur un P4 2.6Ghz.

On peut extrapoler qu'avec un mot de passe fort, ça se compte toujours
en années pour le casser.

Fred
--
Heck, BLAZEMONGER 2.04 is so compatible it runs on TELEVISIONS,
MICROWAVE OVENS, LIVE GOATS, and even HUMAN BODIES!! Just stick the
BLAZEMONGER 2.04 disk into your mouth, bite down HARD, and BOOT UP!!!
(Daniel Barrett in the [false] comp.sys.amiga.advocacy FAQ)