Le problème
Une passphrase maîtresse de gestionnaire de mots de passe doit satisfaire trois exigences contradictoires : une entropie réelle et quantifiable (pas une astuce personnelle dont la force est inconnaissable), une mémorabilité durable (des années, y compris après une longue interruption), et une procédure de récupération qui survive à l'oubli sans livrer le secret à qui trouve un papier.
Le diceware classique répond à la première exigence. Cette méthode y ajoute les deux autres, en remplaçant les mots isolés par des scènes — l'outil des athlètes de mémoire, adossé au tirage aux dés.
Le principe
Une scène associe un Personnage, une Action et un Objet, chacun tiré dans une liste de 216 entrées par trois jets de dé (numération en base 6 : premier jet = centaine, deuxième = dizaine, troisième = unité, codes de 111 à 666).
« Un ambassadeur déchire une banane. »
Chaque élément vaut log₂(216) ≈ 7,75 bits ; une scène complète en vaut 23,3. L'entropie vient exclusivement du dé — les listes sont publiques, la méthode est publique, et cela ne coûte rien : c'est le principe de Kerckhoffs. Ce qui se mémorise, c'est l'image mentale (exagérée, absurde, en mouvement). Ce qui se tape, ce sont les mots-clés, sans article ni accent : ambassadeur-dechire-banane.
Le fondement empirique n'est pas anecdotique : la littérature sur les histoires Personne-Action-Objet appliquées aux mots de passe (Blocki, Blum & Datta, Naturally Rehearsing Passwords) montre que des scènes tirées aléatoirement combinent syntaxe familière et associations inattendues — exactement ce que la mémoire humaine retient le mieux. Environ trois quarts des participants d'une étude de 2014 se rappelaient encore leurs quatre histoires PAO après plus de cinq mois.
Combien de scènes ?
| Scènes | Entropie | Verdict |
|---|---|---|
| 2 | ≈ 47 bits | Minimum, uniquement derrière une KDF forte (Argon2id, mémoire ≥ 64 Mo) |
| 3 | ≈ 70 bits | Recommandé pour une passphrase maîtresse |
| 4 | ≈ 93 bits | Excellent — au-delà, le maillon faible est ailleurs (keylogger, pas force brute) |
Ordre de grandeur : contre Argon2id bien réglé, un attaquant équipé plafonne à quelques milliers d'essais par seconde. 70 bits le placent hors de portée par des ordres de grandeur confortables.
Les règles d'or
Ne jamais rejouer un tirage
Relancer jusqu'à obtenir une scène « facile » détruit l'uniformité du tirage et donc le calcul d'entropie. La scène étrange est précisément celle qui se retient.
La scène fantôme
Une des scènes se mémorise mais ne s'écrit nulle part. Le papier seul devient alors mathématiquement insuffisant : il lui manque 23,3 bits, soit des millions de candidats à tester derrière une KDF lente. C'est la défense contre le scénario « quelqu'un trouve le papier ».
Le dé physique d'abord
Le générateur logiciel du navigateur (crypto.getRandomValues, exécuté en local) est un secours acceptable ; le dé reste supérieur car il ne dépend d'aucun logiciel, d'aucune machine, d'aucune confiance.
Le protocole papier
Papier A — chez soi
Les scènes écrites en toutes lettres (jamais en codes de dés), sans la scène fantôme, sans titre ni mention du gestionnaire. Support durable, endroit non évident mais retrouvable.
Papier B — ailleurs
Stocké dans un autre lieu (coffre, proche de confiance, enveloppe scellée) : l'indice de méthode par allusions que vous seul comprenez — où est le Papier A, comment retrouver la scène fantôme — jamais les secrets eux-mêmes. Peut mentionner le nom du gestionnaire et l'emplacement des sauvegardes du coffre.
Répétition espacée
Reconstruire la phrase de mémoire à J+1, J+3, J+7, J+14, J+30, J+90, puis deux fois par an à dates fixes. Le test semestriel se fait depuis le papier et la méthode, sans se laisser porter par la mémoire musculaire : c'est le seul moyen de vérifier que la procédure de secours fonctionne encore.
Questions fréquentes
Les listes sont-elles standard ? Que se passe-t-il si je les perds ?
Elles sont propres à ce projet — mais rien de vital n'en dépend. La sécurité ne repose pas sur leur secret (stockez-en des copies partout), et la récupération ne repose pas sur leur possession : le Papier A porte des mots, pas des codes. Les listes ne servent qu'à générer, vérifier une orthographe, ou retraduire un code. Elles sont non secrètes mais irremplaçables : gardez le PDF et ce site.
Taper les mots ou les codes de dés ?
Les mots. L'entropie est identique dans les deux cas, mais la scène mémorisée redonne directement les mots — pas les codes, qui exigeraient les tables à chaque déverrouillage. Les mots se corrigent à la frappe, s'ancrent dans la mémoire musculaire, et restent lisibles sur papier dans dix ans. Les codes ne servent qu'au moment du tirage, puis disparaissent du système.
Pourquoi pas un diceware classique ?
Le diceware reste excellent — cette méthode en est une variante, pas une réfutation. Elle échange un léger surcoût de mise en place (les tables) contre une densité supérieure (23,3 bits par unité mémorielle au lieu de 12,9) et une mémorabilité à long terme nettement meilleure, documentée par la recherche.
Et si quelqu'un connaît cette page ?
Tant mieux : la méthode est conçue pour être publique. Un attaquant qui connaît les listes, l'outil et le protocole fait toujours face à l'intégralité des bits tirés aux dés — c'est tout l'intérêt de fonder la sécurité sur l'aléa plutôt que sur l'obscurité.
Limites honnêtes
Cette méthode protège contre la force brute hors ligne et contre la compromission du papier. Elle ne protège pas contre un enregistreur de frappe, un appareil compromis, ou la contrainte physique. Elle suppose une KDF correctement configurée côté gestionnaire, et un utilisateur qui fait réellement les répétitions espacées. Aucun schéma mnémotechnique ne remplace l'hygiène de la machine sur laquelle la phrase est tapée.