Générer des mots de passe sûrs en C#

Un générateur de mots de passe doit utiliser le générateur aléatoire cryptographiquement sûr de la plateforme ou du système d’exploitation. N’utilisez pas les générateurs pseudo-aléatoires prévus pour les simulations ou les effets d’interface.

Démarrage rapide#

L’exemple suivant utilise l’API standard de C# ou une bibliothèque couramment utilisée pour cette tâche.

Exemple#

1using System.Security.Cryptography;23const string alphabet = "ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz23456789!@#$%";4char[] chars = new char[];5for (int i = ; i < chars.Length; i++)6{7    chars[i] = alphabet[RandomNumberGenerator.GetInt32(alphabet.Length)];8}9string password = new(chars);10Console.WriteLine(password);

Opérations courantes#

Ce second exemple couvre une opération fréquente en production ou une manière plus sûre de traiter des entrées réelles.

Variante courante#

1int code = RandomNumberGenerator.GetInt32(, );2string pin = code.ToString("D6");3Console.WriteLine(pin);

Points importants#

Utilisez uniquement un CSPRNG pour les mots de passe, jetons et codes de récupération. La génération et le stockage des mots de passe sont deux problèmes distincts.

Bonnes pratiques#

1. Considérez toute entrée externe comme non fiable et gérez explicitement les erreurs d’analyse ou de validation.
2. Rendez explicites l’encodage, les unités, les formats et les conventions propres aux bibliothèques aux frontières du système.
3. Ajoutez des tests couvrant l’entrée vide, le texte Unicode, les entrées invalides et des données représentatives de la production.

Références#

• OWASP Authentication Cheat Sheet
• .NET API Browser