Les mathématiques d'un code PIN aléatoire

Un code PIN numérique est l'une des structures les plus simples en combinatoire. Chaque position contient un seul chiffre de 0 à 9, sélectionné indépendamment de toutes les autres positions. Un code PIN à 4 chiffres possède donc 10,000 valeurs possibles, et un générateur véritablement aléatoire attribue à chacune une probabilité strictement égale. Le chiffre en première position ne révèle rien sur le chiffre en deuxième position. Le code PIN n'a aucune logique interne, aucun motif, aucune structure exploitable.

Entropie : mesurer la robustesse d'un code PIN

La théorie de l'information quantifie l'aléatoire en bits. Chaque chiffre décimal porte log₂(10) ≈ 3,322 bits d'entropie, donc un code PIN à 4 chiffres contient 13.3 bits. À titre de comparaison, un mot de passe de 16 caractères tiré de 95 caractères ASCII imprimables fournit environ 105 bits. Un code PIN est volontairement plus simple car il repose sur un modèle de sécurité fondamentalement différent : la limitation du nombre de tentatives.

Un distributeur automatique autorise trois tentatives erronées consécutives avant d'avaler la carte. Un smartphone introduit des délais croissants après chaque échec. Sous de telles contraintes, épuiser les 10,000 combinaisons devient pratiquement irréalisable. La sécurité d'un code PIN réside dans le verrou, et l'aléatoire empêche un attaquant de deviner intelligemment.

Pourquoi quatre chiffres ?

Le code PIN à quatre chiffres remonte à 1967, lorsque l'inventeur écossais John Shepherd-Barron a conçu le premier distributeur automatique de billets pour la Barclays Bank à Londres. Sa conception originale utilisait six chiffres. Son épouse, Caroline, a testé le prototype et l'a convaincu que quatre chiffres étaient tout ce qu'elle pouvait mémoriser de manière fiable sous la légère pression d'une file d'attente se formant derrière elle. Cette conversation domestique a façonné une norme de sécurité mondiale qui persiste plus de cinquante ans plus tard. Quatre chiffres restent la valeur par défaut pour les distributeurs automatiques, les écrans de déverrouillage des téléphones et les terminaux de point de vente dans le monde entier.

Le problème des motifs

Nick Berry de DataGenetics a analysé 3,4 millions de codes PIN à quatre chiffres ayant fuité et a constaté une concentration alarmante. La séquence 1234 à elle seule représentait 10,7 % de tous les codes PIN de l'ensemble de données. Les vingt codes PIN les plus courants couvraient 27 % de la population totale. Les années de naissance au format 19xx, les chiffres répétés (1111, 0000) et les motifs de clavier (2580, la colonne centrale d'un pavé numérique) dominaient la liste.

Un attaquant qui essaie d'abord les cent codes PIN les plus courants peut déverrouiller environ un compte sur trois utilisant des codes PIN choisis par des humains. Un code PIN généré aléatoirement élimine entièrement cette vulnérabilité. Chacune des 10,000 valeurs devient également probable, y compris 1234 et 0000. L'attaquant ne tire aucun avantage à essayer les motifs courants en premier, car le code PIN n'a jamais été choisi par un esprit humain en quête de motifs.

Un véritable aléa depuis votre appareil

Chaque chiffre sur cette page provient de crypto.getRandomValues(), l'API Web Cryptography spécifiée par le W3C et intégrée à tous les navigateurs modernes. L'entropie sous-jacente provient de processus physiques au niveau matériel de votre appareil : bruit thermique, gigue électrique et variations temporelles que la mécanique quantique prouve être fondamentalement imprévisibles. L'implémentation utilise l'échantillonnage par rejet pour éliminer le biais de modulo, garantissant que chaque chiffre de 0 à 9 a une probabilité mathématiquement identique.

Le code PIN ne transite jamais par aucun réseau. Il n'existe que dans la mémoire de votre navigateur et sur votre écran. Le serveur a livré cette page et a terminé. Votre appareil a créé le secret.

En classe

La génération de codes PIN offre un point d'entrée concret pour la combinatoire. Demandez aux élèves : combien de codes PIN à quatre chiffres existent ? La plupart devinent bien moins que 10 000. La formule 10⁴ = 10 000 introduit l'exponentiation comme outil de dénombrement. Ajoutez ensuite des contraintes : si le premier chiffre ne peut pas être zéro, combien en reste-t-il ? (9 000.) Si aucun chiffre ne peut se répéter ? (10 × 9 × 8 × 7 = 5 040.) Ces restrictions réduisent progressivement l'espace, illustrant la différence entre les arrangements avec et sans répétition.

Pour une activité de groupe, demandez à chaque élève de visiter /pin/6 et de générer un code PIN à six chiffres. Demandez : quelle est la probabilité que deux élèves dans une classe de 30 partagent le même code PIN ? La réponse (environ 0,04 %) surprend les élèves qui s'attendent à des collisions. Comparez avec le paradoxe des anniversaires, où 23 personnes partageant un anniversaire parmi seulement 365 options dépasse 50 % de probabilité. Cette comparaison révèle à quel point la taille de l'espace des possibilités affecte les taux de collision. L'outil ne nécessite aucun compte et ne stocke aucune donnée d'élève.

Privé par conception

Chaque code PIN généré sur cette page reste dans votre navigateur. Le serveur fournit le modèle de page. Le générateur de nombres aléatoires cryptographiques de votre appareil produit chaque chiffre. Aucun code PIN n'apparaît jamais dans les journaux du serveur, les analyses ou les requêtes réseau. Votre historique de génération réside dans le localStorage de votre appareil uniquement.

La section de partage ci-dessous partage l'URL de l'outil, jamais un code PIN généré. Envoyer le lien à quelqu'un lui donne le même générateur. Son appareil produit un résultat complètement indépendant à partir de sa propre source d'entropie. L'URL transporte l'outil. Votre appareil transporte le secret.