Le jeu du mot de passe

• L’écran de saisie du mot de passe affiche comme exigence principale la condition selon laquelle les deux mots de passe doivent correspondre
• La mention « Your passwords must match » apparaît à l’écran comme exigence
• En cas de réussite, le message « Congratulations! » s’affiche
• La longueur du mot de passe sélectionné est indiquée comme 0 characters
• À ne considérer que le texte affiché à l’écran, la sélection du mot de passe semble réussie même avec une chaîne vide

---

Condition de correspondance du mot de passe

• Les mots de passe saisis doivent correspondre entre eux, et l’exigence « Your passwords must match » est affichée à l’écran
• La longueur du mot de passe sélectionné apparaît comme « 0 characters »

Affichage de l’état de réussite

• Lorsque la condition est satisfaite, le message « Congratulations! » s’affiche
• D’après les textes affichés, on peut considérer que la sélection du mot de passe réussit même avec une chaîne vide

[qyurila]

Comme c’est un jeu web sans texte fourni, ils ont visiblement déversé des généralités sans aucun rapport avec le jeu lui-même mdr

[GN⁺]

Avis sur Hacker News

• Je suis resté bloqué sur iatetomatoesyesterday0265Z#521juneVpepsiVIIxngxcaboutAg[moon emojis]italy2020Bf7+ en résolvant l’énigme de notation d’échecs
  J’ai particulièrement ri à la règle « doit inclure le Worldle du jour », et j’ai trouvé très satisfaisant de contourner « doit inclure la phase actuelle de la lune en emoji » en collant tous les emojis de phases lunaires
  Maintenant que j’ai trouvé le meilleur coup du puzzle d’échecs, j’ai hâte de voir la suite. Ça me rappelle quand j’avais essayé de créer moi-même un autogramme : en écrivant le nombre de lettres, ce nombre changeait sans cesse, donc c’était vraiment difficile
  La phrase d’exemple commence par « Only the fool would take trouble to verify... », et il y a une explication ici : https://en.wikipedia.org/wiki/Autogram

  • J’ai résolu le problème d’échecs assez facilement, mais je me suis retrouvé bloqué sur « la somme des numéros atomiques des éléments du mot de passe doit être de 200 »
    Il était difficile de satisfaire cette règle en même temps que « le produit des chiffres romains du mot de passe doit être 35 », et l’iode I comme l’uranium U faisaient trop monter le total
    Plus tard, j’ai compris que le jeu distingue les majuscules et les minuscules, donc on peut utiliser u en minuscule pour éviter qu’il soit interprété comme un élément
  • J’ai compté la phrase de l’autogramme en Python, et les quantités indiquées dans la phrase correspondaient bien à la réalité : 10 a, 3 b, 27 virgules, 23 apostrophes, etc.
  • La règle du Worldle était assez agaçante. Pour continuer, il fallait rejouer à un autre jeu qui ne m’intéressait pas vraiment
  • J’aime bien les autogrammes, c’est un type d’énigme étrangement satisfaisant
  • J’ai cru que la règle d’échecs était buggée. J’ai essayé tous les coups possibles sur la position donnée et rien ne marchait, puis j’ai fini par comprendre

• Avertissement pour les futurs joueurs : à la règle 16, il fallait garder un œuf nommé Paul en sécurité, mais à la règle 18, le feu en emoji a pris dans le mot de passe, Paul est mort et la partie s’est terminée
  Ne faites pas comme moi, protégez Paul

  • Plus tard, il y a aussi une règle où il faut nourrir Paul avec des insectes, et j’ai perdu parce que je lui en ai donné trop
  • Si on met beaucoup de caractères comme = devant Paul et qu’on continue d’éteindre les flammes qui apparaissent, le feu finit par disparaître à un moment, ce qui permet de sauver Paul
  • J’ai tué Paul en essayant d’amener la somme des numéros atomiques à 200. J’ajoutais sans cesse des H pour satisfaire la règle, puis en pensant en avoir trop mis j’ai appuyé sur Backspace et j’en ai effacé trop
  • Entourer Paul d’emojis d’eau n’a pas empêché le feu
  • Paul ne doit pas non plus trop manger

• Si vous galérez à faire coïncider une année bissextile avec les autres règles mathématiques, 0 compte comme une année bissextile
  Si un nom de pays entre en conflit avec des chiffres romains ou des noms d’éléments, l’écrire en minuscules évite qu’il soit compté comme chiffre romain ou élément
  Si un coup d’échecs est signalé comme illégal, il faut aussi noter l’effet du coup. Par exemple, si le cavalier capture en e6, il faut écrire Nxe6 et non Ne6, ou Ne6+ s’il y a échec, Ne6# s’il y a mat
  Les espaces sont autorisés, donc on peut séparer différentes parties du mot de passe pour éviter qu’elles interfèrent entre elles
  Pour les chiffres romains, XXXV est le plus simple à manipuler, car seul V(23) est interprété comme un élément
  Si votre couleur hexadécimale contient des chiffres, mieux vaut en tirer une autre. Vous vous remercierez plus tard
  Je suis allé jusqu’au défi final, « doit inclure l’heure actuelle », mais il est devenu extrêmement difficile d’amener la somme des chiffres à 25 à cause de l’heure actuelle, de la longueur du mot de passe et du fichu 9 dans l’URL YouTube. J’ai essayé de faire se chevaucher l’heure 3:38 et la longueur première 383 avec quelque chose comme 3:383, mais j’aurais probablement dû retéléverser une vidéo sans chiffres, trouver une URL avec des chiffres plus petits, ou attendre 22 h

  • J’ai vraiment remplacé un très grand nombre de couleurs hexadécimales et de vidéos YouTube. En cherchant la durée voulue dans la barre de recherche YouTube, on trouvait pas mal d’options
    J’ai même décidé d’exclure x, ce qui m’a forcé à remplacer XXXV par V et VII, rendant les choses bien plus difficiles tout seul
    Au final, j’ai créé un mot de passe de 211 caractères qui satisfaisait toutes les règles tout en incluant l’heure actuelle
    La dernière étape demande de retaper le mot de passe pour le « confirmer », mais le temps accordé était si court que c’en était pratiquement impossible. Une fin vraiment frustrante
  • J’ai pensé que « nom de pays » et « toutes les voyelles du mot de passe doivent être en gras » étaient fondamentalement incompatibles, parce qu’il fallait des voyelles non mises en gras pour qu’un nom de pays soit reconnu
    Mais après avoir essayé toutes sortes de variantes Unicode en pseudo-gras, j’ai fini par comprendre que le champ de mot de passe était en fait un champ de texte enrichi qui autorisait un vrai gras
  • J’ai perdu Paul à cause du feu. Même trois types d’emojis d’eau ne l’éteignaient pas, et je n’avais aucune envie de retenter en saisissant tous les coups d’échecs possibles, donc j’ai abandonné
  • Changer l’horloge du téléphone à 1:00 a résolu le problème

• « Congratulations! You have sucessfully chosen a password in 113 characters. »
  C’était un monstre affreux, mais délicieusement malveillant
  Ma solution contient quelques spoilers, mais les règles peuvent varier un peu d’une partie à l’autre : https://social.joshtriplett.org/@josh/posts/AX8ypcJYS8eSFLUX...

  • Je me demande s’il a vraiment réussi à le retaper ensuite

• C’était amusant
  Ça m’a rappelé Password Purgatory de Troy Hunt de « Have I Been Pwned », qui consiste à envoyer de vrais escrocs vers un site qui a l’air authentique pour les forcer à jouer à ce genre de jeu jusqu’à ce qu’ils abandonnent et repartent
  https://www.troyhunt.com/building-password-purgatory-with-cl...

• Ce n’est pas franchement beaucoup plus agaçant que la moitié des « règles » de mot de passe imposées de force par les grandes entreprises.
  On vous dit « ajoutez un caractère spécial... », alors vous mettez ", et là ça devient : « non, pas ce caractère spécial-là ! »
  Au fond, ça donne surtout l’impression de vouloir dire : « on s’inquiète des injections SQL dans les mots de passe, mais on ne sait pas comment les échapper ». Ça fait réfléchir un instant à ce que ça implique.

  • J’ai déjà vu un site où ' était accepté au moment de définir le mot de passe, mais provoquait ensuite une erreur inconnue à chaque connexion.
    Pendant environ deux ans, j’ai réinitialisé plusieurs fois avec le même mot de passe, et juste après la réinitialisation la connexion marchait. Je m’étais dit que le site était simplement cassé pour moi, puis à un moment j’ai pensé que ' pouvait être le « problème ».
  • Ça ne veut pas forcément dire qu’ils ne savent pas échapper les caractères spéciaux. Ça peut aussi être le blocage de certains caractères dans une approche de défense en profondeur.

• J’étais presque au bout. « Est-ce votre mot de passe final ? » a l’air d’être la dernière étape dans les listes postées par d’autres, mais ce n’est pas le vrai dernier défi.
  Ensuite on vous demande de ressaisir le mot de passe, mais avec des tailles de police incohérentes, des 0 de taille 0, et une partie en Wingdings, donc c’est pratiquement impossible.
  Je recommande de le copier avant d’en arriver là. Une fois que le formulaire final de resoumission apparaît, on ne peut plus copier.
  Ma dernière sauvegarde datait d’environ 5 étapes avant la fin, et yc n’a pas conservé les multiples polices, tailles de caractères et emojis : xngxcaboutjuneshell0000XXXV*I54malaysia0Nd3+Gd d4dbc1170

  • J’ai perdu à ce moment-là moi aussi, et je n’avais copié mon mot de passe nulle part.
    J’aurais dû me méfier de l’étape de confirmation du mot de passe. J’ai même écrit un petit script AutoHotkey juste pour nourrir ce stupide poulet pendant 40 minutes, en attendant que l’heure passe de 8:20 à 9:01.
  • Je me demande comment on est censé résoudre le problème de l’heure. Je ne sais pas si l’heure se fige au moment où on valide cette règle, ou s’il faut continuer à mettre à jour le mot de passe selon la nouvelle heure.
    Je me demande aussi si l’heure est en UTC ou basée sur le fuseau horaire local.
  • Je suis impressionné de ne pas m’être fait avoir par le chaos combiné YouTube, captcha, code couleur hexadécimal et chiffres romains. Sur plusieurs tentatives, c’est la règle YouTube qui m’a saboté en boucle.

• Neal s’est encore surpassé. J’ai tenu jusqu’à la règle des chiffres romains dont la somme doit faire 25, mais quand il a demandé d’inclure la réponse du Wordle du jour, j’ai perdu mon calme.
  J’avais envie de hurler et de pleurer.

  • Je me demande si laisser l’onglet ouvert 24 heures invalide le mot de passe.
  • J’ai abandonné à l’étape où il fallait entrer le meilleur coup d’échecs en notation algébrique. Le texte du captcha à résoudre juste avant contenait un coup d’échecs illégal, donc impossible à saisir.
  • J’ai abandonné à la règle 18, « la somme des numéros atomiques des éléments dans votre mot de passe doit être égale à 200 ».
  • J’ai échoué quand il a fallu ajouter des emojis. C’est contraire à ma religion.

• Liste des pays présents dans GeoGuessr : AlbaniaAndorraArgentinaAustraliaAustriaBangladeshBelgiumBhutanBoliviaBotswanaBrazilBulgariaCambodiaCanadaChileColombiaCroatiaCzechiaDenmarkDominicanRepublicEcuadorEstoniaFinlandFranceGermanyGhanaGreeceGuatemalaHungaryIcelandIndonesiaIrelandIsraelItalyJapanJordanKenyaKyrgyzstanLatviaLithuaniaLuxembourgMalaysiaMexicoMongoliaMontenegroNetherlandsNewZealandNigeriaNorthMacedoniaNorwayPeruPhilippinesPolandPortugalRomaniaRussiaSenegalSerbiaSingaporeSlovakiaSouthAfricaSouthKoreaSpainSriLankaSwedenSwitzerlandTaiwanThailandTurkeyUnitedStatesUgandaUkraineUnitedArabEmiratesUnitedKingdomUruguayEgyptPakistanChinaDominicanRepublicIndiaVietnamBermudaPuertoRicoRunionFaroeIslandsGreenland
  Source : https://geoguessr.fandom.com/wiki/Countries_on_Geoguessr
  Cela dit, la seule façon de l’exploiter semble être de tout coller dans le mot de passe, puis d’effacer petit à petit.

  • Je ne pense pas que ce soit la source. Ma réponse était Liberia, et j’ai pu l’identifier grâce au domaine .LR sur une pub de panneau routier.
    Puis j’ai cliqué sur le lien de notation d’échecs et j’ai perdu toute ma progression ; en revenant, je suis tombé sur une petite zone boisée sans nulle part où aller, alors j’ai abandonné.
  • J’ai dû aller jusqu’au code source pour trouver les choix possibles. Il y a un tableau des valeurs possibles à partir de la ligne 3471 environ dans 906d40b.js, mais ça peut changer plus tard.
    On peut retrouver les noms de pays en cherchant l’URL d’embed de l’iframe. La structure ressemble à un tableau d’objets avec title: 'Australia', un link Google Maps et une URL embed.
  • J’ai inspecté le code source de la page pour trouver les coordonnées dans l’embed, puis j’ai recherché à partir de là. Mon emplacement était en plein milieu d’un champ au Brésil.
  • Dans ma tentative, le pays était le Venezuela. J’étais placé près de ce qui ressemblait à une chapelle, et j’ai pu identifier le pays en trouvant une plaque.
  • Si le pays commence par Au, je ne vois pas comment satisfaire la contrainte des éléments chimiques. Au vaut déjà 79 à lui seul, et la partie en chiffres romains VII fait V 23 et deux I 53, avec V à 23, donc pour atteindre 200 c’est vraiment très serré.

• J’ai envie d’envoyer un mail à l’administrateur du site pour lui demander de retirer ça. J’ai peur que des profils de type PHB le prennent au sérieux.
  Ces gens existent vraiment, et ils pourraient y voir une source d’inspiration. Que Dieu nous vienne en aide.

  • Au moins, l’interface est excellente