不安全的随机数漏洞与防护（进阶篇）

题目描述

在安全开发中，伪随机数生成器（PRNG）的误用可能导致严重漏洞，例如预测敏感信息（如密码重置令牌、会话ID、加密密钥等）。本题深入探讨以下问题：

1. 弱随机数生成器的风险（如使用rand()、Math.random()等非密码学安全的PRNG）。
2. 种子可预测性问题（如基于时间或进程ID的种子）。
3. 实际攻击场景（如破解密码重置令牌、绕过CSRF防护）。

解题过程

步骤1：理解随机数的分类

随机数分为两类：

• 真随机数（TRNG）：基于物理熵源（如硬件噪声），不可预测。
• 伪随机数（PRNG）：通过算法生成，若种子或算法弱，可被预测。
  • 普通PRNG（如C的rand()、Java的Random类）：适用于统计模拟，但不满足密码学安全要求。
  • 密码学安全PRNG（CSPRNG）（如/dev/urandom、Java的SecureRandom）：通过熵池确保不可预测性。

关键区别：CSPRNG必须满足“即使已知部分输出，也无法预测后续输出”。

步骤2：分析常见漏洞场景

场景1：弱种子导致随机数可预测

案例：使用系统时间作为种子：

// 漏洞代码  
Random rand = new Random(System.currentTimeMillis());  
int token = rand.nextInt(1000000);  

攻击方法：

• 攻击者若知悉生成时间范围，可枚举种子并重现随机数序列。
• 例如，密码重置令牌若基于时间种子，可在短时间内暴力破解。

场景2：误用非密码学安全的PRNG

案例：使用Math.random()生成高敏感数据：

// 漏洞代码  
const resetToken = Math.random().toString(36).substring(2);  

风险：

• Math.random()的算法（如xorshift128+）虽统计随机，但若攻击者获取足够输出，可逆向内部状态。
• 浏览器中已存在公开研究可预测Math.random()。

场景3：熵源不足的CSPRNG

案例：虚拟机中未配置熵池增强（如缺乏haveged服务），导致/dev/random阻塞或/dev/urandom熵不足。
影响：密钥生成变弱，易被暴力破解。

步骤3：攻击模拟与验证

以预测密码重置令牌为例：

1. 信息收集：
   • 重置令牌长度（如6位数字）。
   • 令牌生成时间（可通过邮件接收时间推断）。
2. 重建PRNG状态：
   • 假设种子为UNIX时间戳（精确到秒），攻击者枚举最近几秒的种子，生成相同令牌序列。
3. 工具辅助：
   • 使用伪随机数破解工具（如针对Python random模块）。

步骤4：防护方案设计

原则：始终使用CSPRNG处理安全相关操作。

1. 正确选择库函数：

   • Java：SecureRandom而非Random。
   • Python：secrets模块而非random。
   • C/C++：使用/dev/urandom或Windows的BCryptGenRandom。

2. 确保熵源充足：

   • Linux虚拟机中安装haveged或rng-tools增强熵池。
   • 避免自定义熵源（如用户输入）。

3. 生成高熵值数据：

   • 令牌长度至少128位（如32字符的十六进制字符串）。

   // 正确示例  
   import java.security.SecureRandom;  
   public class TokenGenerator {  
       public static String generateToken() {  
           byte[] bytes = new byte[16]; // 128位  
           new SecureRandom().nextBytes(bytes);  
           return Base64.getUrlEncoder().withoutPadding().encodeToString(bytes);  
       }  
   }  
   

4. 隔离与访问控制：

   • 限制随机数生成接口的调用频率，防止熵池耗尽。
   • 对重置令牌等实施尝试次数限制。

步骤5：进阶防护——确定性随机位生成器（DRBG）

在密码学系统中，需符合标准（如NIST SP 800-90A）：

• 哈希DRBG：基于哈希函数的随机数生成（如SHA-256）。
• HMAC-DRBG：更适用于受限环境（如智能卡）。
  实践：直接使用成熟库（如OpenSSL的RAND_bytes()）而非自行实现。

总结

不安全的随机数漏洞根源在于误用非密码学安全的PRNG或弱熵源。防护核心是：

1. 识别安全场景（如密钥、会话令牌）必须使用CSPRNG。
2. 依赖标准库而非自行实现。
3. 监控系统熵源状态，避免预测风险。

通过此进阶分析，可深入理解随机数安全在身份验证、加密等关键环节的基石作用。