Insecure Randomness

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

FORM GenerateReceiptURL CHANGING baseUrl TYPE string.
    DATA: r TYPE REF TO cl_abap_random,
		  var1 TYPE i,
		  var2 TYPE i,
		  var3 TYPE n.


	GET TIME.
	var1 = sy-uzeit.
	r = cl_abap_random=>create( seed = var1 ).
	r->int31( RECEIVING value = var2 ).
	var3 = var2.
    CONCATENATE baseUrl var3 ".html" INTO baseUrl.
ENDFORM.

このコードは CL_ABAP_RANDOM->INT31 関数を使用して、領収書ページの一意の識別子を生成します。CL_ABAP_RANDOM は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

string GenerateReceiptURL(string baseUrl) {
    Random Gen = new Random();
    return (baseUrl + Gen.Next().toString() + ".html");
}

このコードは Random.Next() 関数を使用して、領収書ページの一意の識別子を生成します。Random.Next() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

char* CreateReceiptURL() {
    int num;
    time_t t1;
    char *URL = (char*) malloc(MAX_URL);
    if (URL) {
        (void) time(&t1);
        srand48((long) t1);     /* use time to set seed */
        sprintf(URL, "%s%d%s", "http://test.com/", lrand48(), ".html");
    }
    return URL;
}

このコードは lrand48() 関数を使用して、領収書ページの一意の識別子を生成します。lrand48() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。


コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

<cfoutput>
Receipt: #baseUrl##Rand()#.cfm
</cfoutput>

このコードは Rand() 関数を使用して、領収書ページの一意の識別子を生成します。Rand() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供します。しかし、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは、統計的 PRNG を使用して RSA 鍵を作成します。

import "math/rand"
...
var mathRand = rand.New(rand.NewSource(1))
rsa.GenerateKey(mathRand, 2048)

このコードは rand.New() 関数を使用して、RSA 鍵の乱数を生成します。rand.New() は統計的 PRNG なので、生成される値の推測は攻撃者にとってはたやすいことです。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

function genReceiptURL (baseURL){
  var randNum = Math.random();
  var receiptURL = baseURL + randNum + ".html";
  return receiptURL;
}

このコードは Math.random() 関数を使用して、領収書ページの一意の識別子を生成します。Math.random() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

fun GenerateReceiptURL(baseUrl: String): String {
    val ranGen = Random(Date().getTime())
    return baseUrl + ranGen.nextInt(400000000).toString() + ".html"
}

このコードは Random.nextInt() 関数を使用して、領収書ページの「一意の」識別子を生成します。Random.nextInt() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

  function genReceiptURL($baseURL) {
    $randNum = rand();
    $receiptURL = $baseURL . $randNum . ".html";
    return $receiptURL;
  }

このコードは rand() 関数を使用して、領収書ページの一意の識別子を生成します。rand() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

CREATE or REPLACE FUNCTION CREATE_RECEIPT_URL
  RETURN VARCHAR2
AS
  rnum VARCHAR2(48);
  time TIMESTAMP;
  url VARCHAR2(MAX_URL)
BEGIN
  time := SYSTIMESTAMP;
  DBMS_RANDOM.SEED(time);
  rnum := DBMS_RANDOM.STRING('x', 48);
  url := 'http://test.com/' || rnum || '.html';
  RETURN url;
END

このコードは DBMS_RANDOM.SEED() 関数を使用して、領収書ページの一意の識別子を生成します。DBMS_RANDOM.SEED() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

    def genReceiptURL(self,baseURL):
        randNum = random.random()
        receiptURL = baseURL + randNum + ".html"
        return receiptURL

このコードは rand() 関数を使用して、領収書ページの一意の識別子を生成します。rand() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

def generateReceiptURL(baseUrl) {
  randNum = rand(400000000)
  return ("#{baseUrl}#{randNum}.html");
}

このコードは Kernel.rand() 関数を使用して、領収書ページの一意の識別子を生成します。Kernel.rand() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

def GenerateReceiptURL(baseUrl : String) : String {
    val ranGen = new scala.util.Random()
    ranGen.setSeed((new Date()).getTime())
    return (baseUrl + ranGen.nextInt(400000000) + ".html")
}

このコードは Random.nextInt() 関数を使用して、領収書ページの一意の識別子を生成します。Random.nextInt() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードでは、統計的 PRNG を使用してパスワードのリセット トークンとして使用されるランダムな値を作成します。

    sqlite3_randomness(10, &reset_token)

標準的な Pseudo-Random Number Generator (PRNG) では、暗号の弱点を利用した攻撃には耐えられません。

Insecure Randomness エラーが発生するのは、セキュリティが重要であるコンテキストで、ランダム性のソースとして、予期可能な値を生成する関数が使用される場合です。

コンピュータは決定論的な機械であるため、真のランダム性を生成することはできません。Pseudo-Random Number Generator (PRNG) はランダム性をアルゴリズムにより近似します。最初の値はシードと呼ばれ、後続の値はそこから計算されます。

PRNG には、統計的なものと暗号的なものがあります。統計的 PRNG は有用な統計上の特性を提供しますが、その出力はきわめて予測可能で、再現しやすい数値ストリームを形成するため、生成される値を予期できないことにセキュリティが依存している場合の使用には不適切です。この問題に対処するため、暗号的 PRNG は、より予期しにくい出力を生成します。値を暗号によって保護するためには、攻撃者が生成されたランダムな値と真にランダムな値を区別することが不可能か、または非常に困難である必要があります。一般的に、PRNG アルゴリズムは、暗号的に安全であると告知されていなければ統計的 PRNG である可能性が高く、セキュリティが重要なコンテキストで使用すべきではありません。PRNG アルゴリズムを使用することで、解読されやすい一時パスワードや暗号化キー、セッションハイジャック、DNS 偽装などの深刻な脆弱性が発生する可能性があります。

例 1: 次のコードは統計的 PRNG を使用して、購入後の一定期間利用できる領収書の URL を作成します。

...
Function genReceiptURL(baseURL)
dim randNum
randNum = Rnd()
genReceiptURL = baseURL & randNum & ".html"
End Function
...

このコードは Rnd() 関数を使用して、領収書ページの一意の識別子を生成します。Rnd() は統計的 PRNG なので、生成される文字列の推測は攻撃者にとってはたやすいことです。領収書システムの基礎設計にも欠陥がありますが、暗号的 PRNG など、予測可能な領収書 ID を生成しない乱数ジェネレータを使えば安全性が高まります。