Bir ip/jeton kriptografik olarak güvenli kılan nedir?

Question

Gelecekteki istekleri doğrulamak için bir dize/jeton oluşturmanız gerekiyorsa (ör. Bir API anahtarı, bir e-posta doğrulama URL'si, vb), hangi faktörler dikkate alınmalıdır? Özellikle

dize/"çok sert tahmin etmek" "güvenli" yapan şey

• ?
• "Güvenlik miktarı" nasıl ölçülür/tahmin edilir?
• Buradaki ana standartlar nelerdir?

Basit bir örnek

en NodeJS bu iki çıkış dizeleri ele alalım.

String (Node crypto aracılığıyla) 1

var crypto = require('crypto'); 
crypto.randomBytes(48, function (ex, buf) { 
    console.log(buf.toString('hex')); 
}); 

Yaylı bir daha güvenli ve neden olur yukarıda belirtilen kavramlar, dayanarak

var uuid = require('node-uuid'); 
console.log(uuid.v4()); 

(Node UUID aracılığıyla) 2?

Ayrıca, bu çevrimiçi makaleleri kolayca bulamadığım için, konuyla ilgili iyi bir tanıtım materyali önermekten lütfen çekinmeyin.

Answer 1

Dizeyi "güvenli"/"tahmin etmek çok zor" yapan nedir? o static çünkü

bir dize veya jeton, kriptografik olamaz.

Kriptografik olarak güvenli (sözde) rasgele sayı üreteci (CS (P) RNG) kavramı, üretilen sayıların öngörülebilir olmadığını açıklar. Prosedürün bir özelliğidir ve bireysel sayıların değil.

"Güvenlik miktarı" nasıl ölçülür/tahmin edilir? Bazıları bir kara kutu olduğu için kullanılan rasgelelik kaynaklarına bağlıdır. Çok fazla rassallık üretebilir ve orada bazı kalıplar bulup bulmayacağınızı görebilirsiniz. some test suites available vardır, ancak daha sonra uygulamanız hakkında düşünmeniz gerekir ve bu rastgele sayılara ne kadar hızlı ihtiyacınız vardır. Çok fazla rastgele talep edilmesinin havuzun tükenmesi ve ardından yetersiz rastgele sayılar üretmesi mümkündür.

Buradaki ana standartlar nelerdir?

Sisteminizin/çerçevenin belirlenmiş kriptografik rasgelelik kaynakları kullanın. Belgelere güvenmek istiyorsanız, Node.js 'crypto.randomBytes() bunlardan biridir.

Basit bir örnek

düğüm Uuid crypto.randomBytes()internally kullanır, bu nedenle bunun arkasında aynı rasgelelik gücü esas vardır, ancak crypto.randomBytes() mevcut değilse bu Math.random() çare olacak. Math.random() is not cryptographically secure. Tarayıcıda şifreli olarak güvenli bir rastgele değerlere sahip olmak istiyorsanız, Web Şifreleme API'sı getRandomValues()'u sorgulamanız gerekecektir.