`mt_rand`에서`random_int`

mt_rand ()는 암호화 목적으로 안전하지 않습니다. 예측 가능한 출력을 생성하는 Mersenne Twister 알고리즘을 사용하여 예측 가능한 출력을 생성 할 수 있으며 보안을 위해 설계되지 않았습니다. 2. 안전한 임의의 숫자 생성의 경우, 운영 체제의 암호적으로 안전한 의사 숫자 생성기 (CSPRNG)에서 나오고 예측 및 타이밍 공격에 저항력이있는 random_int ()를 대신 사용하십시오. 3. 모든 임의의 함수가 동일하다고 가정하는 것과 같은 일반적인 실수를 피하거나 Random_int ()의 구조 범위 또는 Random_int () 및 MT_Rand ()와 같은 안전하고 안전하지 않은 기능을 결합하여 보안을 훼손합니다. 4. 7.0보다 빠른 PHP 버전의 경우 Composer를 통해 Paragonie/Random_compat 라이브러리를 설치하여 Random_int () 및 Random_bytes ()를 안전하게 사용하십시오. 5. MT_RAND ()는 퀴즈 질문, UI ID 생성 또는 예측할 수없는 것이 중요하지 않은 게임 메커니즘과 같은 비 보안에 민감한 작업에만 허용됩니다. 6. 인증 토큰, 세션 키, 비밀번호 재설정 또는 사용자를 향한 비밀을 처리하여 강력한 보안을 보장 할 때 항상 random_int ()와 같은 암호적으로 안전한 기능을 사용하십시오.

PHP에서 무작위 숫자를 생성하는 것은 수년에 걸쳐, 특히 보안과 관련하여 크게 발전했습니다. 토큰, 비밀번호 또는 세션 키를 생성하는 것과 같은 민감한 작업에 여전히 mt_rand() 사용하고 있다면 업그레이드해야합니다. 암호적으로 보안 숫자 생성을 위해 mt_rand() 에서 random_int() 로 이동하는 이유와 방법은 다음과 같습니다.

왜 mt_rand() 안전하지 않은 이유

mt_rand() Mersenne Twister 알고리즘을 사용합니다.이 알고리즘은 시뮬레이션, 게임 또는 셔플 링 데이터에 적합하지만 암호화에는 안전하지 않습니다 .

• 예측 가능한 출력 : 충분한 출력이 주어지면, 공격자는 내부 상태를 리버스 엔지니어링하고 향후 값을 예측할 수 있습니다.
• 기본적으로 제대로 시드되지 않음 : 특히 구형 PHP 버전에서는 시드가 약하거나 타임 스탬프와 같은 예측 가능한 값을 기반으로 할 수 있습니다.
• 보안을 위해 설계되지 않았습니다 : 그것은 예측할 수없는 성능을위한 의사 랜덤 번호 생성기 (PRNG)입니다.

예 : mt_rand(1, 1000000) 사용하여 비밀번호 재설정 토큰을 생성하는 경우 공격자는 시간이 지남에 따라 가능한 값을 무차별하거나 예측할 수 있습니다.

보안 크리티컬 코드에는 random_int() 를 사용하십시오

PHP 7은 random 확장 (PHP 7.0에 내장)의 일부인 random_int() 도입하여 암호화 적으로 랜덤 정수를 생성합니다.

 $ securerandomNumber = random_int (1, 10000000);

이 기능 :

• OS 레벨 CSPRNG (Linux 또는 Windows의 CryptGenRandom 예 /dev/urandom 예 :)에서 임의성을 끌어냅니다.
• 예측 및 타이밍 공격에 저항합니다.
• 시스템의 엔트로피 풀이 비어있는 경우에만 차단합니다 (현대 시스템에서는 매우 드물다).

random_int() 사용하여 예측할 수없는 숫자가 필요할 때 사용하십시오.

• CSRF 토큰
• 비밀번호 재설정 키
• 세션 식별자 (PHP는 내부적으로 처리하지만)
• 모든 사용자를 향한 비밀

일반적인 실수와 함정

random_int() 가 있더라도 개발자는 미끄러질 수 있습니다.

• 모든 임의의 함수가 동일하다고 가정합니다
  rand() mt_rand() 로 바꾸고 "고정"이라고 부르는 함정에 빠지지 마십시오. random_int() , random_bytes() 또는 paragonie/random_compat 와 같은 라이브러리 만 안전합니다.

• 부적절한 범위 처리
  random_int($min, $max) 유효한 경계를 가져야합니다. 부정적인 범위 또는 $min > $max 피하십시오.

• 무작위성을 "개선"하려고합니다
  다음과 같은 일을하지 마십시오.

   // ❌하지 마십시오
  $ num = random_int (1, 100) * mt_rand (1, 10);

  안전하고 안전하지 않은 소스를 믹싱하면 결과가 약화됩니다.

후진 호환성 : PHP <7.0

php 5.x에 갇힌 경우 paragonie/random_compat 라이브러리를 사용하십시오.

 작곡가는 paragonie/random_compat가 필요합니다

이제 안전하게 사용할 수 있습니다.

 $ securenumber = random_int (1, 100);
$ bytes = random_bytes (16);

구형 PHP 버전에서도 보안 소스를 사용하여 random_int() 및 random_bytes() 를 폴리 필드합니다.

mt_rand() 는 언제 괜찮습니까?

mt_rand() 에는 여전히 유효한 용도가 있습니다. 보안이 중요한 곳이 아닙니다.

• 퀴즈 질문 목록을 뒤섞습니다
• UI 요소에 대한 민감한 ID를 생성합니다
• 공정성 ≠ 보안의 게임 메커니즘

그러나 의심스러운 경우 random_int() 사용하십시오 .

기본적으로 사용자 인증, 액세스 제어 또는 비밀에 닿으면 암호화 적으로 안전합니다. mt_rand() 에서 random_int() 로의 전환은 간단하고 안전하며 미래를 방지합니다.

위 내용은 `mt_rand`에서`random_int`의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!