보안 대 성능 임의 숫자 생성 :`random_int ()`vs.`mt_rand ()`

토큰, 암호 및 소금과 같은 보안 민감성 작업에는 Random_int ()를 사용하여 암호화 적으로 안전하기 때문에 /dev /urandom 또는 cryptgenrandom과 같은 OS 수준 엔트로피 소스에 의존하기 때문입니다. 2. 속도가 중요하고 예측 가능성이 빠르고 예측 가능한 Mersenne Twister 알고리즘을 사용하기 때문에 게임, 시뮬레이션 또는 배열 셔플 링과 같은 비 보안 목적으로 mt_rand ()를 사용하십시오. 3. 예측할 수없는 것이 필요한 경우 mt_rand ()를 사용하지 않으므로 리버스 엔지니어링 할 수 있으므로 Random_int ()는 보안이 성능 요구를 능가하는 경우 안전과 효율성 사이의 올바른 균형을 보장하는 경우에 예약되어야합니다.

PHP에서 임의의 숫자를 생성 할 때 random_int() 와 mt_rand() 중에서 선택하면 보안 과 성능 사이의 상충 관계가 있습니다. 두 기능 모두 임의의 정수를 생성하지만, 다른 목적을 수행하며 모든 상황에서 상호 교환 할 수는 없습니다.

? 보안 : random_int() 암호화 적으로 안전합니다

random_int() 는 PHP 7.0에 특히 암호적으로 안전한 임의의 정수를 제공하기 위해 도입되었습니다. 운영 체제가 제공하는 안전한 임의 소스를 사용합니다.

• Linux : /dev/urandom 또는 getrandom() 시스템 호출
• Windows : CryptGenRandom 또는 BCryptGenRandom
• 기타 시스템 : 동등한 CSPRNG (암호적으로 보안 의사 숫자 생성기)

이것은 random_int() 에 적합합니다.

• 세션 토큰 생성
• 비밀번호 재설정 키 생성
• CSRF 토큰 생산
• 예측 가능성을 이용할 수있는 모든 시나리오

 $ token = bin2Hex (random_int (100000, 999999)); // 보안에 민감한 사용에 안전합니다

OS 레벨 엔트로피에 의존하기 때문에 random_int() 특히 고 부하 또는 엔트로피가 제한된 시스템에서 mt_rand() 보다 느립니다 .

성능 : mt_rand() 는 빠르지 만 안전하지 않습니다

mt_rand() 비 보안 목적에 우수한 빠르고 신뢰할 수있는 PRNG (Pseudorandom 번호 생성기) 인 Mersenne Twister 알고리즘을 사용합니다.

이상적입니다.

• 셔플 링 어레이
• 시뮬레이션 또는 게임
• 페이지 매김이 상쇄됩니다
• 속도와 보안이 중요하지 않은 경우

 $ random_index = mt_rand (0, count ($ aftem) -1);

그러나 mt_rand() 는 예측 가능합니다 . 충분한 출력이 주어지면 공격자는 내부 상태를 역전시키고 향후 값을 예측할 수 있습니다. 따라서 보안 관련 작업에는 적합하지 않습니다 .

또한 참고 :

• mt_rand() 수동으로 시드해야합니다 (PHP는 처음 사용하면 자동으로이를 수행하지만)
• 무작위성은 통계적으로 우수하지만 암호적으로 강하지 않습니다
• random_int() 보다 훨씬 빠릅니다.

언제 어느 것을 사용해야합니까?

? 공격자에게는 예측할 수없는 모든 것에 대해 mt_rand() 사용하지 마십시오.

실제 예 : 벤치 마크 비교

 $ start = microtime (true);
for ($ i = 0; $ i <10000; $ i) {
    mt_rand (1, 1000);
}
echo "mt_rand () :". (마이크로 타임 (True) - $ 시작). "초 \ n";

$ start = microtime (true);
for ($ i = 0; $ i <10000; $ i) {
    random_int (1, 1000);
}
echo "random_int () :". (마이크로 타임 (True) - $ 시작). "초 \ n";

일반적으로 mt_rand() 가 5-10x 더 빠르게 실행됩니다.

결론

• 보안이 발생할 때 random_int() 사용하십시오.
• 속도와 통계 무작위성이 필요할 때 mt_rand() 사용하면 착취의 위험이 없습니다 .

올바른 기능을 선택하는 것은 전반적으로 "더 나은"것이 아닙니다. 도구를 작업과 일치시키는 것입니다. 안전한 컨텍스트에서 mt_rand() 잘못 사용하면 심각한 취약점이 발생할 수 있으며 성능 크리티컬 코드에서 random_int() 과도하게 사용하면 불필요한 오버 헤드가 추가 될 수 있습니다.

기본적으로 : 가능한 경우 금식해야 할 때 안전합니다.

위 내용은 보안 대 성능 임의 숫자 생성 :`random_int ()`vs.`mt_rand ()`의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!