使用Random来生成随机数的危险性

最新推荐文章于 2024-09-07 21:19:23 发布

weixin_34295316

最新推荐文章于 2024-09-07 21:19:23 发布

阅读量850

点赞数 1

文章标签：操作系统 python java

原文链接：https://my.oschina.net/u/3768341/blog/3008701

版权

2019独角兽企业重金招聘Python工程师标准>>>

我们先来看一个实例

public class SecureTest {
    public static void main(String[] args) {
        Random random1 = new Random(23468);
        for (int i = 0;i < 10;i++) {
            System.out.println(random1.nextInt(1000));
        }
        System.out.println("");
        Random random2 = new Random(23468);
        for (int i = 0;i < 10;i++) {
            System.out.println(random2.nextInt(1000));
        }
    }
}

运行结果

234
344
737
314
431
423
823
503
703
654

经过比对，两次随机出来是不是很神奇，而且无论你随机多少次，结果都一样。这里就有一个种子值的问题。

如果不写种子值，其实Random会有一个默认的种子值，这个值就是 System.currentTimeMillis() ，所以我们在代码开发中，你一般不要使用System.currentTimeMillis()来作为token之类的发送给用户，否则将有可能会作为攻击凭证来获取你的随机数，那么你的随机数将无任何意义。

因为Random的种子可预测，我们可以使用SecureRandom来代替Random，SecureRandom是继承于Random的一个类。虽然相同的种子产生的随机数也相同，但SecureRandom的默认种子将不再是System.currentTimeMillis()，而是操作系统里面的一些随机事件。

Instances of java.util.Random are not cryptographically secure. Consider instead using SecureRandom to get a cryptographically secure pseudo-random number generator for use by security-sensitive applications.
SecureRandom takes Random Data from your os (they can be interval between keystrokes etc - most os collect these data store them in files - /dev/random and /dev/urandom in case of linux/solaris) and uses that as the seed.
操作系统收集了一些随机事件，比如鼠标点击，键盘点击等等，SecureRandom 使用这些随机事件作为种子

这些事件是存放在/dev/urandom里面的。

所以基本上，除非黑客控制了你的操作系统，否则很难猜测出你的种子的。

public class SecureTest {
    public static void main(String[] args) {
        SecureRandom random1 = new SecureRandom();
        byte[] seeds = SecureRandom.getSeed(64);
        random1.setSeed(seeds);
        for (int i = 0;i < 10;i++) {
            System.out.println(random1.nextInt(1000));
        }
        System.out.println("");
        SecureRandom random2 = new SecureRandom();
        random2.setSeed(seeds);
        for (int i = 0;i < 10;i++) {
            System.out.println(random2.nextInt(1000));
        }

    }
}