V6.3.1 Random Values

Requirement:

Verify that all random numbers, random file names, random GUIDs, and random strings are generated using the cryptographic module's approved cryptographically secure random number generator when these random values are intended to be not guessable by an attacker.

Explanation:

Данное требование относится к генерации случайных чисел, случайных имен файлов, случайных GUID и случайных строк, которые не должны угадываться злоумышленниками. Для выполнения этого требования необходимо использовать криптографически защищенный генератор случайных чисел (CSPRNG), предоставляемый криптографическим модулем или библиотекой.

CSPRNG предназначен для генерации случайных значений, которые статистически непредсказуемы и устойчивы к криптографическим атакам. Он использует различные источники энтропии, такие как аппаратные события или случайность, предоставляемая системой, для генерации высококачественных случайных чисел.

Remediation:

Вот несколько примеров по имплементации требования на различных языках программирования.

Пример реализации требования с использованием языка программирования Python и модуля 'secrets':

Python (using the 'secrets' module)

import secrets

## Generate a cryptographically secure random number

random_number = secrets.randbelow(100)

## Generate a cryptographically secure random file name

random_file_name = secrets.token_hex(16) + '.txt'

## Generate a cryptographically secure random GUID

random_guid = secrets.token_hex(16)

## Generate a cryptographically secure random string

random_string = secrets.token_urlsafe(16)

print(random_number)

print(random_file_name)

print(random_guid)

print(random_string)

Пример реализации требования с использованием языка программирования Java и класса java.security.SecureRandom:

Java (using the java.security.SecureRandom class)

import java.security.SecureRandom;

SecureRandom random = new SecureRandom();

// Generate a cryptographically secure random number

int randomNumber = random.nextInt(100);

// Generate a cryptographically secure random file name

String randomFileName = Long.toHexString(random.nextLong()) + ".txt";

// Generate a cryptographically secure random GUID

byte[] randomGuidBytes = new byte[16];

random.nextBytes(randomGuidBytes);

String randomGuid = javax.xml.bind.DatatypeConverter.printHexBinary(randomGuidBytes);

// Generate a cryptographically secure random string

byte[] randomStringBytes = new byte[16];

random.nextBytes(randomStringBytes);

String randomString = java.util.Base64.getUrlEncoder().withoutPadding().encodeToString(randomStringBytes);

System.out.println(randomNumber);

System.out.println(randomFileName);

System.out.println(randomGuid);

System.out.println(randomString);

Пример реализации требования с использованием языка программирования C# и класса System.Security.Cryptography.RandomNumberGenerator:

C# (using the System.Security.Cryptography.RandomNumberGenerator class)

using System.Security.Cryptography;

// Generate a cryptographically secure random number

byte[] randomNumberBytes = new byte[4];

using (var rng = new RNGCryptoServiceProvider())

{

rng.GetBytes(randomNumberBytes);

}

int randomNumber = BitConverter.ToInt32(randomNumberBytes, 0) % 100;

// Generate a cryptographically secure random file name

byte[] randomFileNameBytes = new byte[8];

using (var rng = new RNGCryptoServiceProvider())

{

rng.GetBytes(randomFileNameBytes);

}

string randomFileName = BitConverter.ToString(randomFileNameBytes).Replace("-", "") + ".txt";

// Generate a cryptographically secure random GUID

byte[] randomGuidBytes = new byte[16];

using (var rng = new RNGCryptoServiceProvider())

{

rng.GetBytes(randomGuidBytes);

}

Guid randomGuid = new Guid(randomGuidBytes);

// Generate a cryptographically secure random string

byte[] randomStringBytes = new byte[16];

using (var rng = new RNGCryptoServiceProvider())

{

rng.GetBytes(randomStringBytes);

}

string randomString = Convert.ToBase64String(randomStringBytes).TrimEnd('=').Replace('+', '-').Replace('/', '_');

Console.WriteLine(randomNumber);

Console.WriteLine(randomFileName);

Console.WriteLine(randomGuid);

Console.WriteLine(randomString);

В этих примерах криптографические модули ('secrets' в Python, 'SecureRandom' в Java, 'RNGCryptoServiceProvider' в C#) предоставляют безопасные генераторы случайных чисел, которые обеспечивают непредсказуемость генерируемых значений и устойчивость к атакам на угадывание.

Используя безопасные генераторы случайных чисел одобренных криптографических модулей, вы можете уверенно генерировать случайные числа, имена файлов, GUID и строки, которые очень устойчивы к угадыванию потенциальными злоумышленниками.