Come si generano numeri casuali protetti da crittografia con PHP?

Question

Eventuali duplicati:
Secure random number generation in PHP

Abbiamo bisogno di generare una stringa crittograficamente casuale da utilizzare come un token di autenticazione, che sarà legato a dati di sessione nel database. Stiamo usando PHP, che non sembra avere un generatore di numeri casuali adatto integrato. Come possiamo generare una stringa casuale crittograficamente sicura di lunghezza N usando php?

Inoltre, a causa della natura della nostra applicazione, shell_exec è fuori dal tavolo.

Answer 1

Che dire di uniqid? i documenti hanno un esempio di come può essere usato per i cookie/sessioni.

Answer 2

Fuori dalla parte superiore della mia testa: prendi micro tempo, moltiplicalo per microtime% 100 e fai qualche rand su sha1 del risultato ricevuto.

Answer 3

A seconda della piattaforma, è possibile utilizzare/dev/urandom o CAPICOM. Questo è ben riassunto in this comment from Mark Seecof:

"Se avete bisogno di qualche bit pseudocasuali per scopi crittografici di sicurezza o (uovo, IV casuale per cifrario a blocchi, sale casuale per hash della password) mt_rand() è una povera fonte Sulla maggior parte. piattaforme Unix/Linux e/o MS-Windows è possibile ottenere una migliore qualità di bit pseudocasuali dalla libreria OS o del sistema, in questo modo:

<?php 
// get 128 pseudorandom bits in a string of 16 bytes 

$pr_bits = ''; 

// Unix/Linux platform? 
$fp = @fopen('/dev/urandom','rb'); 
if ($fp !== FALSE) { 
    $pr_bits .= @fread($fp,16); 
    @fclose($fp); 
} 

// MS-Windows platform? 
if (@class_exists('COM')) { 
    // http://msdn.microsoft.com/en-us/library/aa388176(VS.85).aspx 
    try { 
     $CAPI_Util = new COM('CAPICOM.Utilities.1'); 
     $pr_bits .= $CAPI_Util->GetRandom(16,0); 

     // if we ask for binary data PHP munges it, so we 
     // request base64 return value. We squeeze out the 
     // redundancy and useless ==CRLF by hashing... 
     if ($pr_bits) { $pr_bits = md5($pr_bits,TRUE); } 
    } catch (Exception $ex) { 
     // echo 'Exception: ' . $ex->getMessage(); 
    } 
} 

if (strlen($pr_bits) < 16) { 
    // do something to warn system owner that 
    // pseudorandom generator is missing 
} 
?> 

NB: è generalmente sicuro di lasciare sia il tentativo di leggere/dev/urandom e il tentativo di accedere a CAPICOM nel tuo codice, anche se ognuno fallirà silenziosamente sulla piattaforma dell'altro. Lasciali entrambi lì così il tuo codice sarà più portabile. "