Comment puis-je générer des nombres aléatoires sécurisés en PHP pour les applications sensibles ?

Génération sécurisée de nombres aléatoires en PHP

La génération de nombres aléatoires sécurisés en PHP est cruciale pour des applications telles que la réinitialisation de mot de passe, où le mot de passe d'origine est haché et indisponible. Bien que mt_rand soit insuffisant, le système d'exploitation ou les modules de nombres aléatoires cryptographiques peuvent ne pas être accessibles.

Solution proposée et préoccupations

Une approche proposée consiste à stocker une graine initiale et à calculer nombres aléatoires suivants en utilisant une formule :

result = seed
seed = sha512(seed . mt_rand())

Bien que sha512 soit sécurisé, son utilisation ici est défectueuse. L'appel mt_rand n'améliore pas la sécurité et la graine est annulée. Cette idée fausse suggère des faiblesses dans la conception des systèmes de sécurité.

Approche recommandée

Au lieu de s'appuyer sur des hachages pour générer de l'entropie, il est fortement recommandé d'utiliser les sources d'entropie du système :

• Unix/Linux : /dev/urandom
• Windows : crypto-api

Voici un exemple de code PHP de php.net pour obtenir une chaîne sécurisée de 128 bits à partir de ces sources :

$pr_bits = '';

// Unix/Linux platform
$fp = @fopen('/dev/urandom','rb');
if ($fp !== FALSE) {
    $pr_bits .= @fread($fp,16);
    @fclose($fp);
}

// MS-Windows platform
if (@class_exists('COM')) {
    try {
        $CAPI_Util = new COM('CAPICOM.Utilities.1');
        $pr_bits .= $CAPI_Util->GetRandom(16,0);
    } catch (Exception $ex) {
        // Handle exception
    }
}

if (strlen($pr_bits) < 16) {
    // Handle entropy source issue
}

L'utilisation de cette approche garantit une génération sécurisée de nombres aléatoires, ce qui est essentiel pour protéger les données sensibles en PHP candidatures.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!