java.util.random和java.security.SecureRandom之间的区别

Question

我的团队得到了一些生成随机令牌的服务器端代码（Java），我对此有一个问题-

这些令牌的用途是相当敏感的--用于会话id、密码重置链接等，因此它们确实需要在密码学上是随机的，以避免有人猜到它们或强行使用它们。令牌是一个“long”，因此它是64位长。

代码当前使用java.util.random类生成这些令牌。java.util.random的文档清楚地说明了以下内容：

java.util.Random的实例在密码学上不安全。请考虑使用SecureRandom来获得加密安全的伪随机数生成器，以供安全敏感的应用程序使用。

但是，代码当前使用java.util.random的方式是这样的-它实例化java.security.securerandom类，然后使用securerandom.NextLong()方法获得用于实例化java.util.random类的种子。然后使用java.util.random.NextLong()方法生成令牌。

所以我现在的问题是--如果java.util.random是使用java.security.securerandom进行种子植入的，那么它是否仍然不安全？我是否需要修改代码，以便它只使用java.security.securerandom来生成令牌？

当前，代码种子在启动时为random一次

Answer 1

标准Oracle JDK7实现使用所谓的线性同余生成器在java.util.random中生成随机值。

取自java.util.random源代码（JDK 7U2)，取自方法protected int next（int bits)的注释，该方法生成随机值：

这是一个线性同余伪随机数生成器，由D.H.Lehmer定义，Donald E.Knuth在《计算机编程的艺术》第3卷:Seminumerical Algorithms第3.2.1节中进行了描述。

Hugo Krawczyk写了一篇关于如何预测这些LCG的很好的论文（“如何预测同余生成器”）。如果你幸运并且感兴趣，你仍然可以在网上找到一个免费的，可下载的版本。还有大量的研究清楚地表明，您不应该将LCG用于安全性关键的目的。这也意味着你的随机数现在是可预测的，这是你不想要的会话ID和类似的东西。

认为攻击者必须等待LCG在一个完整的循环之后重复的假设是错误的。即使有一个最佳循环（它的递推关系中的模数m)，预测未来的值也是非常容易的，比一个完整的循环要少得多的时间。毕竟，这只是一堆需要求解的模方程，只要你观察到足够多的LCG输出值，这就变得容易了。

“更好”的种子不会提高安全性。如果您使用securerandom生成的随机值进行种子播种，或者甚至通过多次滚动一个die来生成该值，这一点都不重要。

替换当前代码。以独占方式使用securerandom。那么至少你会有一点保证，结果将很难预测。如果您想要加密安全PRNG的属性（在您的情况下，这正是您想要的），那么您只能使用securerandom。聪明地改变它的使用方式几乎总是会导致一些不安全的东西。