Náhodná čísla mohou v PHP způsobit bezpečnostní problém

Server Seclists.org zveřejnil upozornění Weak RNG in PHP session ID generation leads to session hijacking. Podle této zprávy není generátor náhodných čísel (RNG, Random Number Generator) dostatečně „náhodný“, což v důsledku může vést k omezenému množství unikátních identifikátorů, založených na tomto generátoru, a tím ke zjednodušení „brute-force“ útoků např. proti sessions.

Podle článku jsou potřeba určité podmínky k tomu, aby tato bezpečnostní slabina mohla způsobit potíže. Doporučené metody jsou: Nepoužívat přímo výstup funkce uniqid() a nainstalovat Suhosin patch.

Zdroj: PHPArch

Začal programovat v roce 1984 s programovatelnou kalkulačkou. Pokračoval k BASICu, assembleru Z80, Forthu, Pascalu, Céčku, dalším assemblerům, před časem v PHP a teď by rád neprogramoval a radši se věnoval starým počítačům.

Zatím nebyl přidán žádný komentář, buďte první!

Přidat komentář
Zdroj: https://www.zdrojak.cz/?p=1131