Детерминированный случайный выход из постоянного seed обнаруживает случайные стандартные функции, которые, когда задан постоянный seed, имеют детерминированный выход.

Когда некоторые случайные функции, такие как srand, srandom, и initstate, имеют постоянные начальные значения, результаты дают тот же выход каждый раз, когда ваша программа запускается. Хакер может сорвать вашу программу, если узнает, как ведет себя ваша программа.

Используйте другую случайную стандартную функцию или неконстантный seed.

Некоторые стандартные случайные стандартные программы по своей сути являются криптографически слабыми и не должны использоваться в целях безопасности.

#include <stdlib.h>

void random_num(void)
{
    srand(12345U);
    /* ... */
}

Этот пример инициализирует генератор случайных чисел, используя srand с постоянным seed. Генерация случайных чисел является детерминированной, что делает эту функцию криптографически слабой.

Одной из возможных коррекций является использование генератора случайных чисел, который не требует seed. Этот пример использует rand_s.

#define _CRT_RAND_S
#include <stdlib.h>
#include <stdio.h>

unsigned int random_num_time(void)
{

    unsigned int number;
    errno_t err;
    err = rand_s(&number);

    if(err != 0)
    {
        return number;
    }
    else
    {
        return err;
    }
}

Предсказуемый случайный выход из предсказуемого seed ищет случайные стандартные функции, которые используют неконстантный но предсказуемый seed. Примерами предсказуемого seed чисел являются time, gettimeofday, и getpid.

Когда вы используете предсказуемые начальные значения для генерации случайных чисел, ваши случайные числа также предсказуемы. Хакер может сорвать вашу программу, если узнает, как ведет себя ваша программа.

Можно использовать другую функцию, чтобы сгенерировать менее предсказуемые семена.

Можно также использовать другой генератор случайных чисел, который не требует seed. Для примера, Windows^® Функциональные rand_s API сами семена по умолчанию. Он использует информацию из всей системы, например, системное время, идентификаторы потоков, системный счетчик и кластеры памяти. Эта информация является более случайной, и пользователь не может получить доступ к этой информации.

Некоторые стандартные случайные стандартные программы по своей сути являются криптографически слабыми и не должны использоваться в целях безопасности.

#include <stdlib.h>
#include <time.h>

void seed_rng(int seed)
{
    srand(seed);
}

int generate_num(void)
{
    seed_rng(time(NULL) + 3);
    /* ... */
}

Этот пример использует srand чтобы запустить генератор случайных чисел с seed как seed. Однако seed предсказуема, потому что функция time генерирует его. Итак, атакующий может предсказать случайные числа, сгенерированные srand.

Одной из возможных коррекций является использование генератора случайных чисел, который не требует seed. Этот пример использует rand_s.

#define _CRT_RAND_S

#include <stdlib.h>
#include <stdio.h>
#include <errno.h>

int generate_num(void)
{
    unsigned int number;
    errno_t err;
    err = rand_s(&number);

    if(err != 0)
    {
        return number;
    }
    else
    {
        return err;
    }
}