Insecure randomness (ARCH315)

Anahtar dotnet.security.weak-random · Önem warning · Kategori security · CWE CWE-338

System.Random öngörülebilir bir PRNG’dir ve token veya anahtar gibi güvenlik değerlerini tahmin edilebilir kılar. Kriptografik bir üreteç kullanın.

Hatalı

var token = new byte[32];
new Random().NextBytes(token);

Doğru

var token = RandomNumberGenerator.GetBytes(32);

Düzeltme

Güvenliğe duyarlı tüm rastgelelik için System.Random yerine RandomNumberGenerator kullanın.