Zayıf rastgelelik (ARCH4115)

Anahtar java.security.weak-random · Önem warning · Kategori security · CWE CWE-338

java.util.Random gibi kriptografik olmayan bir PRNG, jetonlar, anahtarlar, tuzlar veya oturum kimlikleri gibi güvenlik açısından hassas değerler için kullanıldığında tahmin edilebilir çıktı üretir.

Hatalı

String token = Long.toHexString(new Random().nextLong());

Doğru

byte[] buf = new byte[32];
SecureRandom.getInstanceStrong().nextBytes(buf);
String token = HexFormat.of().formatHex(buf);

Düzeltme

Güvenlik açısından hassas tüm değerler için SecureRandom kullanın; java.util.Random ve Math.random kullanmayın.