Zayıf rastgelelik (ARCH6115)

Anahtar ruby.security.weak-random · Önem warning · Kategori security · CWE CWE-338

Token, anahtar, salt, OTP veya oturum kimliği gibi güvenlik değerleri için rand/Random gibi kriptografik olmayan PRNG kullanmak, üretilen değerin tahmin edilebilir olmasına yol açar.

Hatalı

def token
  rand(10**10).to_s
end

Doğru

def token
  SecureRandom.hex(16)
end

Düzeltme

Güvenlik açısından kritik değerler için SecureRandom gibi kriptografik olarak güvenli bir üreteç kullanın.