很多安全系統(tǒng)都涉及到“隨機(jī)數(shù)”的概念,就是為了讓加密更安全,加密算法中會(huì)加入隨機(jī)數(shù),這樣系統(tǒng)會(huì)變得更加安全和難以破解。不過可能很多人不知道,這種隨機(jī)數(shù)的生成并沒有你想得那么隨機(jī),隨機(jī)數(shù)完全依賴于廣闊的隨機(jī)數(shù)據(jù)資源——而這些數(shù)據(jù)資源量并不足夠龐大。
安全專家Bruce Potter表示,像Linux服務(wù)器生成的數(shù)據(jù)函數(shù)其實(shí)是很“low”的。他在2015美國(guó)黑帽客大會(huì)上表示,這個(gè)問題意味著所謂的隨機(jī)數(shù)實(shí)際上也就比人們想得更容易猜到或者破解。
研究人員Sasha Moore先前在隨機(jī)數(shù)生成研究方面,和Potter一起工作,他們對(duì)于自己的這項(xiàng)發(fā)現(xiàn)也都感到非常驚訝和害怕。就像BBC先前報(bào)道的那樣,隨機(jī)數(shù)的生成來源于一系列資源,包括將鼠標(biāo)和鍵盤的移動(dòng)轉(zhuǎn)為二進(jìn)制碼。而Potter和Moore的研究則發(fā)現(xiàn),許多Linux服務(wù)器生成的數(shù)據(jù)流不僅包含了相對(duì)低級(jí)的函數(shù),而且也沒有經(jīng)過嚴(yán)格的測(cè)試。
“這些資源池很快就枯竭了,讓加密系統(tǒng)的隨機(jī)數(shù)生成機(jī)制根本得不到好的資源。這或許意味著,隨機(jī)數(shù)更容易被猜到,系統(tǒng)也更容易受到暴力攻擊的影響,因?yàn)殡S機(jī)數(shù)的生成并沒有想象得那么靠譜。”
實(shí)際上,隨機(jī)數(shù)的應(yīng)用不僅限于加密、加大非法數(shù)據(jù)解密的難度,也可以應(yīng)用于某些任務(wù)執(zhí)行、數(shù)據(jù)存儲(chǔ)命令的隨機(jī)化,還有其他一些需要增加安全性的系統(tǒng)中。
Potter的研究揭示了目前比較流行的web服務(wù)器所用加密系統(tǒng)的內(nèi)部問題,Potter表示:“這讓我們很害怕,因?yàn)槿绻銓?duì)加密存在這樣的未知性,那么情況就不是那么順利了。”鑒于越來越多的資料都在線上,這些都依賴于加密和隨機(jī)數(shù),這樣的問題確實(shí)是值得人們 警惕的。