На хабре и во времена виртуальном мире часто стали разрабатываться публикации, посвященные уязвимостям генераторов псевдослучайных комбинаций цифр. Данная тема крайне обширна и считается единой из очень любопытных в криптографии. Под катом находится описание псевдослучайных комбинаций цифр от a до z. Статья является результатом свободного перевода цикла статей из конкретного западного блога и персональных дополнений автора. Главная задача - получить feedback или поделиться знаниями. Генераторы псевдослучайных комбинаций цифр - основная раздел веб-безопасности. Скромный перечень применений: - генераторы сессий (phpsessid)- генерация текста для капчи- шифрование- генерация соли для переноски паролей в необратимом виде- генератор паролей- порядок раздачи карт между интернет казино Как отличить случайную последовательность чисел от неслучайной? Пусть есть последовательность чисел: несколько , трех-четырех , пять или шесть-семь, восемь , 9. Будет ли ширма-перегородка случайной? Есть четкое определение для случайной величины. Случайная величина - это величина, которая берет в следствии опыта первое из тысячи значений, причём появление любого значения этой величины до её измерения нельзя точно предсказать. Однако предложение не спасает закрыть наш проблема, поскольку человеку не достаточно информационного анализа для ответа. Теперь отметим, что электро- числа получились набором самой значимой из верхних строк клавиатуры. «Бесспорно, не случайная» - воскликните вы и даже назовете следующие количество и окажитесь абсолютно правы. Последовательность будет случайной лишь тогда, когда между символами, нету зависимости. Например, ежели бы данные символы запустили в продажу в следствии вытягивания бочонков в лото, то последовательность стала бы случайной. Чуть более сложный пример или число пи Последовательность траты промеж пи считается случайной. Пусть генератор базируется на выводе бит представления числа пи, начиная от какой-нибудь не раскрученной точки. Такой генератор, возможно также пройдет «проверка на новый бит», поскольку пи, видимо, является случайной последовательностью. Между тем, подобный метод не относится к критографически надежным - если криптоаналитик определит, какой бит числа пи используется на данный момент, он может выяснить и разные предшествующие и дальнейшие биты. Данный пример накладывает ещё одно лимит на генераторы псевдослучайных комбинаций цифр. Криптоаналитик не будет иметь возможности предсказать работу генератора псевдослучайных комбинаций цифр. Отличие генератора случайных комбинаций цифр (гпсч) от генератора псевдослучайных комбинаций цифр (гсч) Источники энтропии нужны для накопления энтропии с дальнейшим получением из неё начального значения (initial value, seed), необходимого генераторам псевдослучайных комбинаций цифр (гсч) для создания псевдослучайных комбинаций цифр. Гпсч использует единственное начальное значение, отсюда и имеет смыл его псевдослучайность, а гсч всегда формирует случайное число, имея на заре высококачественную случайную величину, предоставленную разными данными энтропии. Энтропия - это мера беспорядка. Информационная энтропия - мера неопределённости или непредсказуемости информации. Следует заметить, что гсч = гпсч источник энтропии. Уязвимости гпсч - Предсказуемая зависимость между числами.- Предсказуемое начальное значение генератора.- Малая длина периода генерируемой последовательности псевдослучайных комбинаций цифр, после которой генератор зацикливается. Линейный конгруэнтный гпсч (lcprng) Распространённый вариант для генерации случайных комбинаций цифр, не имеющий криптографической стойкостью. Линейный конгруэнтный способ в вычислении членов линейной рекуррентной последовательности по модулю некоторого натурального числа m, задаваемой следующей формулой: Где a (multiplier), c (addend), m (mask) - некоторые целочисленные коэффициенты. Получаемая последовательность напрямую зависит от мнения стартового числа (seed) x0 а также разных его значениях получаются различные последовательности псевдослучайных комбинаций цифр. Для выбора коэффициентов имеются свойства позволяющие максимизировать длину периода(максимальная длина равна m), точнее сказать момент, с которого генератор зациклится [1]. Пусть генератор выдал несколько псевдослучайных комбинаций цифр x0, x1, x2, x3. Получается система уравнений Решив эту систему, реально выявить коэффициенты a, c, m. Как заверяет википедия [8], данная система имеет решение, но решить самостоятельно либо найти решение не удавалось. Буду очень признателен за каждую содействие в данном деле. Предсказание результатов линейно-конгруэнтного метода Основным алгоритмом предсказания чисел для линейно-конгруэнтного метода является plumstead’s - алгоритм, реализацию, которого возможно отыскать здесь [4](имеются интернет «пуск» и тут [5]. Описание алгоритма вы сможете обнаружить в [9]. Простая реализация конгруэнтного метода на джава. Public static int a = 45; public static int c = 21; public static int m = 67; public static int seed = 2; public static int getrand() seed = (a * seed c) % m; return seed; public static void main(string[] args) for(int i=0; iОтправив 20 чисел в чат [4 можете с огромной шансом заработать следующие. Чем чаще чисел, тем выше вероятность. Взлом встроенного генератора псевдослучайных комбинаций цифр в java Многие языки программирования, например c(rand), c (rand) и java используют lсprng. Рассмотрим, как вы сможете сделать хакинг под примере java.Utils.Random. Просто осуществив переход в исходный код (jdk1.7) данного класса вы сможете прочитать используемые константы Private static final long multiplier = 0x5deece66dl; // 25214903917 private static final long addend = 0xbl; // 11 private static final long mask = (1l Метод java.Utils.Randon.Nextint() выглядит так (здесь bits == 32) Protected int next(int bits) long oldseed, nextseed; atomiclong seed = this.Seed; do oldseed = seed.Get(); nextseed = (oldseed * multiplier + addend) & mask; while (!Seed.Compareandset(oldseed, nextseed)); return (int)(nextseed >>> (48 - bits)); Результатом является nextseed сдвинутый вправо на 48-32=16 бит. Данный метод называется truncated-bits, особенно неприятен при black-box, приходится добавлять ещё один цикл в brute-force. Взлом будет происходить методом грубой силы(brute-force). Пусть мы знаем два подряд сгенерированных числа x1 и x2. Тогда необходимо перебрать 2^16 = 65536 вариантов oldseed и применять к x1 формулу: ((X1*multiplier + addend) & mask) До тех пор, пока она не станет равной x2. Код для brute-force может выглядеть так Import java.Lang.Reflect.Field; import java.Util.Random; import java.Util.Concurrent.Atomic.Atomiclong; public class passwordcracking public static final long multiplier = 0x5deece66dl; public static final long addend = 0xbl; public static final long mask = (1l > 16); if (nextint == v2) system.Out.Println("seed found: " + seed); random crackingrandom = new random(); try /* set the seed for random to be convinced that we have found the right seed because constructor random (long seed) uses the private static long initialscramble (long seed) return (seed ^ multiplier) & mask; for simplicity will use reflection */ field privateseedfield = random.Class.Getdeclaredfield("seed"); privateseedfield.Setaccessible(true); atomiclong crackingseed = (atomiclong)privateseedfield.Get(crackingrandom); crackingseed.Set(seed); catch(exception e) system.Out.Println(e.Tostring()); system.Exit(1); long cv1 = crackingrandom.Nextint(); long cv2 = crackingrandom.Nextint(); long cv3 = crackingrandom.Nextint(); long cv4 = crackingrandom.Nextint(); system.Out.Println("set fiend seed and generate random numbers"); system.Out.Println("cv1=" + cv1 + "\ncv2=" + cv2 + "\ncv3=" + cv3 + "\ncv4=" + cv4); break; Вывод данной программы будет примерно таким: V1 = -1184958941 v2 = 274285127 v3 = -1566774765 v4 = 30466408 seed found: -77657469128792 set fiend seed and generate random numbers cv1 = 274285127 cv2 = -1566774765 cv3 = 30466408 cv4 = -803980434 Несложно понять, что мы нашли не самый первый seed, а seed, используемый при генерации второго числа. Для нахождения первоначального seed необходимо провести несколько операций, которые java использовала для преобразования seed, в обратном порядке. Public static long getpreviousseed(long prevseed) long seed = prevseed; // reverse the addend from the seed seed -= addend; // reverse the addend long result = 0; // iterate through the seeds bits for (int i = 0; i И теперь в исходном коде заменим crackingseed.Set(seed); на crackingseed.Set(getpreviousseed(seed)); И всё, мы успешно взломали гпсч в java. Взлом гпсч mersenne twister в php Рассмотрим ещё один не криптостойкий алгоритм генерации псевдослучайных чисел mersenne twister. Основные преимущества алгоритма - это скорость генерации и огромный период 2^19937 − 1, на этот раз будем анализировать реализацию алгоритма mt_srand() и mt_rand() в исходном коде php версии 5.4.6. Содержимое файла /ext/standard/basic_functions.H #define mt_n (624) /* rand.C */ состояние php_uint32[mt_n+1]; /* вектор состояния + 1 дополнительный, чтобы не нарушать ansi c */ php_uint32 *next; /* отсюда вычисляется следующее случайное значение */ int left; /* может *next++ столько раз перед перезагрузкой */ unsigned int rand_seed; /* начальное значение для rand(), в версии ts */ zend_bool rand_is_seeded; /* был ли ранд() заполнен */ zend_bool mt_rand_is_seeded; /* был ли заполнен mt_rand() */ Содержимое файла /ext/standard/rand.C: #define n mt_n /* длина вектора состояния */ #define m (397) /* параметр периода */ #define hibit(u) ((u) & 0x80000000u) /* маскирует все, кроме старшего бита u */ #define lobit(u) ((u) & 0x00000001u) /* маскирует все, кроме самого младшего бит u */ #define lobits(u) ((u) & 0x7fffffffu) /* маскируем старший бит u */ #define mixbits(u, v) (hibit(u)lobits(v)) /* перемещаем привет бит u в привет бит v */ #define twist(m,u,v) (m ^ (mixbits(u,v)>>1) ^ ((php_uint32)(-(php_int32)(lobit( u))) & 0x9908b0dfu)) /* php_mt_reload */ static inline void php_mt_reload(tsrmls_d) /* генерация n новых значений в состоянии стало понятнее и быстрее мэтью беллью (matthew.Bellew@home.Com) */ register php_uint32 *state = бг(состояние); зарегистрировать php_uint32 *p = состояние; зарегистрироваться в я; для (i = n - m; i--; ++p) *p = twist(p[m], p[0], p[1]); для (i = m; --i; ++p) *p = twist(p[m-n], p[0], p[1]); *p = твист(p[m-n], p[0], состояние[0]); бг(слева) = н; bg(следующий) = состояние; /* */ /* php_mt_initialize */ static inline void php_mt_initialize(php_uint32 seed, php_uint32 *state) /* инициализировать состояние генератора с seed см. Knuth taocp vol 2, 3rd ed, p.106 для множителя. В предыдущих версиях старшие значащие биты (msb) начального числа влияют только на msb массива состояний. Изменено 9 января 2002 г. Макото мацумото. */ Зарегистрируйте php_uint32 *s = состояние; зарегистрируйте php_uint32 *r = состояние; зарегистрировать целое я = 1; *s++ = seed & 0xffffffffu; for( ; i > 30)) + i ) & 0xffffffffu; р++; /* */ /* php_mt_srand */ phpapi void php_mt_srand(php_uint32 seed tsrmls_dc) /* заполните генератор простым uint32 */ php_mt_initialize(seed, bg(state)); php_mt_reload (tsrmls_c); /* начальное значение только один раз */ bg(mt_rand_is_seeded) = 1; /* */ /* php_mt_rand */ phpapi php_uint32 php_mt_rand(tsrmls_d) /* извлечение 32-битного целого числа из состояния генератора любая другая функция доступа просто преобразует извлеченные здесь числа */ register php_uint32 s1; если (bg(слева) == 0) php_mt_reload(tsrmls_c); --бг(слева); s1 = *bg(следующий)++; s1 ^= (s1 >> 11); s1 ^= (s1 18) ); Можно обнаружить, что php_mt_reload вызывает возбуждение и после вызова php_mt_rand 624 раза. Начнем взлом с конца, обратим преобразование в конце функции php_mt_rand(). Рассмотрим (s1 ^ (s1 >> 18)). В бинарном представлении операция выглядит так: 10110111010111100111111001110010 s1 000000000000000000010110111010111100111111001110010 s1 >> 18 10 110111010111100101001110100101 s1 ^ (s1 >> 18) видно, что первые 18 бит (выделены жирным) остались без изменений. Напишем две функции для инвертирования битового двигателя и xor Public static long unbitshiftrightxor(long value, long shift) // мы часть значения мы до (с шириной битов сдвига) long i = 0; // здесь мы накапливаем результат long result = 0; // повторяем до тех пор, пока не пройдем все 32 бита while (i * shift >> (shift * i); // получаем часть long part = value & partmask; // отменяем операцию xor из следующей части целого числа value ^= part >>> shift; // добавляем часть к результату result = part; i++; return result; public static long unbitshiftleftxor(long value, long shift, long mask) // разделяем значения, до которого мы дошли (с шириной сдвиговых битов) long i = 0; // мы накапливаем здесь результат long result = 0; // итерируем, пока не сделаем полные 32 бита while (i * shift > > (32 - сдвиг)) Тогда код для инвертирования последних строк функции php_mt_rand() будет выглядеть так Long value = output;value = unbitshiftrightxor(value, 18) ; value = unbitshiftleftxor(value, 15, 0xefc60000); value = unbitshiftleftxor(value, 7, 0x9d2c5680); value = unbitshiftrightxor(value, 11); Если у нас есть 624 последовательных числа сгенерированных mersenne twister, то есть применив этот алгоритм для вычисляемых чисел, мы доказали полное состояние mersenne twister, и можно легко определить последующее значение, запустив php_mt_reload для известного набора значений. Область для взлома Если вы думаете, что уже нечего ломать, то вы глубоко заблуждаетесь. Один из интересных объектов является генератором случайных чисел adobe flash (action script 3.0). Его особенностью является закрытость исходного кода и отсутствие задания seed'а. Основной интерес к нему заключается в использовании многих онлайн-казино и онлайн-покере. И найти в таких данных очень непростую задачу. Задание распределения для генератора псевдослучайных чисел Для любой случайной величины можно задать распределение. Перенося на пример с картами, можно сделать так, чтобы тузы выпадали чаще, чем девятки. Далее представлены несколько примеров для треугольного распределения и экспоненциального распределения. Треугольное распределение Приведем пример генерации случайной величины с треугольным распределением [7] на языке c99. Double triangular(double a, double b, double c) double u = rand() / (double) rand_max; double f = (c - a) / (b - a); if (u В данном случае мы берем случайную величину rand() и задаем ей распределение, исходя из функции треугольного распределения. Для параметров a = -40, b = 100, c = 50 график 10000000 измерений будет выглядеть так Экспоненциальное распределение Пусть требуется получить датчик экспоненциально распределенных случайных величин. В этом случае f(x) = 1 - exp(-lambda * x). Тогда из решения уравнения y = 1 - exp(-lambda * x) получаем x = -log(1-y)/lambda. Можно заметить, что выражение под знаком логарифма в последней формуле имеет равномерное распределение на отрезке [0,1), что позволяет получать другую, но так же распределённую последовательность по формуле: x = -log(y)/lambda, где y есть случайная величина(rand()). Тесты гпсч Некоторые разработчики считают, что если они скроют используемый ими метод генерации или придумают свой, то этого достаточно для защиты. Это очень распространённое заблуждение. Следует помнить, что есть специальные методы и приемы для поиска зависимостей в последовательности чисел. Одним из известных тестов является тест на следующий бит - тест, служащий для проверки генераторов псевдослучайных чисел на криптостойкость. Тест гласит, что не должно существовать полиномиального алгоритма, который, зная первые k битов случайной последовательности, сможет предсказать k+1 бит с вероятностью большей ½. В теории криптографии отдельной проблемой является определение того, насколько последовательность чисел или бит, сгенерированных генератором, является случайной. Как правило, для этой цели используются различные статистические тесты, такие как diehard или nist. Эндрю яо в 1982 году доказал, что генератор, прошедший «тест на следующий бит», пройдет и любые другие статистические тесты на случайность, выполнимые за полиномиальное время. В интернете [10] можно пройти тесты diehard и множество других, чтобы определить критостойкость алгоритма. Если вы лелеяли эту статью, и вы просто хотели бы получить больше информации о <a href="https://onlineggpokerplay.com/promotions/aof-jackpot/">all-in or fold poker</a> пожалуйста, посетите нашу собственную страницу.

Я извиняюсь, но, по-моему, Вы не правы. Я уверен. Давайте обсудим. Пишите мне в PM, пообщаемся.
горячая милфа-мачеха cory chase делает глубокий минет в <a href=https://blog.seuconsumo.com.br/calculo-da-conta-de-agua-copasa/>https://
blog.seuconsumo.com.br/calculo-da-conta-de-agua-copasa/</a> от главного персонажа 10 мин.

Отличный топик

---
Видно, не судьба. lakshmi flowers, exotic flowers и <a href=https://gentec-energy.com/blog/technical-expertise/>https://gentec-energ
y.com/blog/technical-expertise/</a> sia flowers

<a href="https://bravosklad.ru">Двери браво</a>

<a href="https://new-shop-pharmacy.top/cefixime-200-mg/">cefepime oral</a>

<a href="https://med-info-pharm.top/ashwagandha-herb/">500m ashwagandha</a>

<a href="https://new-shop-pharmacy.top/buy-actos/">actos manufacturer</a>

<a href="https://bravosklad.ru">Двери браво</a>

Не могу сейчас поучаствовать в обсуждении - очень занят. Но вернусь - обязательно напишу что я думаю.
чат «<a href=https://helenazejdlikova.cz/ahoj-vsichni/>https://helenazejdlikova.cz/ah
oj-vsichni/</a>» — веб-сайт для видео-чатов по онлайн-оборудовании со лишними собеседниками.

<a href="https://bravosklad.ru">Двери браво</a>