This is the first in a series of po

This is the first in a series of posts I'm going to give on how to crack common random number generators.

Random number generators are a key part of web security. They are used all over the place, from session tokens to tokens to sent to an email address to verify its owner made a particular request, to CAPTCHA tokens and so on. In all these applications, if the token can be predicted, then the security mechanism can be broken, and a malicious user will be able to identify themselves as someone who they are not.

There are obvious concerns with publishing instructions explaining how to exploit security vulnerabilities. However, I have some good reasons for doing so:

There is nothing new about the vulnerabilities associated with random number generation, nothing that I'm publishing here is new to hackers either.
Hacking random number generators is actually very easy to do, and hackers know this.
Many developers that I have come across are of the belief that hacking random number generators is a hard to exploit avenue of attack. Even when they know that there are dangers in random number generation, their understanding is often incomplete, leading them to make serious mistakes.
None of the algorithms I supply here can be used as is, they require an attacker to know exactly what algorithm is being used on a system, how to extract numbers out of it, and having then cracked the number generator, how to exploit it. Knowing all this I believe is harder than working out for yourself how to crack the random number generators themselves, so if they couldn't work out what I am saying for themselves, they likely won't be able to use it to hack into a real system.
Hence I believe that there is nothing a hacker will learn from this series that they can't work out for themselves. Meanwhile, many developers live in ignorance, and would never bother to see if their understanding of random number generators is flawed. My hope therefore is to give developers an understanding of just how dangerous their ignorance can be.

What I won't talk about in this series is anything about the maths of random number generators, beyond explaining how the algorithms are implmented. Why a particular algorithm makes a good PRNG is beyond the scope of this series.

Kết quả (Việt) 1:

Đây là lần đầu tiên trong một loạt các bài viết tôi sẽ cung cấp trên làm thế nào để crack phổ biến ngẫu nhiên số máy phát điện.Máy phát điện số ngẫu nhiên là một phần quan trọng của bảo mật web. Chúng được sử dụng khắp nơi, từ phiên giao dịch thẻ để thẻ sẽ gửi đến địa chỉ email để xác minh chủ nhân của nó thực hiện một yêu cầu cụ thể, để CAPTCHA thẻ và vân vân. Trong tất cả các ứng dụng này, nếu kỷ niệm có thể dự đoán, sau đó cơ chế bảo mật có thể bị hỏng và độc hại người dùng sẽ có thể để xác định mình là một người không có.Có những mối quan tâm rõ ràng với các hướng dẫn xuất bản giải thích làm thế nào để khai thác lỗ hổng bảo mật. Tuy nhiên, tôi có một số lý do tốt để làm như vậy:Không có gì mới về các lỗ hổng kết hợp với hệ số ngẫu nhiên, không có gì mà tôi xuất bản ở đây là mới cho tin tặc hoặc là.Hack máy phát điện số ngẫu nhiên là thực sự rất dễ dàng để làm, và tin tặc biết điều này.Nhiều nhà phát triển, tôi đã đi qua là niềm tin rằng hack máy phát điện số ngẫu nhiên là một khó khăn để khai thác avenue của cuộc tấn công. Ngay cả khi họ biết rằng có những nguy hiểm trong thế hệ số ngẫu nhiên, sự hiểu biết của họ thường là không đầy đủ, dẫn họ để làm cho những sai lầm nghiêm trọng.Không có các thuật toán mà tôi cung cấp ở đây có thể được sử dụng như là, họ yêu cầu một kẻ tấn công để biết chính xác những gì thuật toán được sử dụng trên hệ thống, làm thế nào để tách số ra khỏi nó, và có thì nứt số máy phát điện, làm thế nào để khai thác nó. Hiểu biết tất cả điều này tôi tin là khó khăn hơn so với làm việc ra cho chính mình làm thế nào để crack các máy phát điện số ngẫu nhiên, bản thân mình, vì vậy nếu họ không thể làm việc ra những gì tôi nói cho chính mình, họ có khả năng sẽ không thể sử dụng nó để hack vào một hệ thống thực sự.Do đó, tôi tin rằng không có gì là một hacker sẽ học hỏi từ này loạt mà họ không thể làm việc ra cho mình. Trong khi đó, nhiều nhà phát triển sống trong vô minh, và sẽ không bao giờ bận tâm đến xem nếu sự hiểu biết của họ về máy phát điện số ngẫu nhiên là thiếu sót. Do đó, Hy vọng của tôi là để cung cấp cho các nhà phát triển một sự hiểu biết về nguy hiểm như thế nào là sự thiếu hiểu biết của họ có thể.Những gì tôi sẽ không nói về trong loạt bài này là bất cứ điều gì về toán học của máy phát điện số ngẫu nhiên, vượt ra ngoài giải thích làm thế nào các thuật toán là implmented. Tại sao một thuật toán đặc biệt làm ĐỰOC tốt là vượt ra ngoài phạm vi của loạt bài này.

Kết quả (Việt) 2:

Đây là lần đầu tiên trong một loạt các bài viết tôi sẽ cung cấp trên như thế nào để crack máy phát điện số ngẫu nhiên thông thường. Máy phát điện số ngẫu nhiên là một phần quan trọng của bảo mật web. Chúng được sử dụng ở khắp mọi nơi, từ session tokens để thẻ để gửi đến một địa chỉ email để xác minh chủ sở hữu của nó, bằng một yêu cầu cụ thể, để thẻ CAPTCHA và như vậy. Trong tất cả các ứng dụng, nếu thẻ có thể được dự đoán, sau đó các cơ chế bảo mật có thể bị phá vỡ, và một người dùng sẽ có thể tự nhận mình là một người nào đó họ là ai không. Có những mối quan tâm rõ ràng với các hướng dẫn xuất bản giải thích làm thế nào để khai thác lỗ hổng bảo mật . Tuy nhiên, tôi có một số lý do chính đáng để làm như vậy: Có gì mới về các lỗ hổng liên quan đến hệ số ngẫu nhiên, không có gì mà tôi đang xuất bản ở đây là mới đối với hacker hoặc là. Hacking máy phát điện số ngẫu nhiên thực sự là rất dễ dàng để làm, và tin tặc biết điều này. Nhiều nhà phát triển mà tôi đã đi qua là niềm tin rằng hack máy phát điện số ngẫu nhiên là một khó khăn để khai thác đường tấn công. Ngay cả khi họ biết rằng có những nguy hiểm trong hệ số ngẫu nhiên, sự hiểu biết của họ thường là không đầy đủ, khiến họ phạm sai lầm nghiêm trọng. Không ai trong số các thuật toán tôi cung cấp ở đây có thể được sử dụng như là, họ yêu cầu một kẻ tấn công biết chính xác những thuật toán đang được được sử dụng trên một hệ thống, làm thế nào để trích xuất số ra khỏi nó, và sau đó có nứt số máy phát điện, làm thế nào để khai thác nó. Biết tất cả điều này tôi tin là khó khăn hơn so với làm việc ra cho chính mình như thế nào để crack các máy phát điện số ngẫu nhiên bản thân, vì vậy nếu họ không thể làm việc ra những gì tôi đang nói cho chính mình, họ có thể sẽ không thể sử dụng nó để hack vào một hệ thống thực. Do đó tôi tin rằng không có gì một hacker sẽ học hỏi từ loạt bài này rằng họ không thể làm việc ra cho mình là. Trong khi đó, nhiều nhà phát triển sống trong vô minh, và sẽ không bao giờ bận tâm để xem nếu sự hiểu biết của họ về máy phát điện số ngẫu nhiên là thiếu sót. Do đó hy vọng của tôi là để cung cấp cho các nhà phát triển một sự hiểu biết như thế nào nguy hiểm vô minh của họ có thể được. Những gì tôi sẽ không nói về trong loạt bài này là bất cứ điều gì về toán học của máy phát số ngẫu nhiên, ngoài giải thích làm thế nào các thuật toán được implmented. Tại sao một thuật toán đặc biệt làm cho một PRNG tốt là vượt ra ngoài phạm vi của loạt bài này.