¿Cómo se generan números aleatorios criptográficamente seguros con PHP?

Question

Duplicar posible:
Secure random number generation in PHP

Necesitamos generar una cadena aleatoria criptográficamente para su uso como un token de autenticación, que se ata a los datos de sesión en la base de datos. Estamos usando PHP, que no parece tener un generador de números aleatorios adecuado. ¿Cómo podemos generar una cadena aleatoria criptográficamente segura de N longitud usando php?

También tenga en cuenta que, debido a la naturaleza de nuestra aplicación, shell_exec está fuera de la mesa.

Answer 1

¿qué hay de uniqid? los documentos tienen un ejemplo de cómo puede usarse para cookies/sesiones.

Answer 2

Fuera de la cabeza: tómate el micro tiempo, multiplícalo por microtime% 100 y haz algunos randoms en sha1 del resultado recibido.

Answer 3

Según su plataforma, puede usar/dev/urandom o CAPICOM. Esto está muy bien resumida en this comment from Mark Seecof:

"Si necesitas algunos bits pseudoaleatorios para la seguridad o propósitos criptográficos (huevo, IV aleatorio para cifrado de bloques, sal al azar para hash de la contraseña) mt_rand() es una fuente pobre En la mayoría. plataformas Unix/Linux y/o MS-Windows, puede obtener una mejor calificación de bits pseudoaleatorios de la biblioteca OS o sistema, así:

<?php 
// get 128 pseudorandom bits in a string of 16 bytes 

$pr_bits = ''; 

// Unix/Linux platform? 
$fp = @fopen('/dev/urandom','rb'); 
if ($fp !== FALSE) { 
    $pr_bits .= @fread($fp,16); 
    @fclose($fp); 
} 

// MS-Windows platform? 
if (@class_exists('COM')) { 
    // http://msdn.microsoft.com/en-us/library/aa388176(VS.85).aspx 
    try { 
     $CAPI_Util = new COM('CAPICOM.Utilities.1'); 
     $pr_bits .= $CAPI_Util->GetRandom(16,0); 

     // if we ask for binary data PHP munges it, so we 
     // request base64 return value. We squeeze out the 
     // redundancy and useless ==CRLF by hashing... 
     if ($pr_bits) { $pr_bits = md5($pr_bits,TRUE); } 
    } catch (Exception $ex) { 
     // echo 'Exception: ' . $ex->getMessage(); 
    } 
} 

if (strlen($pr_bits) < 16) { 
    // do something to warn system owner that 
    // pseudorandom generator is missing 
} 
?> 

NB: por lo general es seguro dejar tanto el intento de leer/dev/urandom y el intento de acceder a CAPICOM en su código, aunque cada uno fallará silenciosamente en la plataforma del otro. Déjelos allí para que su código sea más portátil ".