php - 从 PHP 访问 CryptGenRandom

Question

我很难找到一种方法来从 PHP 访问 Windows 上的安全随机数，这种方法很有可能在任何给定安装上工作。

• 许多 Windows 安装都没有 openssl 或禁用它，因此 openssl_random_pseudo_bytes() 通常不起作用。

• 当 mycrypt 扩展不可用时，mcrypt_create_iv() 会出现同样的问题。

• session_id()(将 session.entropy_length 设置为合理的数字)是另一条路线，但安全模式有时会禁用重新生成和获取 session ID 所需的功能。

• new COM('CAPICOM.Utilities.1')->GetRandom() 有点过时(仅限 Win32)并且 dll 不可靠。

• new DOTNET('mscorlib', 'System.Security.Cryptography.RNGCryptoServiceProvider') with GetBytes() 仅在安装了 .NET 时才有效与 PHP 兼容。

什么是更好的解决方案？

Answer 1

我实际上实现了一个 RFC4086 PHP 中兼容的随机数生成器。您可以在 the GitHub Project for PHP-CryptLib 查看作品.

基本上，您指定所需的随机数/字符串的“强度”。如果您需要加密安全数字，请选择“高”(但请注意，这可能是一个阻塞操作。如果您只需要强度高的数字/字符串，我建议您使用“中”设置。如果您只是在实现一个没有安全隐患的游戏, 选择低。

下面是使用方法:

require_once dirname(dirname(__DIR__)) . '/lib/CryptLib/bootstrap.php';
$factory = new \CryptLib\Random\Factory;
$generator = $factory->getLowStrengthGenerator();
$number = $generator->generate(8);

这将生成一个低强度的 8 字节字符串(字符 0-255)(对于高强度，您可以执行 ->getHighStrengthGenerator)。不同之处在于它如何设置生成器(它使用哪个混音器，以及它使用哪个源)。

生成 1 到 10(含)之间的整数:

$int = $generator->generateInt(1, 10);

请注意，RFC4086 指定了一种从多个来源生成随机性的方法(这样，如果任何一个来源遭到破坏，最终结果都不会显着减弱)。因此，当您选择高强度来源时，它使用与中等来源相同的来源，但从高强度类别中添加了一个或多个来源。

请注意，根据 RFC，输出的强度至少与正在使用的最强的未妥协源一样好。因此，对于您可以获得的应用程序(设计)，这确实是质量最好的 RNG...如果您想添加硬件 TRNG，您可以并且仍然使用该机制(源是可插入的，因此它应该能够在不损害输出的情况下添加任何东西)...