CWE ID: 332
Name: Insufficient Entropy in PRNG
Ein Mangel an verfügbarer oder verwendeter Entropie für einen Pseudo-Random Number Generator (PRNG) kann eine Stabilitäts- und Sicherheitsbedrohung darstellen.
Effektivität: Unknown
Beschreibung: Verwenden Sie Produkte oder Module, die den Vorgaben von FIPS 140-2 [REF-267] entsprechen, um offensichtliche Entropieprobleme zu vermeiden. Konsultieren Sie den FIPS 140-2 Anhang C (“Approved Random Number Generators”).
Effektivität: Unknown
Beschreibung: Berücksichtigen Sie einen PRNG, der sich bei Bedarf aus hochwertigem Pseudo-Random-Output, beispielsweise von Hardware-Devices, neu initialisiert (re-seeds).
Effektivität: Unknown
Beschreibung: Bei der Auswahl eines PRNG ist es entscheidend, dessen Quellen für Entropie zu prüfen. Je nach Ihren Sicherheitsanforderungen benötigen Sie möglicherweise einen Zufallszahlengenerator, der stets starke Zufallsdaten verwendet – also einen Generator, der versucht, robust zu sein, aber im Falle einer Schwäche auf eine schwache Art und Weise ausfällt, oder der durch Techniken wie Re-seeding stets einen gewissen Mittelweg des Schutzes bietet. Im Allgemeinen ist etwas, das stets eine vorhersagbare Stärke liefert, vorzuziehen.
