CWE-Referenz › CWE-333: Improper Handling of Insufficient Entropy in TRNG
CWE-333: Improper Handling of Insufficient Entropy in TRNG
CWE ID: 333
Name: Improper Handling of Insufficient Entropy in TRNG
Beschreibung
Echte Zufallszahlengeneratoren (TRNG) haben in der Regel eine begrenzte Quelle für Entropie und können daher ausfallen oder blockieren.
Erweiterte Beschreibung
Die Rate, mit der echte Zufallszahlen generiert werden können, ist begrenzt. Es ist wichtig, sie nur dann zu verwenden, wenn sie für Sicherheitszwecke benötigt werden.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Anstatt aufgrund eines Mangels an Zufallszahlen zu versagen, ist es oft vorzuziehen, auf die Generierung weiterer Numbers zu warten.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-333: Improper Handling of Insufficient Entropy in TRNG werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen