CWE-Referenz › CWE-342: Predictable Exact Value from Previous Values
CWE-342: Predictable Exact Value from Previous Values
CWE ID: 342
Name: Predictable Exact Value from Previous Values
Beschreibung
Ein exakter Wert oder eine Zufallszahl kann präzise vorhergesagt werden, indem man frühere Werte beobachtet.
Risikominderungsmaßnahmen
Maßnahme (Unknown)
Effektivität: Unknown
Beschreibung: Erhöhen Sie die Entropie, die zur Initialisierung eines PRNG (Pseudo-Random Number Generator) verwendet wird.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Nutzen Sie Produkte oder Module, die den Vorgaben von FIPS 140-2 [REF-267] entsprechen, um offensichtliche Probleme mit der Entropie zu vermeiden. Konsultieren Sie hierzu den Anhang C (“Approved Random Number Generators”) von FIPS 140-2.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Verwenden Sie einen PRNG, der sich periodisch mit Input aus hochwertigen Quellen, wie beispielsweise Hardware-Geräten mit hoher Entropie, neu initialisiert (re-seeds). Achten Sie jedoch darauf, die Neuinitialisierung nicht zu häufig durchzuführen, da die Entropiequelle andernfalls blockieren könnte.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-342: Predictable Exact Value from Previous Values werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen