Czy używanie funkcji CreateUUID() jest dobrym pomysłem na sól?

Question

Używam coldfusion i chciałbym wygenerować losowe pole soli dla moich haseł. Zastanawiam się, czy funkcja CreateUUID() jest przydatna tutaj. Znalazłem wiele przykładów, które wykorzystują oddzielną funkcję do utworzenia ciągu soli; ale dlaczego to zrobić, gdy zamiast tego można użyć funkcji rand() lub CreateUUID()? Nie jestem pewny.

Czy to przesada, czy dobry pomysł? Czy zamiast tego powinienem użyć rand() lub znacznika czasu?

Answer 1

To nie dobry pomysł - gwarancje CreateUUID wyjątkowość, nie losowość; jeśli zrobiłeś analizę statystyczną CreateUUID, najprawdopodobniej nie byłaby to dystrybucja uważana za wystarczająco przypadkową dla kryptografii, ponieważ nie została w ten sposób specjalnie zaprojektowana.

Na przykład, pierwsze n bajtów CreateUUID jest adresem MAC - tj zawsze to samo dla każdej soli. W ten sposób znacznie zmniejszyłeś ilość entropii twoich soli, dzięki czemu łatwiej je złamać. Użyj bibliotek, aby obsłużyć cały scenariusz auth, jeśli to możliwe, a jeśli nie, użyj prawdziwej funkcji rand().