Generazione di un segreto su un computer compromesso

1

Supponiamo di trovarci su un computer compromesso (ad esempio infestato da trojan che registrano la pressione di un tasto o di catturare screenshot) e per qualche motivo dobbiamo generare un numero che dovrebbe essere segreto allo scopo di utilizzarlo in uno script.

Usando ruby, quando faccio qualcosa come Random.new.rand , il generatore di numeri casuali è seminato con l'ora corrente, l'ID di processo e un numero di sequenza. Considerando le caratteristiche di questo tipo di malware, puoi pensare a qualche migliore fonte di entropia che possiamo introdurre sul seme che è più difficile da catturare?

    
posta lunr 01.02.2018 - 00:54
fonte

1 risposta

6

Se la macchina è compromessa, non c'è nulla che tu possa introdurre per renderlo più difficile da catturare: possiedono la scatola, la memoria e il sistema operativo.

Da quanto poco capisco di Ruby, la scelta di Random è sbagliata perché qualsiasi cosa sia protetta, poiché è solo un generatore di numeri pseudo-casuali e invece dovresti usare SecureRandom.

Con SecureRandom non avrai bisogno di cercare e trovare altre fonti di entropia.

    
risposta data 01.02.2018 - 01:22
fonte

Leggi altre domande sui tag