首页/安全/等保与合规速查/随机数质量:密码应用的隐形地基
密码与认证合规50 条

随机数质量:密码应用的隐形地基

密钥生成、IV/Nonce、盐与挑战值都依赖高质量随机数:应使用密码模块或操作系统密码学随机源,并按 GM/T 0005 做随机性检测;业务代码禁用非密码学随机数。

等保与合规速查安全更新于 2026-10-12

正确与错误示例

正确与错误示例
import secrets            # 正确:密码学安全随机源
key = secrets.token_bytes(32)

# import random            # 错误:伪随机,可预测
# key = bytes(random.getrandbits(8) for _ in range(32))
标准GM/T 0005-2021《随机性检测规范》
检测对随机数发生器输出做统计检测(频数、游程、矩阵等)
部署密码机内置合格随机源;自研实现需送检

易错点

  • 用时间戳当随机源:时间可预测,等同无随机性
  • 弱随机用于 GCM Nonce:重复 Nonce 会破坏 GCM 安全性

数据来源与参考

  • GM/T 0005-2021《随机性检测规范》
  • GB/T 39786-2021
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌