Zufallszahlen: Kryptographische Sicherheit Erklaert

Zwei Arten von Zufallszahlen

Nicht alle Zufallszahlen sind gleich. Pseudozufallszahlengeneratoren (PRNG) erzeugen deterministische Folgen, die zufaellig aussehen, aber bei gleichem Startwert (Seed) reproduzierbar sind. Kryptographisch sichere Zufallszahlengeneratoren (CSPRNG) erzeugen echte Unvorhersagbarkeit, die auch mit Kenntnis des Algorithmus nicht vorhergesagt werden kann.

Fuer Spiele, Simulationen und statistische Stichproben reichen PRNGs aus. Fuer Sicherheitsanwendungen — Passwoerter, Verschluesselungsschluessel, Tokens — sind CSPRNGs zwingend erforderlich. Die Verwendung eines PRNG fuer Sicherheitszwecke ist eine haeufige und gefaehrliche Schwachstelle.

Entropiequellen fuer echten Zufall

CSPRNGs beziehen ihre Unvorhersagbarkeit aus physischen Entropiequellen: Mausbewegungen, Tastaturanschlaege, Netzwerk-Timing, Festplatten-Zugriffszeiten und Hardware-Rauschgeneratoren. Moderne CPUs (Intel, AMD) haben eingebaute Zufallsgeneratoren (RDRAND), die thermisches Rauschen als Entropiequelle nutzen.

In Browsern stellt die Web Crypto API (crypto.getRandomValues) kryptographisch sichere Zufallszahlen bereit. JavaScript-Entwickler sollten immer diese API verwenden, wenn Sicherheit relevant ist — niemals Math.random().

Praktische Anwendungen

• Passwort-Generierung: Sichere Passwoerter benoetigen kryptographischen Zufall, damit sie nicht vorhersagbar sind.
• Token und Session-IDs: Jeder API-Token und jede Session-ID muss kryptographisch zufaellig sein, um Hijacking zu verhindern.
• Lotterien und Verlosungen: Faire Auslosungen erfordern echten Zufall, der nicht manipulierbar ist.
• Statistische Stichproben: Fuer repraesentative Umfragen braucht man zufaellige, gleichverteilte Auswahlen.

BSI-Empfehlungen fuer Zufallszahlen

Das BSI definiert in seiner Technischen Richtlinie AIS 20/31 Anforderungen an Zufallszahlengeneratoren fuer verschiedene Sicherheitsniveaus. Fuer kryptographische Anwendungen werden Generatoren der Klasse DRG.3 oder hoeher empfohlen, die echte physische Entropiequellen verwenden.

Zufallszahlen generieren

Unser Zufallszahlen-Generator erzeugt Zufallszahlen in beliebigen Bereichen mit kryptographisch sicherer Methode (Web Crypto API). Generieren Sie einzelne Zahlen, Listen oder Wuerfelergebnisse. Die Generierung erfolgt lokal im Browser — keine Daten werden uebertragen.