Sichere Zufallszahlen trotz Android-Bug

[Zoopa]

Ein kürzlich entdeckter Bug in Android sorgt dafür, dass unter bestimmten Umständen SecureRandom keine sicheren Zufallszahlen generiert, wenn der Generator den Seed von Android nimmt. Der Fehler wurde auch schon aktiv genutzt, um mehrere Tausend Dollar in Bitcoins zu stehlen.

Wer also sichere Zufallszahlen für kryptographische Operationen benötigt, sollte sich schnellstmöglich nach einer Lösung umsehen.

Alex Klyubin, ein Security Engineer von Android hat einen Blog-Post veröffentlicht, wo auch Code zu finden ist, um den Bug zu umgehen bzw. den Zufallszahlengenerator neu zu seeden.

Die Anwendung des Codes ist sehr leicht. Man braucht sich nur die Klasse in sein Projekt zu kopieren und beim Start seine App (am besten gleich in der onCreate-Methode) folgende Methode aufzurufen:

PRNGFixes.apply();