Was ist die standard-Methode zur Erzeugung einer nonce in Python?

Kann jemand teilen, die best practices für die Erstellung eines nonce für eine OAuth-Anfrage in Python?

InformationsquelleAutor charliesneath | 2011-04-08

7

Hier ist, wie python-oauth2 es macht:
```
def generate_nonce(length=8):
    """Generate pseudorandom number."""
    return ''.join([str(random.randint(0, 9)) for i in range(length)])
```
Haben Sie auch:
```
@classmethod
def make_nonce(cls):
    """Generate pseudorandom number."""
    return str(random.randint(0, 100000000))
```
Zusätzlich gibt es dieses Problem mit dem Titel: "make_nonce ist nicht zufällig genug", schlägt vor:
```
def gen_nonce(length):
   """ Generates a random string of bytes, base64 encoded """
   if length < 1:
      return ''
   string=base64.b64encode(os.urandom(length),altchars=b'-_')
   b64len=4*floor(length,3)
   if length%3 == 1:
      b64len+=2
   elif length%3 == 2:
      b64len+=3
   return string[0:b64len].decode()
```
Und auch Referenzen CVE-2013-4347. TL;DR-version, verwenden Sie os.urandom oder der abstrahierten Schnittstelle (SystemRandom).

Ich mag meine lambdas—und wollte nicht, dass nicht-alphanumerische Zeichen—also habe ich diese verwendet:
```
lambda length: filter(lambda s: s.isalpha(), b64encode(urandom(length * 2)))[:length]
```
BTW. uuid1 wird ein eindeutiger Schlüssel basierend auf host und Uhrzeit: import uuid; uuid.uuid1(). Es kann geworfen werden, um eine Zeichenfolge & verwendet werden, wenn eine alphanumerische nonce gewünscht ist. Es hat auch eine Epoche der UTC-Zeit-Komponente, d.h. die uuid.uuid1().Zeit gibt eine lange Ganzzahl.
Um die Zeichenfolge, die Sie können auch einfach verwenden uuid1().get_hex(). Sie wollen wahrscheinlich uuid4 oder uuid5 aber, mehr auf den UUID-standard, Python entspricht, kann gefunden werden in RFC4122
Sicher, es sei denn, Sie wollen die Samen aktuellen host-und die Zeit, die Sie verwenden uuid1: docs.python.org/2/library/uuid.html . get_hex() ist nützlich, danke!
Beachten Sie, dass, wenn Sie versuchen zu generieren, die nichts mit der "nonce" im Namen, es ist WICHTIG, dass Sie os.urandom() und nie, nie random.random oder random.randint. Andernfalls könnten Sie ernsthafte Sicherheitsprobleme.
"nonce" ist ein Wort, erfunden von Kryptographen, musste ein neues Wort eindeutig meine "ein Wert, niemand kann Sie erraten" (praktisch, groß genug, kryptografisch sicheren Zufallszahl (Ganzzahl). Sie benutzen Sie in viele kreative Möglichkeiten in Ihren Protokollen, und immer unter der Annahme, dass niemand erraten kann. random.randint ist einfach für die bösen Jungs zu erraten, Abstriche bei der Sicherheit. cigital.com/papers/download/developer_gambling.php

InformationsquelleAutor A T
5

Nonce sollte sowohl nur einmal verwendet und schwer vorherzusagen,:
```
import uuid

uuid.uuid4().hex
# '12b90b6ffc0e46f788a26f1a6dc246fc'
```
uuid4() verwendet os.urandom() welcher ist der beste random Sie können in python.

Beachten Sie, dass uuid4() ist schwerer zu prognostizieren als uuid1() während später ist weltweit einzigartig. Sie können verketten Sie die beiden zu erreichen, beide Ziele:
```
uuid.uuid4().hex + uuid.uuid1().hex
# 'a6d68f4d81ec440fb3d5ef6416079305f7a44a0c9e9011e684e2c42c0319303d'
```
InformationsquelleAutor andruso
4

Hier ist, was rauth tut. Es ist wirklich nicht schwer und schnell Regeln hier. Die Skillung scheint nicht zu rechthaberisch. Ihre Einschränkungen sind, dass der Wert, eine nonce, sollte eindeutig sein. Andere als, dass, vorausgesetzt die Anbieter nicht beschweren, Sie kann verwenden, was Methode, die Sie mögen.

Beachten Sie, dass es nun auch Anrufe .encode('ascii') bevor er es zu sha1. Wahrscheinlich für Python 3 kompatibel?

InformationsquelleAutor maxcountryman
1

Hier sind ein paar Ideen, die ich habe für emailage. Die generate_nonce kommt aus Ihrem code, aber ich benutze generate_nonce_timestamp, die ich verwendet uuid. Es gibt mir einen zufälligen alpha-numerischen string und einen Zeitstempel in Sekunden:
```
import random
import time
import uuid


def generate_nonce(length=8):
    """Generate pseudo-random number."""
    return ''.join([str(random.randint(0, 9)) for i in range(length)])


def generate_timestamp():
    """Get seconds since epoch (UTC)."""
    return str(int(time.time()))

def generate_nonce_timestamp():
    """Generate pseudo-random number and seconds since epoch (UTC)."""
    nonce = uuid.uuid1()
    oauth_timestamp, oauth_nonce = str(nonce.time), nonce.hex
    return oauth_nonce, oauth_timestamp
```
Ich mag mit uuid1, da es generiert die uuid basierend auf aktuellen host-und Zeit-und die Zeit hat die Eigenschaft, die Sie extrahieren können, wenn Sie beide brauchen. Für emailage, müssen Sie sowohl den Zeitstempel und nonce.

Hier ist was Sie bekommen:
```
>>> generate_nonce_timestamp()
('a89faa84-6c35-11e5-8a36-080027c336f0', '136634341422770820')
```
Wenn Sie möchten, entfernen Sie die - verwenden nonce.get_hex().

uuid1 - Erzeugen einer UUID aus einer host-ID, Sequenz-Nummer und die aktuelle Uhrzeit an.
Mehr auf uuid.

Siehe mein Kommentar zu @AT über nonces und random.randint (TL;DR: never ever)

InformationsquelleAutor radtek
0

Während diesem wahrscheinlich nicht die Zeit, diese Frage zu Schöpfung, Python 3.6 eingeführt, die Geheimnisse - Modul, welches dazu gedacht ist für die Erzeugung von kryptographisch starken Zufallszahlen geeignet für die Verwaltung von Daten wie Passwörter, Konto-Authentifizierung, security Token, und die damit verbundenen Geheimnisse.

In diesem Fall die Erzeugung einer nonce erzeugt werden kann, leicht (hier eine base64-kodierter string):
```
nonce = secrets.token_urlsafe()
```
Alternativen sind token_bytes um eine binary-token oder token_hex, um ein hexadezimal-string aus.

InformationsquelleAutor gabuzo

Schreibe einen Kommentar

Du musst angemeldet sein, um einen Kommentar abzugeben.