Auswahl kryptografisch sicherer Token-Generierungsmethoden

Die aktuelle Praxis der Verwendung von md5(uniqid(mt_rand(), true)) zur Generierung des API-Zugriffs Aufgrund der Abhängigkeit von der Systemuhr und der Vorhersagbarkeit bestehen bei Token Sicherheitsbedenken. Als robustere Lösung wird openssl_random_pseudo_bytes wegen seines verbesserten Schutzes vor Vorhersagen empfohlen.

Äquivalente Code- und Längenüberlegungen

Der äquivalente Code, der openssl_random_pseudo_bytes verwendet, ist:

$token = bin2hex(openssl_random_pseudo_bytes(16));

Für PHP 7 und höher ist auch die folgende Syntax verfügbar:

$token = bin2hex(random_bytes(16));

Die optimale Länge für die Zufallszeichenfolge hängt von der gewünschten Sicherheitsstufe und der Sensibilität der zu schützenden Daten ab. In den meisten Fällen wird eine Länge von 16 Byte (128 Bit) als ausreichend angesehen. Für hochsensible Anwendungen kann jedoch eine längere Länge empfohlen werden.