secrets — Генерация безопасных случайных чисел для управления секретами

Новое в версии 3.6.

Исходный код: Lib/secrets.py

Модуль secrets используется для генерации криптографически сильных случайных чисел, пригодных для управления данными, такими как пароли, аутентификация учетных записей, токены безопасности и связанные с ними секреты.

В частности, secrets следует использовать вместо стандартного псевдослучайного генератора в модуле random, который предназначен для моделирования и имитации, а не для безопасности или криптографии.

См. также

PEP 506

Случайные числа

Модуль secrets предоставляет доступ к самому надежному источнику случайности, предоставляемому вашей операционной системой.

class secrets.SystemRandom: Класс для генерации случайных чисел, используя источники наилучшего качества, предоставляемые операционной системой. Дополнительные сведения см. в random.SystemRandom.

secrets.choice(sequence): Возвращает случайно выбранный элемент из непустого последовательности.

secrets.randbelow(n): Возвращает случайное целое число в диапазоне [0, n).

secrets.randbits(k): Возвращает целое число с k случайными битами.

Генерация токенов

Модуль secrets предоставляет функции для генерации защищенных токенов, подходящих для таких задач, как сброс паролей, генерация сложных URL-адресов и аналогичные.

secrets.token_bytes([nbytes=None])

Возвращает случайную строку байтов, содержащую nbytes количество байтов. Если nbytes равно None или не указано, используется разумное значение по умолчанию.

>>> token_bytes(16)  
b'\xebr\x17D*t\xae\xd4\xe3S\xb6\xe2\xebP1\x8b'

secrets.token_hex([nbytes=None])

Возвращает случайную текстовую строку в шестнадцатеричном формате. Строка содержит nbytes случайных байтов, каждый байт преобразуется в две шестнадцатеричные цифры. Если nbytes равно None или не указано, используется разумное значение по умолчанию.

>>> token_hex(16)  
'f9bf78b9a18ce6d46a0cd2b0b86df9da'

secrets.token_urlsafe([nbytes=None])

Возвращает случайную текстовую строку, безопасную для использования в URL, содержащую nbytes случайных байтов. Текст закодирован в Base64, поэтому в среднем каждый байт приводит примерно к 1,3 символам. Если nbytes равно None или не указано, используется разумное значение по умолчанию.

>>> token_urlsafe(16)  
'Drmhze6EPcv0fN_81Bj-nA'

Сколько байтов следует использовать для токенов?

Для защиты от атак методом перебора токенам необходима достаточная случайность. К сожалению, количество, считающееся достаточным, будет непременно увеличиваться по мере повышения производительности компьютеров и увеличения их возможностей для совершения большего количества попыток в более короткие сроки. По состоянию на 2015 год считается, что 32 байта (256 бит) случайности достаточно для типичного использования модуля secrets.

Для тех, кто хочет управлять длиной токена самостоятельно, вы можете явно указать, сколько случайности использовать для токенов, передав аргумент int различным функциям token_*. Этот аргумент интерпретируется как количество байтов случайности для использования.

В противном случае, если аргумент не указан или если он равен None, функции token_* воспользуются разумным значением по умолчанию.

Примечание

Это значение по умолчанию может быть изменено в любое время, включая время выпуска обновлений.

Другие функции

secrets.compare_digest(a, b): Возвращает True если строки a и b равны, в противном случае False, таким образом, чтобы уменьшить риск атак с использованием временных различий. Дополнительные сведения см. в hmac.compare_digest().

Рецепты и рекомендации

Этот раздел демонстрирует рецепты и рекомендации по использованию secrets для обеспечения базового уровня безопасности.

Сгенерировать восьмисимвольный буквенно-цифровой пароль:

import string
import secrets
alphabet = string.ascii_letters + string.digits
password = ''.join(secrets.choice(alphabet) for i in range(8))

Примечание

Приложения не должны хранить пароли в восстановимом формате, будь то в виде простого текста или зашифрованным. Они должны быть засалированы и хэшированы с использованием криптографически стойкой односторонней (необратимой) функции хэширования.

Сгенерировать десятисимвольный буквенно-цифровой пароль с как минимум одной строчной буквой, одной заглавной буквой и как минимум тремя цифрами:

import string
import secrets
alphabet = string.ascii_letters + string.digits
while True:
    password = ''.join(secrets.choice(alphabet) for i in range(10))
    if (any(c.islower() for c in password)
            and any(c.isupper() for c in password)
            and sum(c.isdigit() for c in password) >= 3):
        break

Сгенерировать пароль в стиле XKCD:

import secrets
# On standard Linux systems, use a convenient dictionary file.
# Other platforms may need to provide their own word-list.
with open('/usr/share/dict/words') as f:
    words = [word.strip() for word in f]
    password = ' '.join(secrets.choice(words) for i in range(4))

Сгенерировать сложный временный URL с токеном безопасности, подходящий для приложений восстановления паролей:

import secrets
url = 'https://mydomain.com/reset=' + secrets.token_urlsafe()