secrets — Генерация безопасных случайных чисел для управления секретами

Новое в версии 3.6.

Исходный код: Lib/secrets.py

Модуль secrets используется для генерации криптографически сильных случайных чисел, подходящих для управления данными, такими как пароли, аутентификация учетных записей, токены безопасности и связанные с ними секреты.

В частности, secrets следует использовать вместо генератора псевдослучайных чисел по умолчанию в модуле random, который предназначен для моделирования и имитаций, а не для безопасности или криптографии.

См. также

PEP 506

Случайные числа

Модуль secrets предоставляет доступ к наиболее безопасному источнику случайности, предоставляемому вашей операционной системой.

class secrets.SystemRandom: Класс для генерации случайных чисел с использованием источников наивысшего качества, предоставляемых операционной системой. Дополнительные сведения см. в random.SystemRandom.

secrets.choice(sequence): Возвращает случайный элемент из непустого последовательности.

secrets.randbelow(n): Возвращает случайное целое число в диапазоне [0, n).

secrets.randbits(k): Возвращает целое число с k случайными битами.

Генерация токенов

Модуль secrets предоставляет функции для генерации безопасных токенов, подходящих для таких приложений, как сброс паролей, трудноугадываемые URL-адреса и аналогичные.

secrets.token_bytes([nbytes=None])

Возвращает случайную строку байтов, содержащую nbytes количество байтов. Если nbytes равно None или не указано, используется разумное значение по умолчанию.

>>> token_bytes(16)  
b'\xebr\x17D*t\xae\xd4\xe3S\xb6\xe2\xebP1\x8b'

secrets.token_hex([nbytes=None])

Возвращает случайную текстовую строку в шестнадцатеричном формате. Строка содержит nbytes случайных байтов, каждый байт преобразуется в две шестнадцатеричные цифры. Если nbytes равно None или не указано, используется разумное значение по умолчанию.

>>> token_hex(16)  
'f9bf78b9a18ce6d46a0cd2b0b86df9da'

secrets.token_urlsafe([nbytes=None])

Возвращает случайную URL-безопасную текстовую строку, содержащую nbytes случайных байтов. Текст закодирован в Base64, поэтому в среднем каждый байт приводит примерно к 1,3 символам. Если nbytes равно None или не указано, используется разумное значение по умолчанию.

>>> token_urlsafe(16)  
'Drmhze6EPcv0fN_81Bj-nA'

Сколько байтов должны использовать токены?

Для защиты от атак методом перебора требуется достаточная случайность токенов. К сожалению, то, что считается достаточным, неизбежно увеличивается по мере того, как компьютеры становятся мощнее и способны совершать больше попыток за меньшее время. По состоянию на 2015 год считается, что 32 байта (256 бит) случайности достаточно для типичного использования модуля secrets.

Для тех, кто хочет управлять собственными длинами токенов, вы можете явно указать, сколько случайности использовать для токенов, передав аргумент int различным функциям token_*. Этот аргумент интерпретируется как количество байтов случайности для использования.

В противном случае, если аргумент не предоставлен или если он равен None, функции token_* будут использовать разумное значение по умолчанию.

Примечание

Это значение по умолчанию может быть изменено в любое время, включая во время релизов с обновлениями.

Другие функции

secrets.compare_digest(a, b): Возвращает True , если строки a и b равны, в противном случае False, таким образом, чтобы уменьшить риск атак по таймингу. Дополнительные сведения см. в hmac.compare_digest().

Рецепты и рекомендации по практическому применению

В этом разделе показаны рецепты и рекомендации по практическому применению модуля secrets для управления базовым уровнем безопасности.

Сгенерировать восьмисимвольный буквенно-цифровой пароль:

import string
import secrets
alphabet = string.ascii_letters + string.digits
password = ''.join(secrets.choice(alphabet) for i in range(8))

Примечание

Приложения не должны хранить пароли в восстанавливаемом формате, будь то в виде обычного текста или зашифрованного. Они должны быть засалированы и захешированы с использованием криптографически стойкой односторонней (необратимой) функции хеширования.

Сгенерировать десятисимвольный буквенно-цифровой пароль, содержащий по крайней мере одну строчную букву, одну заглавную букву и по меньшей мере три цифры:

import string
import secrets
alphabet = string.ascii_letters + string.digits
while True:
    password = ''.join(secrets.choice(alphabet) for i in range(10))
    if (any(c.islower() for c in password)
            and any(c.isupper() for c in password)
            and sum(c.isdigit() for c in password) >= 3):
        break

Сгенерировать пароль в стиле XKCD:

import secrets
# On standard Linux systems, use a convenient dictionary file.
# Other platforms may need to provide their own word-list.
with open('/usr/share/dict/words') as f:
    words = [word.strip() for word in f]
    password = ' '.join(secrets.choice(words) for i in range(4))

Сгенерировать трудноугадываемый временный URL, содержащий токен безопасности, подходящий для приложений для восстановления паролей:

import secrets
url = 'https://example.com/reset=' + secrets.token_urlsafe()