Zufall in der Kryptografie

Kryptografie scheitert, wenn Geheimnisse erratbar sind. Schlüssel, IVs, Nonces und Session-Tokens hängen von hochwertigem Zufall ab. Schwache RNGs haben reale Systeme gebrochen.

Hashes sind keine Schlüssel

SHA-256 ist eine öffentliche Funktion: jeder kann sie berechnen. Sicherheit bei Ziehungen kommt davon, veröffentlichte Eingaben so zu binden, dass Manipulation sichtbar wird — anders als ein privater Verschlüsselungsschlüssel.

Gemeinsame Lehre

Ob TLS-Handshake oder Verlosung: dokumentieren Sie, woher die Entropie kommt, und behaupten Sie nie, ein geheimer Seed sei „fair“ ohne Beweis.