টোকেন জেনারেটর

র্যান্ডম মানে অপ্রত্যাশিত নয়

বেশিরভাগ ভাষায় দুটি খুব ভিন্ন র্যান্ডম নম্বর জেনারেটর থাকে। Math.random(), rand() এবং অনুরূপগুলো ক্লকের মতো সস্তা কিছু থেকে সিড করা দ্রুত ছদ্ম-র্যান্ডম জেনারেটর। প্লেলিস্ট শাফল করার জন্য এগুলো ঠিক আছে কিন্তু টোকেনের জন্য বিপর্যয়কর, কারণ একজন আক্রমণকারী কয়েকটি আউটপুট পর্যবেক্ষণ করে প্রায়ই অভ্যন্তরীণ অবস্থা পুনরুদ্ধার করতে পারে এবং জেনারেটরটি কখনো নির্গত করবে এমন প্রতিটি মান পুনরুৎপাদন করতে পারে।

একটি ক্রিপ্টোগ্রাফিকভাবে নিরাপদ জেনারেটর এমনভাবে নির্মিত যাতে অতীতের আউটপুট দেখা ভবিষ্যতের আউটপুট সম্পর্কে কিছুই জানায় না। ব্রাউজারে এটি crypto.getRandomValues(), যা অপারেটিং সিস্টেমের এনট্রপি পুল থেকে অঙ্কন করে। এই টুল শুধুমাত্র এটি ব্যবহার করে। আপনি যদি নিজের কোডে টোকেন জেনারেট করেন, সমতুল্যগুলো হলো Python-এ secrets, Go-তে crypto/rand এবং Java-তে java.security.SecureRandom - সাধারণ random মডিউল বা Math.random() কখনোই নয়।

মডুলো বায়াস এড়ানো

ভালো র্যান্ডম বাইট থাকা কাজের মাত্র অর্ধেক। একটি অক্ষর বেছে নেওয়ার নিষ্পাপ উপায় হলো bytes[i] % alphabet.length, যা যখনই বর্ণমালার আকার 256 কে সমানভাবে ভাগ করে না তখন নীরবে ফলাফলকে পক্ষপাতদুষ্ট করে। 62-অক্ষরের বর্ণমালায়, প্রথম 8 অক্ষর বাকিগুলোর চেয়ে সামান্য বেশি আসে - একটি ছোট পক্ষপাত, কিন্তু এটি প্রকৃত এনট্রপি হ্রাস করে এবং সম্পূর্ণরূপে এড়ানো যায়।

সমাধান হলো রিজেকশন স্যাম্পলিং: অসম্পূর্ণ চূড়ান্ত ব্লকে পড়া যেকোনো বাইট বাতিল করুন এবং আবার অঙ্কন করুন। এই টুলটি তা করে, তাই নির্বাচিত বর্ণমালার প্রতিটি অক্ষর সমানভাবে সম্ভাব্য।

দৈর্ঘ্য নির্বাচন

এনট্রপি হলো log2(alphabet_size) * length বিট। একটি 62-অক্ষরের বর্ণমালা প্রতি অক্ষরে প্রায় 5.95 বিট দেয়, তাই একটি 22-অক্ষরের টোকেন প্রায় 131 বিট বহন করে - ব্রুট ফোর্সের বাইরে আরামে। প্রকৃত অ্যাক্সেস রক্ষাকারী যেকোনো কিছুর জন্য, 128 বিট সাধারণ ন্যূনতম; প্রায় 64 বিটের নিচে একটি দ্রুত এন্ডপয়েন্টসহ একজন দৃঢ়প্রতিজ্ঞ আক্রমণকারী একটি বাস্তব উদ্বেগ হয়ে ওঠে।

বর্ণমালার পছন্দ বেশিরভাগ ক্ষেত্রে টোকেনটি কোথায় ভ্রমণ করবে তার উপর নির্ভর করে। Base64url এবং hex URL, ফাইলনেম এবং হেডার অক্ষতভাবে টিকে থাকে। দ্ব্যর্থহীন-বর্ণমালা 0/O এবং 1/l/I-এর মতো অক্ষর বাদ দেয় এবং মানব দ্বারা উচ্চস্বরে পড়া বা স্ক্রিন থেকে পুনরায় টাইপ করা যেকোনো কিছুর জন্য এটি ব্যবহার করা মূল্যবান।