【やさしく解説】PHP8上級試験の模擬問題（１９）

推測困難なトークン に関する説明の中で、誤っているものを1つ選びなさい。
また、すべてのコードには下記のコードが適切な箇所に書かれているものとする。

declare(strict_types=1);
error_reporting(-1);
下記はマニュアルから一部引用した内容である。

（１）
CSRF 等でも使われる事がある、秘密情報としての「推測(予測)困難なトークン」を作る場合において、random_bytes() は「暗号論的に安全な、疑似ランダムなバイト列を生成する」事が出来る。

そのため、以下のコード

var_dump( bin2hex( random_bytes(24) ) );

は正しく実行でき、結果は

string(48) "e5c471cbf4502eb90dbfbd2480f06a2d6af69ce4b0722b31"

となる (乱数の値は実行毎に変わる)。この値は「暗号論的にランダムなバイト列 (の 16 進表現)」なので、長さが十分であれば「推測 (予測) 困難なトークン」となり得る。

（２）
CSRF 等でも使われる事がある、秘密情報としての「推測(予測)困難なトークン」を作る場合において、openssl_random_pseudo_bytes() は「疑似ランダムなバイト文字列を生成する」事が出来る。

古いシステムでない限り暗号学的に強いアルゴリズムを使って疑似乱数が生成される事が多いが、古いシステムなどでは「暗号学的に強くない」文字列である可能性もあり、それは第二引数によって知る事が出来る。

そのため、以下のコード

var_dump( base64_encode( openssl_random_pseudo_bytes(24, $flg) ) );
var_dump($flg);

は正しく実行でき、結果は

string(32) "OFUw6O7WR785Kg5YZbGZOKDwJzXRn60J"
bool(true)

となる (乱数の値は実行毎に変わる)。この値は、第二引数で与えた $flg の値が true であるため「暗号論的にランダムなバイト列 (の 16 進表現)」なので、長さが十分であれば「推測 (予測) 困難なトークン」となり得る。

（３）
CSRF等でも使われる事がある、秘密情報としての「推測(予測)困難なトークン」を作る場合において。

そのため、以下のコード

var_dump( uniqid((string)mt_rand(), true) );

は正しく実行でき、結果は

string(33) "17821489405e874a50df8b89.86544478"

となる (乱数の値は実行毎に変わる)。uniqid() 関数と mt_rand() 関数を組み合わせているため、この値は「暗号論的にランダムな文字列」なので「推測 (予測) 困難なトークン」となり得る。

（４）
CSRF 等でも使われる事がある、秘密情報としての「推測(予測)困難なトークン」を作る場合において、mt_rand() は乱数を生成するが、

とあるため、これを使用しても推測(予測)困難なトークンを作成する事は出来ない。

そのため、以下のコード

var_dump( mt_getrandmax() );
var_dump( mt_rand() );

は正しく実行でき、結果は

int(2147483647)
int(248780506)

となるが (乱数の値は実行毎に変わる)、この値は「暗号論的にランダムな文字列」ではないので「推測 (予測) 困難なトークン」となり得ない。