Qbi hat auf zwei Veröffentlichungen hingewiesen, in denen die Zufallszahlengeneratoren von Windows und Linux untersucht wurden. Linux schnitt hierbei sehr brauchbar ab, bei Windows 2000 hingegen wurden eklatante Schwachstellen entdeckt. Dieselben Probleme hat Microsoft nun auch für Windows XP bestätigt. Allerdings hält man die Angelegenheit für so unkritisch, daß das Problem erst mit dem nächsten Servicepack im ersten Halbjahr 2008 behoben werden soll.

Der schwache Zufallszahlengenerator erlaubt es einem Angreifer, mit vergleichbar geringem Aufwand an den internen Zustand des Generators zu gelangen; somit kann er ab diesem Augenblick die erzeugten Werte für die Zukunft vorhersagen. Eine weitere Schwäche erlaubt es, mit vertretbarem Rechenaufwand auch rückwärts zu rechnen, was die Bestimmung früherer Werte erlaubt.

Wenn man bedenkt, daß mit diesen Pseudo-Zufallswerten viele kryptographische Operationen durchgeführt werden, ist dies durchaus alarmierend: So kann beim Erzeugen von Schlüsselpaaren auf den geheimen Schlüssel zurückgeschlossen werden oder eine (vermeintlich) verschlüsselte https-Verbindung einfach gebrochen werden. Die Konsequenzen geisterten Anno 1995 bereits einmal durch die Presse, als bekannt wurde, daß der Netscape-Browser ein Problem mit dem Erzeugen von Zufall hatte. Erschreckend, daß Microsoft dies als harmlos einstuft.

Dem Linux-Zufallszahlengenerator wurde übrigens eine adäquate Sicherheit attestiert; lediglich bei Geräten mit wenig Entropiequellen (wie z.B. DSL-Router, die weder Maus, Tastatur noch Festplatte besitzen) ist Vorsicht geboten.