• Örneğin bir uygulamada zayıf bir sözde rastgele sayı üreteci ile oluşan değerlerle belirli bir kaynağa erişim kısıtlaması sağlanıyorsa bu durumda erişimi kısıtlı olan kaynağa üretilen rastgele değerin tahmin edilmesiyle yetkisizce erişilebilir.
  
  
• Örneğin bir uygulamada zayıf bir sözde rastgele sayı üreteci ile oluşan değerlerle CSRF jetonu oluşturuluyorsa jetonun tahmin edilebilir olması nedeniyle saldırganlar jetonun değerini tahmin edip CSRF saldırıları düzenleyebilirler.
  
  
• Örneğin bir uygulamada zayıf bir sözde rastgele sayı üreteci ile oluşan değerlerle eposta üzerinden gönderilen parola sıfırlama jetonlu link oluşturuluyorsa jetonun tahmin edilebilir olması nedeniyle saldırganlar bir hesabı ele geçirebilirler. Çünkü saldırganlar parola değiştirme form’unun linkini tahmin edebilir haldedirler.
  
  
• Örneğin bir uygulamada zayıf bir sözde rastgele sayı üreteci ile oluşan değerlerle OTP sms kodu gönderiliyorsa OTP sms kodlarının tahmin edilebilir olması nedeniyle saldırganlar eğer kurbanın kullanıcı adı ve şifresine halihazırda zaten sahiplerse kurbanın telefonunu ele geçirme zahmetine girmeden SMS kod tahmini ile kurbanın hesabına giriş yapabilirler, eğer kurbanın kredi kart bilgilerine (kart numarası, son kullanım tarihi ve CVV koduna) sahiplerse kurbanın telefonunu ele geçirme zahmetine girmeden SMS kod tahmini ile kurbanın kredi kart bilgilerini e-ticaret web sitelerinde kullanabilirler ve e-alışverişler yapabilirler.
  
  
• Örneğin bir uygulamada kimlik doğrulama (authentication) veya yetkilendirme (authorization) mekanizmaları bir fonksiyonelliğe erişimi kısıtlamak adına kullanılıyorsa ve bu mekanizmalarda zayıf sözde rastgele sayı üreteci ile oluşan rastgele değerler (örn; session ID) kullanılıyorsa bu durumda saldırgan rastgele değerleri (örn; session ID’yi) tahmin ederek erişimi kısıtlı fonksiyonelliğe yetkisizce erişebilir.
  
  

function generateSessionID($userID){
   srand($userID);              // Seed (Tohum) Değeri Verilir.
   return rand();               // Rastgele Sayı Hesaplanır. 
}

String GenerateReceiptURL(String baseUrl) {

   	Random ranGen = new Random();
   	ranGen.setSeed((new Date()).getTime());

   	return(baseUrl + ranGen.nextInt(400000000) + ".html");

}

• Java projelerde “java.security.SecureRandom” kütüphanesi,
  
  Örn;
  
  

  // GÜVENSİZ KOD
  
  // ENG: Use of Cryptographically Insecure PRNG
  // TR : Güvensiz Kriptografik PRNG Kullanılması
  
  ...
      Random random = new Random();
      Long sessNum = random.nextLong();
      String sessionId = sessNum.toString();
  ...
  

  
  

  // GÜVENLİ KOD
  
  // ENG: Use of Cryptographically Secure PRNG
  // TR : Güvenli Kriptografik PRNG Kullanılması
  ...
      SecureRandom random = new SecureRandom();
      byte sessBytes[] = new byte[32];
      random.nextBytes(sessBytes);
      String sessionId = new String(sessBytes);
  ...
  

• C# projelerde “System.Security.Cryptography.RandomNumberGenerator” kütüphanesi,
  
  
• C ve C++ projelerde “libsodium” kütüphanesi ve randombytes_buf() metodu,
  
  
• PHP projelerde yerleşik kütüphanelerde yer alan random_bytes() ve random_int() metotları
  
  

• https://cwe.mitre.org/data/definitions/330.html
• https://rules.sonarsource.com/java/tag/cwe/RSPEC-4347
• https://www.php.net/manual/tr/function.srand.php
• https://cwe.mitre.org/data/definitions/338.html
• https://programmerall.com/article/78802055655/
• https://en.wikipedia.org/wiki/CryptGenRandom
• https://docs.microsoft.com/en-us/dotnet/api/system.security.cryptography.randomnumbergenerator?view=net-6.0
• https://docs.microsoft.com/en-us/dotnet/api/system.security.cryptography.randomnumbergenerator?view=net-6.0
• https://docs.microsoft.com/en-us/dotnet/api/system.security.cryptography.randomnumbergenerator.getbytes?view=net-6.0#System_Security_Cryptography_RandomNumberGenerator_GetBytes_System_Span_System_Byte__
• https://www.csharpcodi.com/csharp-examples/System.Security.Cryptography.RandomNumberGenerator.Create()/
• https://docs.microsoft.com/en-us/windows/win32/api/ntsecapi/nf-ntsecapi-rtlgenrandom
• https://cpp.hotexamples.com/examples/-/-/RtlGenRandom/cpp-rtlgenrandom-function-examples.html
• https://www.geeksforgeeks.org/random-vs-secure-random-numbers-java/
• https://paragonie.com/blog/2016/05/how-generate-secure-random-numbers-in-various-programming-languages
• https://find-sec-bugs.github.io/bugs.htm
• https://jazzy.id.au/2010/09/20/cracking_random_number_generators_part_1.html