Aleatoriedad y tokens predecibles

Un generador pseudoaleatorio de propósito general, el que trae cualquier lenguaje para barajar o simular, produce números que parecen al azar pero salen de un estado interno pequeño: quien conozca la semilla, o vea suficientes salidas, puede reconstruir los siguientes. Para secretos se usa el generador criptográfico del sistema operativo, diseñado para que ver salidas pasadas no ayude a adivinar las futuras.

Hay una confusión frecuente: un valor puede ser único sin ser impredecible. Un identificador UUID de versión 1 se construye con la hora y la dirección de la tarjeta de red, y no se repite, pero quien sepa aproximadamente cuándo se generó acota mucho sus posibles valores. La versión 4 sí sale de bits aleatorios. Que un valor no se repita no lo convierte en secreto.

Pediste un restablecimiento para cada una de las tres cuentas de prueba y anotaste la hora y el token que llegó. Un token bien hecho no guarda ninguna relación visible con la hora ni con el anterior. Si sus partes cambian con el reloj y con un contador, el token no solo es predecible: además cuenta cuánta gente pidió un restablecimiento entre una solicitud y otra, que ya es información del negocio.

Abre el laboratorio y compara la última parte de los tres tokens.

La lista de generadores dice de dónde sale cada valor que la aplicación entrega. No todo lo que no es criptográfico es un hallazgo: un identificador público de envío no tiene que ser secreto. Lo es cuando el valor da acceso a algo, como un código que permite registrarse con privilegios de aliado.

Un código de seis dígitos tiene solo un millón de valores posibles, y eso asusta a primera vista. Pero la cifra que importa no es esa: es cuántos intentos permite el sistema antes de invalidarlo y cuánto tiempo vive. Con pocos intentos y pocos minutos, la probabilidad de acertar a ciegas es muy pequeña, y el código cumple su papel.

El hallazgo del token de restablecimiento se sostiene con los tres tokens propios y la descripción del generador. No hace falta, y no está autorizado, probar un token de otra persona para demostrarlo.