【问题标题】："Insufficient Entropy (CWE ID 331)" in com.google.android.gms.analytics while using veracode使用 veracode 时 com.google.android.gms.analytics 中的“熵不足（CWE ID 331）”
【发布时间】：2016-04-19 12:25:28
【问题描述】：
当使用 VERACODE 时，Insufficient Entropy 无法在 Android 应用程序中使用 java.util.Random.nextInt。
在我的应用程序源代码中 Random.nextInt 没有使用，它用于谷歌分析（com.google.android.gms.analytics）
攻击向量： java.util.Random.nextInt
描述：标准随机数生成器在用于安全目的时不能提供足够的熵。攻击者可以暴力破解伪随机数生成器的数量，例如 rand()。
【问题讨论】：
标签：
java
android
google-analytics
veracode
【解决方案1】：
听起来您正在使用商业工具来检查潜在的安全漏洞。
GoogleAnalytics 是封闭源代码，因此很难确定它是如何使用 Random 的。因此，很难知道这是否重要，或者是否有解决方法。
但是，您收到的报告非常不具体。是的，如果 GoogleAnalytics 功能需要良好的“随机性”来源，那么 Random 是一个糟糕的选择。但我们不知道情况是否如此。它可能只是使用随机数生成器来选择与之对话的谷歌分析服务器......以实现负载平衡。
如果这真的让您担心：
请联系 Veracode 制造商以了解报告的含义。他们可能会告诉你这是一场虚惊。
联系 Google 并询问他们是否存在真正的漏洞。