Zookeeper基于SessionId生成客户端密码的机制是否存在安全隐患？

问题描述 #

Zookeeper会通过SessionId为客户端生成密码，我发现可以利用SessionId伪造出相同的密码，想请教这是否存在安全问题？另外我也复现了Zookeeper的实现逻辑，代码如下，能轻松通过SessionId得到相同密码：

private static final long superSecret = 0XB3415C00L;
static byte[] generatePasswd(long id) {
    Random r = new Random(id ^ superSecret);
    byte[] p = new byte[16];
    r.nextBytes(p);
    return p;
}

public static void main(String[] args) {
    byte[] passwd = new byte[16];

    long sessionId = 11L;

    Random r = new Random(sessionId ^ superSecret);
    r.nextBytes(passwd);

    System.out.println(passwd);

    byte[] ps = generatePasswd(sessionId);

    System.out.println(generatePasswd(sessionId));

    boolean rs = Arrays.equals(passwd, generatePasswd(sessionId));
    System.out.println(rs);
}

回答 #

这绝对是一个严重的安全漏洞，属于可被恶意利用的会话伪造风险，具体原因如下：

• 密码生成逻辑依赖硬编码的固定密钥0XB3415C00L，加上Java Random是伪随机数生成器，其输出完全由种子决定。只要攻击者获取到客户端的SessionId，就能通过sessionId ^ superSecret得到相同的种子，生成与合法客户端完全一致的会话密码。
• 一旦攻击者拿到SessionId，就能冒充合法客户端与Zookeeper集群建立连接，执行该客户端权限内的所有操作——比如修改核心配置节点、删除关键数据、获取敏感业务信息等，对集群安全造成毁灭性打击。
• 你提供的代码已经准确验证了这个问题：相同SessionId生成的密码完全匹配，直接证明了该逻辑的可预测性和脆弱性。

在生产环境中，若Zookeeper集群没有额外的安全防护（如IP白名单、SSL加密传输、严格的ACL权限控制），这个漏洞会被轻易利用。建议尽快升级到修复过该问题的Zookeeper版本，或通过额外的安全措施弥补这一缺陷。

内容的提问来源于stack exchange，提问作者Doupengwei