PRNG种子应如何选择？系统时间作为种子存在安全漏洞如何解决？

大多数论文要么完全未提及该问题，要么仅表示可通过某种方式从某处获取"initial vector"。
很多渠道公开的通用方案是使用系统时间作为PRNG种子，但在算法已知的前提下，这难道不是一个严重的安全漏洞吗？假设攻击者可将时间范围锁定到几秒内，我通过调用QueryPerformanceCounter开展的若干简单测试估算，此时种子的实际有效信息不足24 bits，熵值极低。再加上时间本身具备一定可预测性，攻击者完全可以提前生成假设攻击所需的全部必要信息。
是否存在足够安全、能让人放心的PRNG初始化方法？

你提到的用系统时间作为PRNG种子的方案，确实是严重的安全漏洞，仅可用于非安全场景的普通随机数生成（如模拟运算、游戏随机逻辑），绝对不能用于密码学相关的安全场景。

安全可用的PRNG初始化方法可以参考以下方案，优先按顺序选择：

• 直接调用操作系统原生提供的密码学安全随机数接口：Windows环境可以用CryptGenRandom或BCryptGenRandom，Linux/Unix环境可以读/dev/urandom设备或调用getrandom()系统调用，苹果生态可以用SecRandomCopyBytes。这类接口由操作系统内核维护，会自动收集硬件中断时间、输入设备操作时延、磁盘IO波动、CPU内置TRNG输出等多个高熵源，熵值充足且经过长期工业验证，不需要自行实现种子收集逻辑，覆盖绝大多数常规使用场景。
• 嵌入式无操作系统场景优先使用硬件自带的真随机数发生器（TRNG）模块输出作为种子，现在主流的MCU、SoC基本都内置TRNG外设，直接读取其输出即可，安全性远高于自行收集熵源的方案。
• 无系统也无硬件TRNG的极端场景，需要自行收集多个不可预测的数据源混合生成种子，可采集的数据源包括多精度硬件计时器读数、外设中断时间差、环境传感器采样的低位噪声、用户操作的间隔时间等，采集完成后用SHA-256等密码学哈希函数混合所有数据作为种子，同时要保证采集到的总熵值不低于所需的安全强度（如需要128位安全强度则至少要收集128位以上的有效熵），禁止仅用时间作为单熵源。

另外还有几个注意事项：

• 不要自行设计熵收集逻辑或PRNG算法，密码学安全领域的通用原则是不要自行造轮子，经过公开审计的成熟实现安全性远高于自定义方案。
• 安全场景必须使用密码学安全伪随机数生成器（CSPRNG），不要使用mt19937这类非安全PRNG，这类PRNG即使初始种子熵值足够，攻击者只要拿到少量输出就可以反推内部状态，后续所有输出都可以被预测。
• 如果你使用OpenSSL、libsodium等成熟密码学库，直接调用库中封装好的随机数生成接口即可，底层已经做好了熵收集、种子初始化的逻辑，不需要手动处理。

内容的提问来源于stack exchange，提问作者beothunder