随机数生成器攻击

人工生成的亂數

人工生成的亂數通常極差。魔術師，職業賭徒和騙子，他們都依賴於預測人的行為。 在第二次世界大戰中，德國程式碼文員被指示隨機挑選三個字母作為恩尼格瑪密碼機中每條訊息的轉子初始設定。但是，有些人選取了可預測的值，比如他們的女友的姓名的首字母，這大大幫助了盟軍破譯德國的加密系統。另一個例子就是計算用戶選擇密碼的方式通常可以預測（參見密碼破解）。
儘管如此，Ran Halprin 與 Moni Naor 研究了在混合策略遊戲中的一些特定情況下，使用的人玩遊戲時的熵來產生隨機性。

硬體亂數生成器

許多針對硬體亂數生成器的攻擊都是有可能的，包括嘗試捕獲電腦的射頻發射（例如從電機噪音中推斷硬碟中斷時間），或者嘗試將受控的訊號回饋到假定的隨機源當中（比如關閉熔岩燈中的燈光或是將已知的強訊號回饋到音效卡）。

亂數生成器顛覆

顛覆亂數可以在密碼學安全偽亂數生成器中使用亂數種子值來生成，種子值雖然隱藏在軟體中，但是對攻擊者已知。相對較短，比如24到40位元，種子可以是真正隨機的，可以防止重複，但是並不足以防止攻擊者恢復「隨機」生成的金鑰。
亂數在使用前會通過數層特定的軟體和硬體。資料可能在外圍裝置中生成，通過電纜傳輸，由作業系統元件收集並由系統呼叫進行檢索。這一過程中的任何一點都可以替換顛覆的資料，並且幾乎無法檢測。
僅僅需要數平方毫米就可以使用積體電路建造一個用於生成顛覆亂數的硬體電路。通過將這種晶片放置在上游任何隨機性來源數位化的地方，就可以破壞最先進的硬體亂數生成器，例如在輸出驅動晶片中甚至在把電腦與生成器連接起來的電纜中。破壞晶片可以帶有一個時鐘來來把操作啟動時間限制到單位初次啟動之後，並且還能通過接受測試，也可以帶有用於開關控制的無線電接收器。破壞晶片的安裝可以是國家情報服務機構對製造商的要求，或者是之後任何有物理存取權的人。用於替換內建硬體亂數生成器的CPU晶片的可以是任意的相容晶片，其韌體中可以包含已顛覆的亂數生成器。

可預測的網景亂數種子

在早期版本的網景傳輸層安全性協定（SSL）中的加密協定中使用了偽亂數，來源是偽亂數生成器根據三個變數衍生的：一天中的時間、行程ID與父行程ID。這些偽亂數相對而言通常是可預測的，因此熵值很低並且也少於亂數，亦因此發現這一版本的SSL並不安全。Phillip Hallam-Baker於1994年向網景公司報告了問題所在，隨後也向CERN網路團隊的一位研究員報告。但是問題在發布前並未修復。1995年，Ian Goldberg與David Wagner發現了這一問題，二人當時因為網景公司拒絕透露其亂數字生成器（靜默安全性）的細節，而不得不對目的碼進行還原工程。亂數生成器在後來的版本（第二版及更高）中通過更強的亂數種子（即從攻擊者的角度來看，更隨機和更高的熵）得到修復。

Microsoft Windows 2000/XP 中的亂數生成器

微軟使用未發布的演算法來為其Windows作業系統生成亂數值，並通過CryptGenRandom實用工具提供給用戶。2007年11月，來自耶路撒冷希伯來大學與海法大學的Leo Dorrendorf et al. 發布了一篇名為Cryptanalysis of the Random Number Generator of the Windows Operating System （Windows作業系統中的亂數生成器的密碼學分析）的論文。 文中指出了當時微軟的生成方法中的嚴重缺陷，結論基於對Windows 2000中程式碼的反組譯，但是根據微軟的說法，這些程式碼也存在於Windows XP。 微軟已經表示，文中描述的問題已經在Windows的後續版本中得到解決，後者使用了不同的亂數生成實現。

橢圓曲線DRBG中可能的後門

美國國家標準技術研究所（NIST）發布了「確定性隨機位發生器」，並且推薦於NIST的特刊800至890期中。其中叫Dual_EC_DRBG的生成器受到了國家安全局（NSA）的青睞。 Dual_EC_DRBG使用橢圓曲線加密並包含一組推薦使用的常數。2007年八月，來自微軟的Dan Shumow與Niels Ferguson顯示這些常數可以通過在演算法中建立一個竊密學後門的方式來構建。 2013年九月，The New York Times（紐約時報）發文稱「NSA向NIST於2006年接納的一向標準中植入了後門...名為Dual EC DRBG標準」，從而揭示了NSA對美國人民進行了惡意軟體攻擊。2013年12月，據路透社報導，愛德華·史諾登（Edward Snowden）發布的檔案顯示，NSA已經向RSA安全局支付了1000萬美元，將Dual_EC_DRBG作為後者的預設加密軟體，也因此出現更多關於該演算法包含NSA後門的擔憂。出於這些擔憂，2014年，NIST從其關於亂數發生器的指導草案中撤銷了，推薦「現有的Dual EC DRBG用戶儘快切換到其餘三個演算法。」

MIFARE Crypto-1

Crypto-1是由NXP開發的用於MIFARE晶片的加密系統。作為專有系統，其演算法最初並未公布。根據對晶片的還原工程，來自維吉尼亞大學與Chaos Computer Club的研究人員發現了針對Crypto-1中亂數發生器的初始化不良漏洞。

Debian OpenSSL

2008年五月，安全研究員Luciano Bello透漏了一項發現，關於2006年在隨Debian GNU/Linux和其他基於Debian的發行版，例如Ubuntu，中分發的OpenSSL軟體包中亂數生成器的變化。這些變化大大降低了生成值的熵值，使得各種安全金鑰易受攻擊。這個安全漏洞是由於Debian開發者為解決冗餘程式碼的編譯器警告，隨即對OpenSSL程式碼做出了這些修改，從而導致了金鑰在世界範圍內的大量重構，儘管所有人都注意到了這個問題，但可以推測出許多舊金鑰仍在使用中。受影響的金鑰類型包含SSH金鑰、OpenVPN金鑰、DNSSEC金鑰、SSL/TLS連接中使用的X.509憑證金鑰材料與對談金鑰。使用GnuPG或GNUTLS生成的金鑰由於使用了不同的方法來生成亂數而未受到影響。由非Debian系的Linux發行版生成的金鑰也未受到影響。接到報告之後，漏洞及時得到修補，但是任何仍然使用由舊程式碼生成的金鑰的服務仍然是脆弱。許多軟體包現在都包含針對弱金鑰黑名單的檢查，以試圖預防使用剩餘的弱金鑰，但是研究人員仍舊陸續發現了薄弱的金鑰實現。

PlayStation 3

2010年12月，一個自稱fail0verflow 的團體宣布了恢復橢圓曲線數位簽章演算法（ECDSA）私鑰的方法。索尼公司使用這種私鑰來為PlayStation 3來簽章遊戲包。攻擊的可能性來源於由於索尼未能為每個簽章產生一個新的亂數。

RSA公鑰分解

2012年，Lenstra、Hughes、Augier、Bos、Kleinjung與Wachter發布了一篇關於從網際網路收集數百萬個RSA公鑰的分析。他們僅使用了歐幾里得演算法就分解了0.2%的金鑰，利用的是基於整數分解的密碼系統特有的弱點。若 n = pq 是一個公鑰，n′ = p′q′ 是另一個，那麼如果偶然間 p = p′，那麼簡單計算gcd(n,n′) = p 因數都是 n 和 n′，完全破壞了兩個金鑰。一個進行過類似實驗的組織的一員Nadia Heninger說，劣質金鑰幾乎完全出現於嵌入式系統中，由兩組結果發現的共用素數問題是由於偽亂數發生器最初做種不良，然後在第一個和第二個素數的產生之間發生了重新做種。

Java實時碰撞

2013年八月，據透露Java類SecureRandom中的錯誤可以在用於Android裝置上比特幣軟體中的k nonce數值上生成衝突。當錯誤觸發時，私鑰可以恢復，因而導致包含錢包中的比特幣失竊。