¿Por Qué Math.random() No Es Seguro para Sorteos y Qué Es CSPRNG?

1. El Mito del Azar Absoluto en la Computación Clásica

Las computadoras tradicionales son máquinas fundamentalmente deterministas. Si ejecutas la misma instrucción de código sobre los mismos datos de entrada, obtendrás invariablemente el mismo resultado. Por esta razón, generar números "verdaderamente aleatorios" ha sido históricamente uno de los grandes retos de las ciencias de la computación.

2. La Trampa de Math.random() y los PRNG Tradicionales

La gran mayoría de sitios web sencillos y tutoriales básicos utilizan la función nativa de JavaScript Math.random(). Lo que muchos organizadores desconocen es que Math.random() es un Generador de Números Pseudoaleatorios (PRNG) no seguro, implementado habitualmente mediante algoritmos como Xoroshiro128+ en V8 (Google Chrome y Node.js).

Estos algoritmos se basan en una "semilla" (seed) y fórmulas matemáticas lineales. Con apenas observar una secuencia consecutiva de 2 a 3 números generados por Math.random(), un atacante o auditor con conocimientos básicos de álgebra inversa puede reconstruir el estado interno de la memoria y predecir con 100% de exactitud cuáles serán los próximos números que saldrán.

En un sorteo de alto valor (tecnología, vehículos, dinero en efectivo), emplear Math.random() es una vulnerabilidad inaceptable que invalida cualquier garantía de imparcialidad técnica.

3. ¿Qué es CSPRNG y de Dónde Proviene su Entropía?

Un CSPRNG (Cryptographically Secure Pseudo-Random Number Generator) es un motor diseñado con garantías criptográficas formales. Para ser clasificado como CSPRNG, el algoritmo debe cumplir dos condiciones matemáticas indispensables:

1. Imposibilidad de predicción hacia adelante: Incluso conociendo los últimos 10,000 números generados, es computacionalmente inviable predecir el número 10,001 en tiempo polinómico.
2. Resistencia al descifrado hacia atrás: Conocer el estado actual del generador no permite deducir los números generados en el pasado.

Para lograr esto, el CSPRNG no se basa únicamente en matemáticas, sino que se nutre del pool de entropía del sistema operativo (como /dev/urandom en Linux/macOS o CryptGenRandom / BCryptGenRandom en Windows). Esta entropía física se recolecta a partir de fluctuaciones térmicas en el hardware, tiempos infinitesimales entre pulsaciones de teclado, ruido en las interrupciones del controlador de red y movimientos del ratón.

4. Implementación en Sorteos Pro: Web Crypto API

En Sorteos Pro, todas las herramientas (Ruleta, Dados, Generador de Números, Listas y Sorteos Sociales) ejecutan de forma obligatoria la especificación del W3C crypto.getRandomValues() y el módulo crypto en servidores auditados.

Cada selección es sometida a un sesgo de distribución uniforme (rejection sampling) para erradicar el llamado modulo bias, asegurando que todos los índices del conjunto tengan exactamente una probabilidad $1/N$ sin desviaciones estadísticas.

5. Tabla Comparativa de Seguridad Algorítmica