Эта страница сообщает:
Примечание. По состоянию на PHP 5.4.0 session.entropy_file по умолчанию имеет значение
/dev/urandomили/dev/arandom, если он доступен. В PHP 5.3.0 это директива по умолчанию остается пустой.
Итак, что /dev/arandom и чем оно отличается от /dev/[u]random?
От здесь. Кажется, что arandom гарантирует достаточную энтропию, прежде чем возвращать требуемый объем данных. Он также, по-видимому, ограничен реализациями OpenBSD. urandom вернет количество запрошенных данных независимо от того, достаточно ли энтропии, что, очевидно, может привести к уязвимости, если этого недостаточно.
Эта страница делает разумную работу, объясняя, что такое устройство:
По мере необходимости данные энтропийного пула повторно собирают генератор ARC4, который затем генерирует высококачественные псевдослучайные выходные данные.
Дополнительная информация о базовом методе доступна из Википедии.