العشوائية الحقيقية مقابل شبه العشوائية

يعتمد الأمان التشفيري بصورة أساسية على عدم إمكانية التنبؤ. فإذا تمكن مهاجم من التنبؤ بمفتاحك أو IV أو nonce، ولو جزئياً، فقد ينهار نظام التشفير بأكمله. وقد تسببت العشوائية الضعيفة في اختراقات كارثية واقعية.

تستخلص TRNGs الإنتروبيا الفيزيائية من مصادر مثل الضوضاء الحرارية في المقاومات، وضوضاء الطلقات في الثنائيات ذات الانحياز العكسي، والتحلل الإشعاعي، وحركات الفأرة، وتوقيتات ضغطات المفاتيح، وزمن تأخر تحريك رؤوس الأقراص. وهذه ظواهر فيزيائية لا يمكن التنبؤ بها حقاً.

يحافظ نظام التشغيل على بركة للإنتروبيا، وهي مجموعة من عينات الضوضاء الفيزيائية التي تُطبَّق عليها XOR ثم تُجزَّأ معاً. في Linux، يستمد كل من /dev/random و/dev/urandom البيانات من هذه البركة. وتتجدد البركة باستمرار أثناء تشغيل النظام.

يوسّع PRNG، الذي يسمى أيضاً مولد الأعداد العشوائية الحتمي (DRNG)، بذرة قصيرة إلى تدفق طويل من البايتات شبه العشوائية باستخدام خوارزمية حتمية. وعند إعطائه البذرة نفسها، ينتج المخرجات نفسها. ولا يكون مناسباً للتشفير إلا إذا زُوّد بإنتروبيا حقيقية.

قد يحتوي PRNG على انحياز إحصائي يمكن اكتشافه، أو قد يكون من الممكن التنبؤ به من المخرجات المرصودة. أما مولد الأعداد شبه العشوائية الآمن تشفيرياً (CSPRNG) فيضيف: (1) الأمان الأمامي، بحيث لا يمكن التنبؤ بالمخرجات السابقة من الحالة الحالية، و(2) مقاومة التتبع العكسي، بحيث لا يمكن التنبؤ بالمخرجات المستقبلية من المخرجات السابقة.

يكون PRNG آمناً تشفيرياً إذا لم يتمكن أي خوارزمية ذات زمن متعدد الحدود من تمييز مخرجاته عن تسلسل عشوائي حقيقي باحتمال يتجاوز 1/2 بفارق ذي دلالة. ويُعرف ذلك بمعيار عدم إمكانية التنبؤ بالبت التالي.

Linux: ‏/dev/urandom (غير حاجب بعد التهيئة الأولية)، واستدعاء النظام getrandom(). Windows: ‏CryptGenRandom() وBCryptGenRandom(). macOS/iOS: ‏SecRandomCopyBytes(). المتصفح: ‏window.crypto.getRandomValues(). وتغذي جميعها بركة إنتروبيا نظام التشغيل.

يوفر NIST SP 800-22 خمسة عشر اختباراً إحصائياً للعشوائية، منها: اختبار التكرار، وتكرار الكتل، والتتابعات، واختبار Maurer العام، والتعقيد الخطي، وغيرها. ولا يثبت اجتياز الاختبارات الإحصائية الأمان التشفيري، بل يثبت فقط غياب الانحياز الواضح.

يكون CSPRNG الذي زُرع بإنتروبيا ضعيفة، مثل الوقت الحالي بالثواني، قابلاً للتنبؤ. فإذا عرف المهاجم البذرة، أمكنه إعادة بناء المخرجات كاملة. احرص دائماً على التهيئة من إنتروبيا نظام التشغيل: os.urandom(32) في Python، وليس time.time() أو random.random().

يعيد Intel RDRAND، وهو تعليمة x86، بايتات عشوائية مولّدة من العتاد بواسطة TRNG مدمج في الشريحة. وتوجد عتادات مكافئة لدى AMD وARM. يخلط Linux مخرجات RDRAND في /dev/urandom. وتُستخدم هذه المخرجات كإنتروبيا إضافية لا كمصدر وحيد، بسبب مخاوف الثقة.

تستخدم QRNGs ظواهر ميكانيكا الكم، مثل أوقات وصول الفوتونات وتقلبات الفراغ، لإنتاج مخرجات عشوائية يمكن إثبات عشوائيتها. وتُستخدم QRNGs التجارية، مثل ID Quantique وQuantis، في التطبيقات عالية الأمان. لكن تكلفتها مرتفعة جداً للاستخدام العام.

ما الخاصية التي تميز CSPRNG عن PRNG العادي؟

تستخلص TRNGs الإنتروبيا الفيزيائية، بينما توسّع PRNGs البذرة بطريقة حتمية، وتكون CSPRNGs غير قابلة للتمييز عن العشوائية الحقيقية. وتجمع برك إنتروبيا نظام التشغيل بين المصدرين. التالي: تصاميم CSPRNG المحددة المستخدمة عملياً.