Kryptografisk sikre PRNG'er

En CSPRNG skal opfylde: (1) uforudsigelighed af næste bit — selv når du kender alle tidligere bit, kan den næste bit ikke forudsiges med sandsynlighed > 1/2 + en forsvindende lille værdi. (2) modstandsdygtighed mod kompromittering af tilstanden — kendskab til den aktuelle tilstand afslører intet om tidligere resultater.

Linux /dev/urandom bruger en CSPRNG, der seedes fra entropipuljen. Efter den første initialisering (128 bit entropi) er den sikker at bruge, selv når puljen er "tom" — CSPRNG'en vedligeholder sin egen interne tilstand. getrandom() er det moderne ækvivalente systemkald.

Linux-kernen 5.17+ erstattede sin CSPRNG med en ChaCha20-baseret konstruktion. ChaCha20 er hurtig (kræver ingen hardwareacceleration), giver 256-bit sikkerhed og har et velunderbygget sikkerhedsbevis. Noncen er tælleren, og nøglen kommer fra entropipuljen.

Fortuna (Ferguson & Schneier, 2003) er en CSPRNG-konstruktion, der vedligeholder 32 entropipuljer og opsamler entropi løbende. Generatoren seedes igen fra puljerne, efterhånden som de fyldes. Den er modstandsdygtig over for angreb med nulstilling af RNG'en og delvis kompromittering af tilstanden.

NIST SP 800-90A indeholdt oprindeligt DUAL_EC_DRBG, som er baseret på elliptiske kurver. Snowden-dokumenter afslørede, at NSA havde indsat en bagdør: EC-punkterne var valgt, så NSA kunne forudsige uddata fra ethvert seed. Brug aldrig DUAL_EC_DRBG. NIST fjernede den i 2014.

CTR_DRBG (NIST SP 800-90A) bruger AES i tællertilstand som CSPRNG. Seed = 256-bit nøgle + 128-bit nonce. Hvert kald fører tælleren frem. Den er bredt implementeret i OpenSSL, BoringSSL og Windows BCrypt. Den er hardwareaccelereret på CPU'er med AES-NI.

HASH_DRBG bruger en hashfunktion (SHA-256) iterativt sammen med en seed-værdi. HMAC_DRBG bruger HMAC til sammenblanding. HMAC_DRBG er enklere at implementere korrekt og bruges i mange indlejrede systemer (mbedTLS, WolfSSL).

Selv CSPRNG'er skal seedes igen med jævne mellemrum. CTR_DRBG har et interval på 2^48 anmodninger mellem hver nye seeding. Fortuna seedes igen fra sine entropipuljer. Manuel seeding igen: Tilfør frisk entropi (getrandom-byte) til CSPRNG-tilstanden ved opstart og efter fork().

Når en proces forgrener sig, arver både forælder- og barneprocessen den samme CSPRNG-tilstand — de vil producere identiske uddata. Løsning: Kald getrandom() for at seede igen umiddelbart efter fork(). OpenSSL håndterer dette automatisk via pthread_atfork() i nyere versioner.

import secrets key = secrets.token_bytes(32) # 256-bit nøgle nonce = secrets.token_bytes(12) # 96-bit nonce til AES-GCM pin = secrets.randbelow(10**6) # PIN-kode på 6 cifre # Brug aldrig modulet random til kryptografi

window.crypto.getRandomValues(typedArray) er browserens CSPRNG. Den kalder operativsystemets entropikilde. Den bruges af WebCrypto API til generering af nøgler. Brug aldrig Math.random() til sikkerhed — det er en ikke-kryptografisk PRNG, der seedes fra systemtiden.

CSPRNG'er som ChaCha20, CTR_DRBG og Fortuna genererer uforudsigelige uddata fra entropiseeds. Undgå DUAL_EC_DRBG, random.random() og Math.random(). Brug secrets (Python) eller window.crypto (browseren). Næste emne: fejl i entropi fra virkeligheden.