Echte Zufälligkeit vs. Pseudozufälligkeit

Kryptografische Sicherheit hängt grundlegend von Unvorhersagbarkeit ab. Wenn ein Angreifer Ihren Schlüssel, IV oder Nonce — auch nur teilweise — vorhersagen kann, kann das gesamte kryptografische System zusammenbrechen. Schwache Zufälligkeit hat in der Praxis bereits zu katastrophalen Sicherheitsbrüchen geführt.

TRNGs gewinnen physikalische Entropie aus thermischem Rauschen in Widerständen, Schrotrauschen in in Sperrrichtung betriebenen Dioden, radioaktivem Zerfall, Mausbewegungen, Zeitabständen zwischen Tastatureingaben und Suchlatenzen von Festplatten. Dabei handelt es sich um tatsächlich unvorhersagbare physikalische Phänomene.

Das Betriebssystem verwaltet einen Entropie-Pool — eine Sammlung physikalischer Rauschproben, die per XOR verknüpft und gemeinsam gehasht werden. Unter Linux greifen /dev/random und /dev/urandom auf diesen Pool zu. Der Pool wird während des laufenden Systembetriebs kontinuierlich aufgefüllt.

Ein PRNG (auch Deterministic RNG / DRNG genannt) erweitert einen kurzen Seed mithilfe eines deterministischen Algorithmus zu einem langen Strom von Pseudozufallsbytes. Bei demselben Seed erzeugt er dieselbe Ausgabe. Für die Kryptografie ist er nur geeignet, wenn er mit echter Entropie initialisiert wurde.

Ein PRNG kann einen erkennbaren statistischen Bias aufweisen oder anhand beobachteter Ausgaben vorhersagbar sein. Ein Cryptographically Secure PRNG (CSPRNG) bietet zusätzlich: (1) Vorwärtssicherheit (frühere Ausgaben können aus dem aktuellen Zustand nicht vorhergesagt werden) und (2) Rückverfolgungsresistenz (zukünftige Ausgaben können aus früheren Ausgaben nicht vorhergesagt werden).

Ein PRNG ist kryptografisch sicher, wenn kein Algorithmus mit polynomialer Laufzeit seine Ausgabe von einer wirklich zufälligen Sequenz unterscheiden kann, und zwar mit einer Wahrscheinlichkeit, die signifikant besser als 1/2 ist. Dies ist das Kriterium der Next-Bit-Unvorhersagbarkeit.

Linux: /dev/urandom (nicht blockierend, nach der anfänglichen Initialisierung), getrandom()-Systemaufruf. Windows: CryptGenRandom(), BCryptGenRandom(). macOS/iOS: SecRandomCopyBytes(). Browser: window.crypto.getRandomValues(). Alle speisen den Entropie-Pool des Betriebssystems.

NIST SP 800-22 stellt 15 statistische Tests für Zufälligkeit bereit: Frequenz, Blockfrequenz, Runs, Maurers Universaltest, lineare Komplexität usw. Das Bestehen statistischer Tests beweist keine kryptografische Sicherheit, sondern lediglich das Fehlen offensichtlicher Verzerrungen.

Ein CSPRNG, der mit schwacher Entropie initialisiert wurde, beispielsweise der aktuellen Zeit in Sekunden, ist vorhersagbar. Ein Angreifer, der den Seed kennt, kann die gesamte Ausgabe rekonstruieren. Initialisieren Sie immer aus der Betriebssystem-Entropie: os.urandom(32) in Python, nicht time.time() oder random.random().

Intel RDRAND (eine x86-Instruktion) liefert hardwaregenerierte Zufallsbytes aus einem integrierten TRNG. Entsprechende Hardware gibt es auch von AMD und für ARM. Linux mischt RDRAND in /dev/urandom ein. Wegen bestehender Vertrauensbedenken wird RDRAND als zusätzliche Entropiequelle und nicht als alleinige Quelle verwendet.

QRNGs nutzen quantenmechanische Phänomene wie Photonenankunftszeiten und Vakuumfluktuationen, um nachweislich zufällige Ausgaben zu erzeugen. Kommerzielle QRNGs (ID Quantique, Quantis) werden in Hochsicherheitsanwendungen eingesetzt. Für den allgemeinen Einsatz sind sie zu kostspielig.

Welche Eigenschaft unterscheidet einen CSPRNG von einem gewöhnlichen PRNG?

TRNGs gewinnen physikalische Entropie; PRNGs erweitern einen Seed deterministisch; CSPRNGs sind nicht von echter Zufälligkeit zu unterscheiden. Entropie-Pools des Betriebssystems kombinieren beide Ansätze. Als Nächstes folgen konkrete CSPRNG-Designs aus der Praxis.