Aleatoriedad verdadera frente a pseudoaleatoriedad

La seguridad criptográfica depende fundamentalmente de la impredecibilidad. Si un atacante puede predecir su clave, IV o nonce, aunque sea parcialmente, todo el sistema criptográfico puede quedar comprometido. La aleatoriedad débil ha provocado fallos catastróficos en sistemas reales.

Los TRNG recogen entropía física: ruido térmico en resistencias, ruido de disparo en diodos polarizados inversamente, desintegración radiactiva, movimientos del ratón, intervalos entre pulsaciones de teclas y latencias de búsqueda del disco. Se trata de fenómenos físicos realmente impredecibles.

El sistema operativo mantiene una piscina de entropía, una colección de muestras de ruido físico combinadas mediante XOR y hash. En Linux, /dev/random y /dev/urandom extraen datos de esta piscina. La piscina se repone continuamente mientras el sistema está en ejecución.

Un PRNG (también llamado RNG determinista o DRNG) amplía una semilla corta hasta producir un flujo largo de bytes pseudoaleatorios mediante un algoritmo determinista. Con la misma semilla, produce la misma salida. No es adecuado para criptografía, a menos que se inicialice con entropía verdadera.

Un PRNG puede presentar un sesgo estadístico detectable o permitir predecir su salida a partir de la salida observada. Un PRNG criptográficamente seguro (CSPRNG) añade: (1) seguridad hacia delante (la salida pasada no se puede predecir a partir del estado actual) y (2) resistencia al retroceso (la salida futura no se puede predecir a partir de la salida pasada).

Un PRNG es criptográficamente seguro si ningún algoritmo de tiempo polinómico puede distinguir su salida de una secuencia verdaderamente aleatoria con una probabilidad significativamente superior a 1/2. Este es el criterio de impredecibilidad del siguiente bit.

Linux: /dev/urandom (no bloqueante después de la inicialización de la semilla), llamada al sistema getrandom(). Windows: CryptGenRandom(), BCryptGenRandom(). macOS/iOS: SecRandomCopyBytes(). Navegador: window.crypto.getRandomValues(). Todas estas fuentes alimentan la piscina de entropía del sistema operativo.

NIST SP 800-22 proporciona 15 pruebas estadísticas de aleatoriedad: frecuencia, frecuencia de bloques, rachas, universal de Maurer, complejidad lineal, etc. Superar las pruebas estadísticas no demuestra la seguridad criptográfica; solo demuestra la ausencia de sesgos evidentes.

Un CSPRNG inicializado con entropía débil, como la hora actual expresada en segundos, es predecible. Un atacante que conozca la semilla puede reconstruir toda la salida. Inicialice siempre la semilla a partir de la entropía del sistema operativo: os.urandom(32) en Python, no time.time() ni random.random().

Intel RDRAND, una instrucción de x86, devuelve bytes aleatorios generados por hardware a partir de un TRNG integrado en el chip. También existen equivalentes de hardware en AMD y ARM. Linux mezcla RDRAND en /dev/urandom. Se utiliza como entropía adicional, no como única fuente, debido a cuestiones de confianza.

Los QRNG utilizan fenómenos de la mecánica cuántica, como los tiempos de llegada de fotones y las fluctuaciones del vacío, para producir una salida aleatoria demostrable. Los QRNG comerciales, como ID Quantique y Quantis, se utilizan en aplicaciones de alta seguridad. Su coste resulta prohibitivo para el uso general.

Los TRNG recogen entropía física; los PRNG amplían una semilla de forma determinista; los CSPRNG no se pueden distinguir de una aleatoriedad verdadera. Las piscinas de entropía del sistema operativo combinan ambas fuentes. A continuación: diseños específicos de CSPRNG utilizados en la práctica.