Kryptografisesti turvalliset PRNG:t

CSPRNG:n on täytettävä seuraavat vaatimukset: (1) seuraavan bitin ennustamattomuus — vaikka kaikki aiemmat bitit tunnettaisiin, seuraavaa bittiä ei voi ennustaa todennäköisyydellä > 1/2 + mitätön määrä. (2) tilan vaarantumisen jälkeisen laajentamisen kestävyys — nykyisen tilan paljastuminen ei paljasta mitään aiemmasta tulosteesta.

Linuxin /dev/urandom käyttää entropiapoolista alustettua CSPRNG:tä. Alkuperäisen siemennyksen (128 bittiä entropiaa) jälkeen sitä on turvallista käyttää, vaikka pooli olisi "tyhjä" — CSPRNG ylläpitää omaa sisäistä tilaansa. getrandom() on nykyaikainen vastaava järjestelmäkutsu.

Linux-ytimen versiosta 5.17 alkaen CSPRNG korvattiin ChaCha20-pohjaisella rakenteella. ChaCha20 on nopea (laitteistokiihdytystä ei tarvita), tarjoaa 256-bittisen turvallisuuden ja perustuu hyvin tunnettuun turvallisuustodistukseen. Nonce on laskuri; avain tulee entropiapoolista.

Fortuna (Ferguson ja Schneier, 2003) on CSPRNG-rakenne, joka ylläpitää 32:ta entropiapoolia ja kerää entropiaa jatkuvasti. Generaattori siemennetään uudelleen pooleista niiden täyttyessä. Se kestää RNG:n nollaus- ja osittaiseen tilan vaarantumiseen perustuvia hyökkäyksiä.

NIST SP 800-90A sisälsi alun perin elliptisiin käyriin perustuvan DUAL_EC_DRBG:n. Snowdenin asiakirjoista kävi ilmi, että NSA oli lisännyt siihen takaoven: EC-pisteet valittiin niin, että NSA pystyi ennustamaan tulosteen mistä tahansa siemenestä. Älkää koskaan käyttäkö DUAL_EC_DRBG:tä. NIST poisti sen vuonna 2014.

CTR_DRBG (NIST SP 800-90A) käyttää AES:ää laskuritilassa CSPRNG:nä. Siemen = 256-bittinen avain + 128-bittinen nonce. Jokainen kutsu kasvattaa laskuria. Se on laajasti toteutettu OpenSSL:ssä, BoringSSL:ssä ja Windows BCryptissä. AES-NI-suorittimet kiihdyttävät sitä laitteistolla.

HASH_DRBG käyttää hajautusfunktiota (SHA-256) iteratiivisesti yhdessä siemenen kanssa. HMAC_DRBG käyttää HMAC:ia sekoittamiseen. HMAC_DRBG on helpompi toteuttaa oikein, ja sitä käytetään monissa sulautetuissa järjestelmissä (mbedTLS, WolfSSL).

Myös CSPRNG:t on siemennettävä uudelleen säännöllisesti. CTR_DRBG:n uudelleensiemennyksen aikaväli on 2^48 pyyntöä. Fortuna siemennetään uudelleen entropiapooleista. Manuaalinen uudelleensiemennys: lisätkää tuoretta entropiaa (getrandom-tavuja) CSPRNG:n tilaan käynnistyksen yhteydessä ja fork():n jälkeen.

Kun prosessi haarautuu, sekä isä- että lapsiprosessi perivät saman CSPRNG-tilan — ne tuottavat samanlaisen tulosteen. Korjaus: kutsukaa getrandom()-funktiota uudelleensiemennystä varten heti fork():n jälkeen. OpenSSL hoitaa tämän automaattisesti pthread_atfork()-funktion avulla uusimmissa versioissa.

import secrets key = secrets.token_bytes(32) # 256-bit key nonce = secrets.token_bytes(12) # 96-bit nonce for AES-GCM pin = secrets.randbelow(10**6) # 6-digit PIN # Never use random module for cryptography

window.crypto.getRandomValues(typedArray) on selaimen CSPRNG. Se kutsuu käyttöjärjestelmän entropialähdettä. WebCrypto API käyttää sitä avainten luomiseen. Älkää koskaan käyttäkö Math.random()-funktiota tietoturvaan — se on ei-kryptografinen PRNG, jonka siemenenä käytetään järjestelmän aikaa.

ChaCha20:n, CTR_DRBG:n ja Fortunan kaltaiset CSPRNG:t tuottavat ennustamatonta tulostetta entropiasiementen avulla. Välttäkää DUAL_EC_DRBG:tä, random.random()-funktiota ja Math.random()-funktiota. Käyttäkää secrets-moduulia (Python) tai window.cryptoa (selain). Seuraavaksi: todellisen maailman entropiaongelmat.