Aléatoire véritable ou pseudo-aléatoire

La sécurité cryptographique dépend fondamentalement de l'imprévisibilité. Si un attaquant peut prédire votre clé, votre IV ou votre nonce, même partiellement, l'ensemble du système cryptographique peut s'effondrer. Un aléa faible a provoqué des compromissions catastrophiques dans le monde réel.

Les TRNG recueillent de l'entropie physique : bruit thermique dans les résistances, bruit de grenaille dans les diodes polarisées en inverse, désintégration radioactive, mouvements de la souris, temps entre les frappes et latences de déplacement des disques. Il s'agit de phénomènes physiques véritablement imprévisibles.

L'OS maintient un réservoir d'entropie, c'est-à-dire un ensemble d'échantillons de bruit physique combinés par XOR puis hachés ensemble. Linux : /dev/random et /dev/urandom puisent dans ce réservoir. Celui-ci est réalimenté en continu pendant le fonctionnement du système.

Un PRNG (également appelé générateur déterministe de nombres aléatoires ou DRNG) transforme une courte graine en un long flux d'octets pseudo-aléatoires à l'aide d'un algorithme déterministe. Avec la même graine, il produit la même sortie. Il ne convient pas à la cryptographie, sauf s'il est initialisé avec une véritable entropie.

Un PRNG peut présenter un biais statistique détectable ou être prévisible à partir de la sortie observée. Un PRNG cryptographiquement sûr (CSPRNG) ajoute : (1) la sécurité prospective (la sortie passée n'est pas prévisible à partir de l'état actuel) et (2) la résistance au retour en arrière (la sortie future n'est pas prévisible à partir de la sortie passée).

Un PRNG est cryptographiquement sûr si aucun algorithme en temps polynomial ne peut distinguer sa sortie d'une séquence véritablement aléatoire avec une probabilité nettement supérieure à 1/2. C'est le critère d'imprévisibilité du bit suivant.

Linux : /dev/urandom (non bloquant après l'initialisation de la graine), appel système getrandom(). Windows : CryptGenRandom(), BCryptGenRandom(). macOS/iOS : SecRandomCopyBytes(). Navigateur : window.crypto.getRandomValues(). Toutes ces sources alimentent le réservoir d'entropie de l'OS.

NIST SP 800-22 fournit 15 tests statistiques de l'aléa : fréquence, fréquence par bloc, séries, test universel de Maurer, complexité linéaire, etc. Réussir les tests statistiques ne prouve pas la sécurité cryptographique, mais seulement l'absence de biais manifeste.

Un CSPRNG initialisé avec une entropie faible (par exemple l'heure actuelle en secondes) est prévisible. Un attaquant qui connaît la graine peut reconstruire toute la sortie. Initialisez toujours la graine à partir de l'entropie de l'OS : os.urandom(32) en Python, et non time.time() ou random.random().

RDRAND d'Intel (instruction x86) renvoie des octets aléatoires générés par le matériel à partir d'un TRNG intégré à la puce. Des équivalents matériels existent chez AMD et ARM. Linux mélange RDRAND dans /dev/urandom. Il est utilisé comme entropie supplémentaire, et non comme source unique, en raison de préoccupations liées à la confiance.

Les QRNG utilisent des phénomènes de mécanique quantique (temps d'arrivée des photons, fluctuations du vide) pour produire une sortie véritablement aléatoire. Des QRNG commerciaux (ID Quantique, Quantis) sont utilisés dans les applications à haute sécurité. Leur coût est prohibitif pour un usage général.

Les TRNG recueillent de l'entropie physique ; les PRNG développent une graine de manière déterministe ; les CSPRNG sont indiscernables d'un véritable aléa. Les réservoirs d'entropie de l'OS combinent ces deux types de sources. Ensuite : les conceptions de CSPRNG utilisées en pratique.