PRNG yang Aman secara Kriptografis

CSPRNG harus memenuhi: (1) ketakterprediksian bit berikutnya—setelah semua bit sebelumnya diketahui, bit berikutnya tidak dapat diprediksi dengan probabilitas > 1/2 + dapat diabaikan. (2) ketahanan terhadap perluasan kompromi keadaan—mengetahui keadaan saat ini tidak mengungkapkan apa pun tentang keluaran masa lalu.

Linux /dev/urandom menggunakan CSPRNG yang diberi nilai awal dari kumpulan entropi. Setelah pemberian nilai awal pertama (entropi 128 bit), CSPRNG ini aman digunakan bahkan saat kumpulan tersebut "kosong"—CSPRNG mempertahankan keadaan internalnya sendiri. getrandom() adalah padanan panggilan sistem modernnya.

Kernel Linux 5.17+ mengganti CSPRNG-nya dengan desain berbasis ChaCha20. ChaCha20 cepat (tidak memerlukan akselerasi perangkat keras), menyediakan keamanan 256 bit, dan memiliki pembuktian keamanan yang dipahami dengan baik. Nonce adalah pencacah; kunci berasal dari kumpulan entropi.

Fortuna (Ferguson & Schneier, 2003) adalah desain CSPRNG yang mempertahankan 32 kumpulan entropi dan mengakumulasikan entropi secara berkelanjutan. Generator diberi nilai awal ulang dari kumpulan-kumpulan tersebut saat kumpulan itu terisi. Tahan terhadap serangan pengaturan ulang RNG dan kompromi sebagian keadaan.

NIST SP 800-90A awalnya mencakup DUAL_EC_DRBG, yang berbasis kurva eliptik. Dokumen Snowden mengungkapkan bahwa NSA menyisipkan pintu belakang: titik EC dipilih sedemikian rupa sehingga NSA dapat memprediksi keluaran dari nilai awal apa pun. Jangan pernah menggunakan DUAL_EC_DRBG. NIST menghapusnya pada 2014.

CTR_DRBG (NIST SP 800-90A) menggunakan AES dalam mode pencacah sebagai CSPRNG. Nilai awal = kunci 256 bit + nonce 128 bit. Setiap pemanggilan memajukan pencacah. Banyak diimplementasikan dalam OpenSSL, BoringSSL, dan Windows BCrypt. Dipercepat perangkat keras pada CPU dengan AES-NI.

HASH_DRBG menggunakan fungsi hash (SHA-256) secara iteratif dengan nilai awal. HMAC_DRBG menggunakan HMAC untuk pencampuran. HMAC_DRBG lebih sederhana untuk diimplementasikan dengan benar dan digunakan dalam banyak sistem tertanam (mbedTLS, WolfSSL).

Bahkan CSPRNG harus diberi nilai awal ulang secara berkala. CTR_DRBG memiliki interval pemberian nilai awal ulang sebesar 2^48 permintaan. Fortuna diberi nilai awal ulang dari kumpulan entropinya. Pemberian nilai awal ulang manual: tambahkan entropi baru (byte hasil getrandom()) ke keadaan CSPRNG saat memulai dan setelah fork().

Saat suatu proses melakukan fork, proses induk dan anak mewarisi keadaan CSPRNG yang sama—keduanya akan menghasilkan keluaran identik. Perbaikan: panggil getrandom() untuk segera memberikan nilai awal ulang setelah fork(). OpenSSL menanganinya secara otomatis melalui pthread_atfork() pada versi terbaru.

import secrets key = secrets.token_bytes(32) # 256-bit key nonce = secrets.token_bytes(12) # 96-bit nonce for AES-GCM pin = secrets.randbelow(10**6) # 6-digit PIN # Never use random module for cryptography

window.crypto.getRandomValues(typedArray) adalah CSPRNG peramban. Fungsi ini memanggil sumber entropi OS. Digunakan oleh WebCrypto API untuk pembuatan kunci. Jangan pernah menggunakan Math.random() untuk keamanan—fungsi tersebut adalah PRNG non-kriptografis yang diberi nilai awal dari waktu sistem.

Modul Python mana yang harus Anda gunakan untuk menghasilkan byte acak kriptografis?

CSPRNG seperti ChaCha20, CTR_DRBG, dan Fortuna menghasilkan keluaran yang tidak dapat diprediksi dari nilai awal entropi. Hindari DUAL_EC_DRBG, random.random(), dan Math.random(). Gunakan secrets (Python) atau window.crypto (peramban). Berikutnya: kegagalan entropi di dunia nyata.