Casualità vera e pseudocasualità

La sicurezza crittografica dipende in modo fondamentale dall'imprevedibilità. Se un attaccante può prevedere la propria chiave, il proprio IV o il proprio nonce, anche solo parzialmente, l'intero sistema crittografico può crollare. Una casualità debole ha causato compromissioni catastrofiche nel mondo reale.

I TRNG raccolgono entropia fisica: rumore termico nei resistori, rumore di shot nei diodi polarizzati inversamente, decadimento radioattivo, movimenti del mouse, intervalli tra le pressioni dei tasti e latenze di ricerca del disco. Si tratta di fenomeni fisici realmente imprevedibili.

Il sistema operativo mantiene un pool di entropia, cioè una raccolta di campioni di rumore fisico sottoposti a XOR e hashing. Linux: /dev/random e /dev/urandom attingono a questo pool. Il pool viene alimentato continuamente durante il funzionamento del sistema.

Un PRNG (chiamato anche RNG deterministico / DRNG) espande un seed breve in un lungo flusso di byte pseudocasuali usando un algoritmo deterministico. Dato lo stesso seed, produce lo stesso output. Non è adatto alla crittografia se non viene inizializzato con entropia vera.

Un PRNG può presentare una distorsione statistica rilevabile o essere prevedibile a partire dall'output osservato. Un generatore pseudocasuale crittograficamente sicuro (CSPRNG) aggiunge: (1) sicurezza in avanti (l'output passato non è prevedibile dallo stato attuale) e (2) resistenza al backtracking (l'output futuro non è prevedibile da quello passato).

Un PRNG è crittograficamente sicuro se nessun algoritmo in tempo polinomiale può distinguere il suo output da una sequenza veramente casuale con probabilità significativamente superiore a 1/2. Questo è il criterio dell'imprevedibilità del bit successivo.

Linux: /dev/urandom (non bloccante dopo l'inizializzazione iniziale del seed), chiamata di sistema getrandom(). Windows: CryptGenRandom(), BCryptGenRandom(). macOS/iOS: SecRandomCopyBytes(). Browser: window.crypto.getRandomValues(). Tutte alimentano il pool di entropia del sistema operativo.

NIST SP 800-22 fornisce 15 test statistici della casualità: frequenza, frequenza dei blocchi, run, test universale di Maurer, complessità lineare e altri. Il superamento dei test statistici non dimostra la sicurezza crittografica, ma solo l'assenza di distorsioni evidenti.

Un CSPRNG inizializzato con entropia debole, ad esempio l'ora corrente in secondi, è prevedibile. Un attaccante che conosce il seed può ricostruire l'intero output. Inizializzi sempre dall'entropia del sistema operativo: os.urandom(32) in Python, non time.time() o random.random().

Intel RDRAND (istruzione x86) restituisce byte casuali generati dall'hardware di un TRNG integrato nel chip. Esistono hardware equivalenti per AMD e ARM. Linux combina RDRAND in /dev/urandom. Viene usato come entropia supplementare, non come unica fonte, a causa di problemi di fiducia.

I QRNG usano fenomeni della meccanica quantistica, come i tempi di arrivo dei fotoni e le fluttuazioni del vuoto, per produrre output dimostrabilmente casuali. I QRNG commerciali (ID Quantique, Quantis) vengono usati in applicazioni ad alta sicurezza. Il costo è proibitivo per l'uso generale.

I TRNG raccolgono entropia fisica; i PRNG espandono un seed in modo deterministico; i CSPRNG sono indistinguibili dalla casualità vera. I pool di entropia del sistema operativo combinano entrambe le fonti. Prossimo argomento: specifiche progettazioni di CSPRNG usate nella pratica.