真の乱数と擬似乱数

暗号学的安全性は、予測不可能性に根本的に依存しています。攻撃者が鍵、IV、またはnonceを、たとえ部分的にでも予測できると、暗号システム全体が破綻する可能性があります。弱い乱数が、現実世界で壊滅的な被害をもたらした例は数多くあります。

TRNGは物理的なエントロピーを収集します。たとえば、抵抗器の熱雑音、逆バイアスダイオードのショットノイズ、放射性崩壊、マウスの動き、キー入力のタイミング、ディスクシークの遅延などです。これらは本質的に予測不可能な物理現象です。

OSはエントロピープールを維持します。これは、物理的なノイズのサンプルをXORし、まとめてハッシュ化したものです。Linuxでは、/dev/randomと/dev/urandomがこのプールからデータを取得します。システムの稼働中、プールは継続的に補充されます。

PRNG（Deterministic RNG / DRNGとも呼ばれます）は、決定論的なアルゴリズムを使って短いシードを長い疑似乱数バイト列に拡張します。同じシードを与えると、同じ出力を生成します。真のエントロピーでシードされない限り、暗号用途には適していません。

PRNGには、検出可能な統計的偏りがあったり、観測した出力から予測できたりする可能性があります。暗号学的に安全なPRNG（CSPRNG）は、（1）前方秘匿性（現在の状態から過去の出力を予測できないこと）と、（2）バックトラッキング耐性（過去の出力から将来の出力を予測できないこと）を備えています。

PRNGは、真にランダムな系列と比べて、その出力を1/2を大幅に上回る確率で識別できる多項式時間アルゴリズムが存在しない場合に、暗号学的に安全です。これは次ビット予測不可能性基準です。

Linux：/dev/urandom（初回のシード設定後はノンブロッキング）、getrandom()システムコール。Windows：CryptGenRandom()、BCryptGenRandom()。macOS/iOS：SecRandomCopyBytes()。ブラウザー：window.crypto.getRandomValues()。いずれもOSのエントロピープールに入力されます。

NIST SP 800-22は、乱数性に関する15種類の統計的テストを提供しています。頻度、ブロック頻度、ラン、Maurer's universal、線形複雑度などです。統計的テストに合格しても、暗号学的安全性が証明されるわけではありません。明らかな偏りがないことを示すだけです。

弱いエントロピー（例：現在時刻を秒単位で表した値）でシードされたCSPRNGは予測可能です。攻撃者がシードを知ると、出力全体を復元できます。必ずOSのエントロピーからシードしてください。Pythonではos.urandom(32)を使い、time.time()やrandom.random()は使わないでください。

Intel RDRAND（x86命令）は、チップ上のTRNGからハードウェアで生成されたランダムバイトを返します。AMDやARMにも同等のハードウェアが存在します。LinuxはRDRANDの出力を/dev/urandomに混合します。信頼性に関する懸念があるため、単独のソースではなく補助的なエントロピーとして使用されます。

QRNGは、光子の到着時刻や真空ゆらぎなどの量子力学的現象を利用して、証明可能なランダム出力を生成します。商用のQRNG（ID Quantique、Quantis）は、高セキュリティ用途で使用されています。一般用途にはコストが高すぎます。

TRNGは物理的なエントロピーを収集し、PRNGはシードを決定論的に拡張し、CSPRNGは真の乱数と識別できません。OSのエントロピープールは、これらを組み合わせます。次は、実際に使用されている具体的なCSPRNGの設計について学びます。