진정한 무작위성과 의사 난수성

암호 보안은 근본적으로 예측 불가능성에 달려 있습니다. 공격자가 키, IV 또는 논스를 조금이라도 예측할 수 있으면 전체 암호 시스템이 붕괴할 수 있습니다. 취약한 무작위성은 실제 환경에서 치명적인 보안 사고를 일으켰습니다.

TRNG는 물리적 엔트로피를 수집합니다. 여기에는 저항기의 열 잡음, 역바이어스 다이오드의 쇼트 잡음, 방사성 붕괴, 마우스 움직임, 키 입력 시간, 디스크 탐색 지연 시간이 포함됩니다. 이러한 현상은 실제로 예측할 수 없는 물리적 현상입니다.

OS는 물리적 잡음 샘플을 XOR하고 함께 해시한 모음인 엔트로피 풀을 유지합니다. Linux의 /dev/random과 /dev/urandom은 이 풀에서 값을 가져옵니다. 시스템이 실행되는 동안 풀이 지속적으로 보충됩니다.

PRNG(결정론적 RNG 또는 DRNG라고도 함)는 결정론적 알고리즘을 사용해 짧은 시드를 긴 의사 난수 바이트 스트림으로 확장합니다. 같은 시드가 주어지면 같은 출력을 생성합니다. 진정한 엔트로피로 시드하지 않는 한 암호학에는 적합하지 않습니다.

PRNG에는 감지 가능한 통계적 편향이 있을 수 있으며, 관찰된 출력으로부터 예측할 수도 있습니다. 암호학적으로 안전한 PRNG(CSPRNG)는 다음 기능을 추가합니다. (1) 순방향 보안: 현재 상태로 과거 출력을 예측할 수 없음. (2) 역추적 저항성: 과거 출력으로 미래 출력을 예측할 수 없음.

어떤 다항 시간 알고리즘도 PRNG의 출력을 진정한 무작위 수열과 1/2보다 유의미하게 높은 확률로 구별할 수 없다면 해당 PRNG는 암호학적으로 안전합니다. 이를 다음 비트 예측 불가능성 기준이라고 합니다.

Linux: /dev/urandom(초기 시드 설정 후 비차단 방식), getrandom() 시스템 호출. Windows: CryptGenRandom(), BCryptGenRandom(). macOS/iOS: SecRandomCopyBytes(). 브라우저: window.crypto.getRandomValues(). 모두 OS 엔트로피 풀로 공급됩니다.

NIST SP 800-22는 무작위성을 위한 15가지 통계 검사를 제공합니다. 빈도, 블록 빈도, 런, Maurer 보편성 검사, 선형 복잡도 등이 포함됩니다. 통계 검사를 통과했다고 해서 암호학적 보안이 증명되는 것은 아니며, 명백한 편향이 없다는 것만 의미합니다.

약한 엔트로피(예: 현재 시각을 초 단위로 나타낸 값)로 시드한 CSPRNG는 예측할 수 있습니다. 공격자가 시드를 알면 전체 출력을 복원할 수 있습니다. 항상 OS 엔트로피에서 시드를 가져오십시오. Python에서는 `os.urandom(32)`를 사용하고 `time.time()`이나 `random.random()`은 사용하지 마십시오.

Intel RDRAND(x86 명령어)는 칩에 내장된 TRNG에서 하드웨어로 생성한 무작위 바이트를 반환합니다. AMD와 ARM에도 이에 해당하는 하드웨어가 있습니다. Linux는 RDRAND를 /dev/urandom에 섞습니다. 신뢰성에 대한 우려가 있으므로 유일한 원천이 아니라 보조 엔트로피로 사용됩니다.

QRNG는 광자 도착 시간과 진공 요동 같은 양자역학적 현상을 사용해 수학적으로 무작위임을 증명할 수 있는 출력을 생성합니다. 상용 QRNG(ID Quantique, Quantis)는 높은 보안이 필요한 응용 분야에서 사용됩니다. 일반적인 사용에는 비용이 지나치게 높습니다.

CSPRNG를 일반적인 PRNG와 구별하는 특성은 무엇입니까?

TRNG는 물리적 엔트로피를 수집하고, PRNG는 시드를 결정론적으로 확장하며, CSPRNG는 진정한 무작위성과 구별할 수 없습니다. OS 엔트로피 풀은 두 종류의 원천을 결합합니다. 다음 주제: 실제로 사용되는 구체적인 CSPRNG 설계