Aleatoriedade verdadeira versus pseudoaleatoriedade

A segurança criptográfica depende fundamentalmente da imprevisibilidade. Se um invasor puder prever sua chave, seu vetor de inicialização ou seu valor de uso único — mesmo que parcialmente — todo o sistema criptográfico poderá ruir. Uma aleatoriedade fraca causou falhas catastróficas no mundo real.

Os TRNGs coletam entropia física: ruído térmico em resistores, ruído de disparo em diodos polarizados reversamente, decaimento radioativo, movimentos do mouse, intervalos entre teclas e latências de busca em disco. Esses são fenômenos físicos genuinamente imprevisíveis.

O OS mantém um reservatório de entropia — uma coleção de amostras de ruído físico combinadas com XOR e processadas por funções de resumo criptográfico. O Linux: /dev/random e /dev/urandom extraem dados desse reservatório. O reservatório é reabastecido continuamente enquanto o sistema funciona.

Um PRNG (também chamado de RNG determinístico ou DRNG) expande uma semente curta em um fluxo longo de bytes pseudoaleatórios usando um algoritmo determinístico. Dada a mesma semente, ele produz a mesma saída. Não é adequado para criptografia, a menos que seja inicializado com entropia verdadeira.

Um PRNG pode apresentar viés estatístico detectável ou ser previsível a partir da saída observada. Um PRNG criptograficamente seguro (CSPRNG) adiciona: (1) segurança para frente (a saída passada não pode ser prevista a partir do estado atual) e (2) resistência a retrocesso (a saída futura não pode ser prevista a partir da saída passada).

Um PRNG é criptograficamente seguro se nenhum algoritmo de tempo polinomial conseguir distinguir sua saída de uma sequência verdadeiramente aleatória com probabilidade significativamente maior que 1/2. Esse é o critério da imprevisibilidade do próximo bit.

Linux: /dev/urandom (não bloqueante após a inicialização inicial), chamada de sistema getrandom(). Windows: CryptGenRandom(), BCryptGenRandom(). macOS/iOS: SecRandomCopyBytes(). Navegador: window.crypto.getRandomValues(). Todas alimentam o reservatório de entropia do OS.

O NIST SP 800-22 fornece 15 testes estatísticos de aleatoriedade: frequência, frequência de blocos, sequências, teste universal de Maurer, complexidade linear etc. Passar nos testes estatísticos não prova a segurança criptográfica — apenas a ausência de um viés evidente.

Um CSPRNG inicializado com entropia fraca (por exemplo, a hora atual em segundos) é previsível. Um invasor que conheça a semente poderá reconstruir toda a saída. Sempre inicialize a partir da entropia do OS: os.urandom(32) em Python, não time.time() nem random.random().

O RDRAND da Intel (uma instrução x86) retorna bytes aleatórios gerados por hardware a partir de um TRNG integrado ao chip. Existem equivalentes de hardware em AMD e ARM. O Linux combina RDRAND com /dev/urandom. Ele é usado como entropia suplementar, não como fonte única (devido a preocupações de confiança).

Os geradores quânticos de números aleatórios usam fenômenos da mecânica quântica (tempos de chegada de fótons e flutuações do vácuo) para produzir uma saída comprovadamente aleatória. Geradores quânticos comerciais (ID Quantique, Quantis) são usados em aplicações de alta segurança. O custo é proibitivo para uso geral.

Qual propriedade distingue um CSPRNG de um PRNG comum?

Os TRNGs coletam entropia física; os PRNGs expandem uma semente de modo determinístico; os CSPRNGs são indistinguíveis de uma aleatoriedade verdadeira. Os reservatórios de entropia do OS combinam ambos. A seguir: projetos específicos de CSPRNG usados na prática.