Криптографически стойкие PRNG

CSPRNG должен обеспечивать: (1) непредсказуемость следующего бита — даже при знании всех предыдущих битов следующий бит нельзя предсказать с вероятностью > 1/2 + пренебрежимо малой величины; (2) устойчивость к расширению после компрометации состояния — получение текущего состояния ничего не раскрывает о прошлом результате.

Linux /dev/urandom использует CSPRNG, инициализированный из пула энтропии. После первоначальной инициализации (128 бит энтропии) его безопасно использовать, даже когда пул «пуст» — CSPRNG поддерживает собственное внутреннее состояние. getrandom() — современный эквивалент системного вызова.

Ядро Linux версии 5.17 и новее заменило свой CSPRNG схемой на основе ChaCha20. ChaCha20 работает быстро (аппаратное ускорение не требуется), обеспечивает 256-битную стойкость и имеет хорошо изученное доказательство безопасности. Одноразовым числом служит счётчик, а ключ поступает из пула энтропии.

Fortuna (Ferguson и Schneier, 2003) — схема CSPRNG, которая поддерживает 32 пула энтропии и непрерывно накапливает энтропию. Генератор повторно инициализируется на основе пулов по мере их заполнения. Схема устойчива к атакам со сбросом RNG и атакам при частичной компрометации состояния.

NIST SP 800-90A изначально включал DUAL_EC_DRBG, основанный на эллиптических кривых. Документы Сноудена раскрыли, что NSA внедрила скрытую уязвимость: точки EC были выбраны так, чтобы NSA могла предсказывать вывод из любого начального значения. Никогда не используйте DUAL_EC_DRBG. NIST удалил его в 2014 году.

CTR_DRBG (NIST SP 800-90A) использует AES в режиме счётчика как CSPRNG. Начальное значение = 256-битный ключ + 128-битное одноразовое число. Каждый вызов увеличивает счётчик. Широко реализован в OpenSSL, BoringSSL и Windows BCrypt. Аппаратно ускоряется на процессорах с AES-NI.

HASH_DRBG итеративно использует хеш-функцию (SHA-256) вместе с начальным значением. HMAC_DRBG использует HMAC для смешивания. HMAC_DRBG проще правильно реализовать, поэтому он применяется во многих встраиваемых системах (mbedTLS, WolfSSL).

Даже CSPRNG необходимо периодически повторно инициализировать. Интервал повторной инициализации CTR_DRBG составляет 2^48 запросов. Fortuna повторно инициализируется из своих пулов энтропии. Ручная повторная инициализация: добавляйте свежую энтропию (байты, полученные с помощью getrandom()) в состояние CSPRNG при запуске и после fork().

При создании копии процесса с помощью fork() родительский и дочерний процессы наследуют одно и то же состояние CSPRNG — они будут выдавать одинаковый вывод. Исправление: вызовите getrandom() для немедленной повторной инициализации после fork(). В последних версиях OpenSSL это обрабатывается автоматически через pthread_atfork().

import secrets key = secrets.token_bytes(32) # 256-bit key nonce = secrets.token_bytes(12) # 96-bit nonce for AES-GCM pin = secrets.randbelow(10**6) # 6-digit PIN # Never use random module for cryptography

window.crypto.getRandomValues(typedArray) — это CSPRNG браузера. Он вызывает источник энтропии OS. Используется API WebCrypto для генерации ключей. Никогда не используйте Math.random() для защиты — это некриптографический PRNG, инициализируемый системным временем.

Какой модуль Python следует использовать для генерации криптографически стойких случайных байтов?

CSPRNG, такие как ChaCha20, CTR_DRBG и Fortuna, генерируют непредсказуемый вывод из начальных значений энтропии. Избегайте DUAL_EC_DRBG, random.random() и Math.random(). Используйте secrets в Python или window.crypto в браузере. Далее: реальные сбои, связанные с энтропией.