PRNG ที่ปลอดภัยทางการเข้ารหัส

CSPRNG ต้องมีคุณสมบัติตามข้อกำหนดต่อไปนี้: (1) การคาดเดาบิตถัดไปไม่ได้ — แม้ทราบบิตก่อนหน้าทั้งหมด ก็ไม่สามารถคาดเดาบิตถัดไปด้วยความน่าจะเป็น > 1/2 + ค่าที่เล็กมากจนละเลยได้ (2) ความต้านทานต่อการเปิดเผยสถานะ — การทราบสถานะปัจจุบันจะไม่เปิดเผยข้อมูลใด ๆ เกี่ยวกับผลลัพธ์ในอดีต

Linux /dev/urandom ใช้ CSPRNG ที่ตั้งต้นจากพูลเอนโทรปี หลังจากการตั้งต้นครั้งแรก (เอนโทรปี 128 บิต) ก็สามารถใช้งานได้อย่างปลอดภัยแม้พูลจะ "ว่างเปล่า" — CSPRNG จะรักษาสถานะภายในของตนเองไว้ ส่วน getrandom() คือ system call สมัยใหม่ที่เทียบเท่ากัน

เคอร์เนล Linux รุ่น 5.17 ขึ้นไปเปลี่ยน CSPRNG มาใช้การออกแบบที่อิง ChaCha20 โดย ChaCha20 ทำงานได้รวดเร็ว (ไม่จำเป็นต้องใช้การเร่งด้วยฮาร์ดแวร์) ให้ความปลอดภัยระดับ 256 บิต และมีการพิสูจน์ความปลอดภัยที่เป็นที่เข้าใจอย่างดี นอนซ์คือค่าตัวนับ ส่วนคีย์มาจากพูลเอนโทรปี

Fortuna (Ferguson และ Schneier, 2003) คือการออกแบบ CSPRNG ที่รักษาพูลเอนโทรปีไว้ 32 พูล และสะสมเอนโทรปีอย่างต่อเนื่อง ตัวสร้างจะตั้งต้นใหม่จากพูลต่าง ๆ เมื่อพูลเหล่านั้นเต็มขึ้น มีความทนทานต่อการรีเซ็ต RNG และการโจมตีที่ทำให้สถานะบางส่วนถูกเปิดเผย

เดิมที NIST SP 800-90A มี DUAL_EC_DRBG ซึ่งอิงเส้นโค้งวงรี เอกสารที่ Snowden เปิดเผยแสดงให้เห็นว่า NSA แทรกช่องโหว่ลับไว้ โดยเลือกจุด EC ให้ NSA สามารถคาดเดาผลลัพธ์จากค่าเริ่มต้นใด ๆ ได้ ห้ามใช้ DUAL_EC_DRBG โดยเด็ดขาด NIST ถอดอัลกอริทึมนี้ออกในปี 2014

CTR_DRBG (NIST SP 800-90A) ใช้ AES ในโหมดตัวนับเป็น CSPRNG ค่าเริ่มต้น = คีย์ 256 บิต + นอนซ์ 128 บิต การเรียกแต่ละครั้งจะเลื่อนค่าตัวนับไปข้างหน้า มีการนำไปใช้อย่างแพร่หลายใน OpenSSL, BoringSSL และ Windows BCrypt และมีการเร่งด้วยฮาร์ดแวร์บน CPU ที่รองรับ AES-NI

HASH_DRBG ใช้ฟังก์ชันแฮช (SHA-256) ซ้ำหลายรอบร่วมกับค่าเริ่มต้น ส่วน HMAC_DRBG ใช้ HMAC สำหรับการผสมข้อมูล HMAC_DRBG นำไปใช้อย่างถูกต้องได้ง่ายกว่า และใช้ในระบบฝังตัวจำนวนมาก (mbedTLS, WolfSSL)

แม้แต่ CSPRNG ก็ต้องตั้งต้นใหม่เป็นระยะ CTR_DRBG มีช่วงเวลาการตั้งต้นใหม่ทุก 2^48 คำขอ Fortuna ตั้งต้นใหม่จากพูลเอนโทรปี การตั้งต้นใหม่ด้วยตนเองคือการเพิ่มเอนโทรปีใหม่ (ไบต์จาก getrandom) ลงในสถานะของ CSPRNG เมื่อเริ่มต้นระบบและหลัง fork()

เมื่อโพรเซสทำ fork ทั้งโพรเซสแม่และโพรเซสลูกจะสืบทอดสถานะ CSPRNG เดียวกัน จึงสร้างผลลัพธ์เหมือนกัน วิธีแก้คือเรียก getrandom() เพื่อตั้งต้นใหม่ทันทีหลัง fork() ในรุ่นล่าสุด OpenSSL จัดการเรื่องนี้โดยอัตโนมัติผ่าน pthread_atfork()

import secrets key = secrets.token_bytes(32) # คีย์ 256 บิต nonce = secrets.token_bytes(12) # นอนซ์ 96 บิตสำหรับ AES-GCM pin = secrets.randbelow(10**6) # PIN 6 หลัก # ห้ามใช้โมดูล random สำหรับการเข้ารหัส

window.crypto.getRandomValues(typedArray) คือ CSPRNG ของเบราว์เซอร์ โดยเรียกใช้แหล่งเอนโทรปีของ OS และใช้โดย WebCrypto API สำหรับสร้างคีย์ ห้ามใช้ Math.random() เพื่อความปลอดภัย — เพราะเป็น PRNG ที่ไม่ใช่การเข้ารหัสและตั้งต้นจากเวลาของระบบ

คุณควรใช้โมดูล Python ใดเพื่อสร้างไบต์สุ่มสำหรับการเข้ารหัส

CSPRNG เช่น ChaCha20, CTR_DRBG และ Fortuna สามารถสร้างผลลัพธ์ที่คาดเดาไม่ได้จากค่าเริ่มต้นที่มีเอนโทรปี หลีกเลี่ยง DUAL_EC_DRBG, random.random() และ Math.random() ใช้ secrets ใน Python หรือ window.crypto ในเบราว์เซอร์ บทถัดไป: ความล้มเหลวของเอนโทรปีในโลกจริง