Kriptografik Olarak Güvenli PRNG'ler

Bir CSPRNG şu koşulları sağlamalıdır: (1) sonraki bitin öngörülemezliği — önceki tüm bitler bilinse bile sonraki bit, 1/2 + ihmal edilebilir bir olasılıktan daha yüksek olasılıkla öngörülemez. (2) durum ele geçirildiğinde genişlemeye direnç — mevcut durum öğrenildiğinde geçmiş çıktı hakkında hiçbir bilgi açığa çıkmaz.

Linux /dev/urandom, entropi havuzundan tohumlanan bir CSPRNG kullanır. İlk tohumlamadan (128 bit entropiden) sonra, havuz "boş" olsa bile kullanmak güvenlidir — CSPRNG kendi iç durumunu korur. getrandom(), bunun modern sistem çağrısı karşılığıdır.

Linux çekirdeği 5.17+, CSPRNG'sini ChaCha20 tabanlı bir tasarımla değiştirdi. ChaCha20 hızlıdır (donanım hızlandırması gerekmez), 256 bit güvenlik sağlar ve iyi anlaşılmış bir güvenlik ispatına sahiptir. Tek kullanımlık sayı olarak sayaç kullanılır; anahtar entropi havuzundan gelir.

Fortuna (Ferguson ve Schneier, 2003), 32 entropi havuzunu koruyan ve entropiyi sürekli biriktiren bir CSPRNG tasarımıdır. Üreteç, havuzlar doldukça bu havuzlardan yeniden tohumlanır. RNG sıfırlama ve kısmi durum ele geçirme saldırılarına dayanıklıdır.

NIST SP 800-90A başlangıçta eliptik eğrilere dayanan DUAL_EC_DRBG'yi içeriyordu. Snowden belgeleri, NSA'nın bir arka kapı yerleştirdiğini ortaya çıkardı: EC noktaları, NSA'nın herhangi bir tohumdan üretilecek çıktıyı öngörebilmesini sağlayacak şekilde seçilmişti. DUAL_EC_DRBG'yi asla kullanmayın. NIST, bunu 2014'te kaldırdı.

CTR_DRBG (NIST SP 800-90A), CSPRNG olarak sayaç kipinde AES kullanır. Tohum = 256 bitlik anahtar + 128 bitlik tek kullanımlık sayı. Her çağrı sayacı ilerletir. OpenSSL, BoringSSL ve Windows BCrypt'te yaygın olarak uygulanır. AES-NI işlemcilerinde donanım hızlandırmasından yararlanır.

HASH_DRBG, bir tohum değeriyle yinelemeli olarak bir karma işlevi (SHA-256) kullanır. HMAC_DRBG, karıştırma için HMAC kullanır. HMAC_DRBG'nin doğru biçimde uygulanması daha kolaydır ve birçok gömülü sistemde (mbedTLS, WolfSSL) kullanılır.

CSPRNG'ler bile düzenli aralıklarla yeniden tohumlanmalıdır. CTR_DRBG'nin yeniden tohumlama aralığı 2^48 istektir. Fortuna, entropi havuzlarından yeniden tohumlanır. Elle yeniden tohumlama: başlangıçta ve fork() sonrasında CSPRNG durumuna yeni entropi (getrandom baytları) ekleyin.

Bir işlem çatallandığında, hem üst işlem hem de alt işlem aynı CSPRNG durumunu devralır — aynı çıktıyı üretirler. Çözüm: fork() sonrasında hemen yeniden tohumlamak için getrandom() çağırın. OpenSSL, son sürümlerde pthread_atfork() aracılığıyla bunu otomatik olarak ele alır.

import secrets key = secrets.token_bytes(32) # 256-bit key nonce = secrets.token_bytes(12) # 96-bit nonce for AES-GCM pin = secrets.randbelow(10**6) # 6-digit PIN # Never use random module for cryptography

window.crypto.getRandomValues(typedArray), tarayıcının CSPRNG'sidir. İşletim sisteminin entropi kaynağını çağırır. WebCrypto API tarafından anahtar üretimi için kullanılır. Güvenlik amacıyla asla Math.random() kullanmayın — sistem zamanından tohumlanan kriptografik olmayan bir PRNG'dir.

Kriptografik rastgele baytlar üretmek için hangi Python modülünü kullanmalısınız?

ChaCha20, CTR_DRBG ve Fortuna gibi CSPRNG'ler, entropi tohumlarından öngörülemez çıktılar üretir. DUAL_EC_DRBG, random.random() ve Math.random() kullanmaktan kaçının. Python'da secrets, tarayıcıda ise window.crypto kullanın. Sıradaki konu: gerçek dünyadaki entropi arızaları.