密码学安全的 PRNG

CSPRNG 必须满足：(1) 下一比特不可预测性——即使知道此前的所有比特，也不能以大于 1/2 + 可忽略量的概率预测下一比特；(2) 状态泄露扩展抵抗性——获知当前状态不会泄露过去的输出。

Linux 的 /dev/urandom 使用从熵池播种的 CSPRNG。完成初始播种（128 位熵）后，即使熵池“为空”也可以安全使用——CSPRNG 会维护自己的内部状态。getrandom() 是现代的系统调用等价物。

Linux 内核 5.17 及更高版本将其 CSPRNG 替换为基于 ChaCha20 的设计。ChaCha20 速度快（无需硬件加速），可提供 256 位安全性，并且有充分理解的安全性证明。一次性数值就是计数器；密钥来自熵池。

Fortuna（Ferguson 与 Schneier，2003 年）是一种 CSPRNG 设计，维护 32 个熵池并持续累积熵。生成器会在各池填满时从池中重新播种。它能够抵抗 RNG 重置和部分状态泄露攻击。

NIST SP 800-90A 最初纳入了基于椭圆曲线的 DUAL_EC_DRBG。斯诺登披露的文件揭示了 NSA 插入的后门：椭圆曲线点经过特殊选择，使 NSA 能够根据任意种子预测输出。绝不要使用 DUAL_EC_DRBG。NIST 于 2014 年将其移除。

CTR_DRBG（NIST SP 800-90A）使用 AES 计数器模式作为 CSPRNG。种子 = 256 位密钥 + 128 位一次性数值。每次调用都会推进计数器。OpenSSL、BoringSSL 和 Windows BCrypt 中均广泛实现。在支持 AES-NI 的 CPU 上可利用硬件加速。

HASH_DRBG 使用哈希函数（SHA-256）结合种子值进行迭代运算。HMAC_DRBG 使用 HMAC 进行混合。HMAC_DRBG 更容易正确实现，并且用于许多嵌入式系统（mbedTLS、WolfSSL）。

即使 CSPRNG 也必须定期重新播种。CTR_DRBG 的重新播种间隔为 2^48 次请求。Fortuna 从其熵池重新播种。手动重新播种：在启动时以及 fork() 后，将新鲜熵（由 getrandom 生成的字节）添加到 CSPRNG 状态中。

进程执行 fork 时，父进程和子进程会继承相同的 CSPRNG 状态，因此会产生相同的输出。修复方法：在 fork() 后立即调用 getrandom() 重新播种。较新版本的 OpenSSL 会通过 pthread_atfork() 自动处理。

import secrets key = secrets.token_bytes(32) # 256 位密钥 nonce = secrets.token_bytes(12) # AES-GCM 的 96 位一次性数值 pin = secrets.randbelow(10**6) # 6 位 PIN # 绝不要将 random 模块用于密码学

window.crypto.getRandomValues(typedArray) 是浏览器的 CSPRNG。它调用 OS 的熵源。WebCrypto API 使用它生成密钥。出于安全目的，绝不要使用 Math.random()——它是从系统时间播种的非密码学 PRNG。

应使用哪个 Python 模块来生成密码学随机字节？

ChaCha20、CTR_DRBG 和 Fortuna 等 CSPRNG 从熵种子生成不可预测的输出。避免使用 DUAL_EC_DRBG、random.random() 和 Math.random()。使用 secrets（Python）或 window.crypto（浏览器）。下一节：现实世界中的熵故障。