熵枯竭与弱密钥漏洞

当系统缺少足够的不可预测输入来为 CSPRNG 播种时，就会发生熵匮乏。这种情况会出现在刚启动的嵌入式设备、虚拟化服务器或没有用户输入的系统中。此时 RNG 的输出会变得可预测。

2006 年，一名 Debian 开发者删除了 Valgrind 标记的一行：MD_Update(&m, buf, j)。这一行原本是熵源。结果是，Debian 上的 OpenSSL 只使用 PID 进行播种（最多 32,768 个值）。2006—2008 年生成的所有密钥都属于一个仅有 32,768 种可能性的集合。

2006—2008 年在 Debian/Ubuntu 系统上生成的 RSA、DSA 和 ECDSA 密钥、SSH 主机密钥、TLS 证书以及 SSL VPN 密钥均已遭到破坏。受影响的系统包括：Debian Etch、Debian Lenny、Ubuntu 7.04—8.04。相关黑名单已经发布，证书也已撤销。

虚拟机可以在磁盘状态完全相同的情况下被克隆。如果两台虚拟机从相同的 CSPRNG 状态生成密钥，它们就会产生相同的密钥。现在，虚拟机监控程序会通过 VirtIO RNG 或 ACPI 表注入熵，但配置不当的虚拟机在启动时仍然面临这一风险。

物联网设备（路由器、摄像头）经常会在首次启动时生成 SSH/TLS 密钥，此时它们还没有积累足够的熵。研究发现，数百万台设备共享几千个 RSA 密钥对，因为它们都从相同的低熵启动状态进行播种。

Lenstra 等人于 2012 年收集了 1,170 万份 TLS 证书，并计算两两 GCD。研究发现，12,720 个 RSA 密钥共享一个素因子——这意味着两个密钥都可以被完全分解。所有公钥中有 0.2% 已被破解。原因是启动时熵不足。

ECDSA 要求每个签名使用唯一的随机一次性数值 k。如果重复使用 k（或 k 较弱），就可以立即恢复私钥：d = (s1-s2)^{-1} * (z1-z2) * k / (r1-r2) mod n。Sony 的 PS3 使用了 k=constant，因此所有游戏都可以使用恢复出的密钥进行签名。

在某些条件下，Android 4.x 上的 Java SecureRandom 使用系统时间进行播种。多个比特币钱包应用使用相同的 k 一次性数值生成签名，从而泄露了私钥。数百万美元因此被盗。Google 修复了 SecureRandom 的实现。

工具包括：ssh-vulnkey（对照 Debian 弱密钥黑名单进行检查）、badkeys（检查 TLS 证书中是否存在已知的弱素数），以及用于批量 RSA 密钥审计的 GCD 批处理算法。证书透明度日志支持大规模群体分析。

首次生成密钥时使用 getrandom(GRND_RANDOM)。等待初始播种完成后，再从 /dev/urandom 读取（检查 /proc/sys/kernel/random/entropy_avail > 128）。使用硬件 RNG（RDRAND）作为补充熵。绝不要在首次启动时不经等待就生成密钥。

跨重启持久化 CSPRNG 状态：关机时从 /dev/urandom 保存 32 个字节到种子文件中；启动时读取该文件并将其反馈给 CSPRNG。这可以在冷启动之间保持熵的连续性。Linux 会自动执行此操作，而嵌入式系统通常不会。

熵匮乏会导致密钥可预测。真实案例包括：Debian OpenSSL（仅使用 PID 播种）、物联网设备上的 GCD 攻击、PS3 的 ECDSA 一次性数值重复使用，以及 Android 比特币钱包漏洞。始终使用 OS 熵进行播种，并仔细审计嵌入式设备的密钥生成过程。下一节：安全地生成密钥、一次性数值和 IV。