Random Number Generators

Transcriptie

1 Random Number Generators Inés Carvajal Gallardo 20 juni Inleiding Deze paper gaat over random numbers in cryptografische toepassingen. Er is binnen de cryptografie grote vraag naar random number generators. Waarom zijn deze nodig en nog belangrijker, hoe komen we aan een goede random number generator? In deze paper zal ik uiteenzetten wat voor soort random number generators er zijn, hoe veilig ze zijn en hoe ze werken. 2 Random numbers Zoals gezegd zijn random numbers van groot belang in de cryptografie. Er zijn vele algoritmes die voor hun veiligheid vertrouwen op random numbers. Zo worden ze onder andere gebruikt als nonces, als salts, als sessiesleutel, of als bits voor stroomversleuteling die, zoals we al eerder in de cursus hebben gezien, zo willekeurig mogelijk moeten zijn [1] [2]. Verder zijn er in het speciaal ook vaak willekeurige priemgetallen nodig, voor bijvoorbeeld encryptiemethodes als RSA. In deze paper gaan we verder niet in op willekeurige priemgetallen. 3 Pseudo Random Number Generators Een Pseudo Random Number Generator, een PRNG, wordt veel gebruikt om ogenschijnlijk random numbers te genereren. Hoewel een PRNG een bitreeks kan genereren die er voor ons compleet willekeurig uitziet, is de bitreeks niet echt willekeurig. Er zijn hier meerdere oorzaken voor. Ten eerste heeft dit te maken met het feit dat een PRNG deterministisch is. Alle PRNG s maken gebruik van een beginwaarde waarvan alle volgende waarden in de reeks worden afgeleid. Deze beginwaarde wordt ook wel een seed value genoemd. De seed value gaat in een formule of algoritme die een reeks waarden uitrekent. De methode of formule die gebruikt wordt om aan de volgende bits in de reeks te komen is deterministisch: als we deze twee keer uitvoeren met dezelfde beginwaarde, krijgen we twee identieke bitreeksen terug. Dit houdt dus in dat de bitreeks, als we de initiële waarde weten, te voorspellen is. 1

2 Ten tweede hebben we te maken met periodiciteit. De periode van de bitreeks die door een PRNG gegenereerd kan worden, is de lengte van de bitreeks voordat we herhalingen gaan zien. Het moge duidelijk zijn, dat zodra we een herhaling in de bitreeks ontdekken, de reeks niet meer veilig is, omdat we dan alle waarden die gaan komen al weten, dit zijn namelijk dezelfde waarden als die we eerder hebben aangetroffen. In de praktijk zal dit niet altijd een groot probleem zijn, omdat er veel gecompliceerde PRNG s bestaan waarvan de periode dusdanig lang is, dat de periode in de praktijk geen hinder oplevert en daarom als argument tegen het gebruik van PRNG s genegeerd kan worden. De meeste PRNG s hebben dus imperfecties. Hun output is extrapoleerbaar, wat betekent dat als we een gedeelte van de bitreeks hebben opgevangen, we kunnen berekenen wat ervoor of erna komt. Ondanks de nadelen van PRNG s, worden ze toch vaak gebruikt. De vraag is: waarom dan? Een groot voordeel van PRNG s is dat ze erg snel zijn in het uitrekenen van pseudo-random numbers. Ze worden dan ook vaak gebruikt vanwege hun efficiëntie wanneer er ingeleverd mag worden aan willekeurigheid. Daarnaast is het soms ook juist gewenst dat een gegenereerde bitreeks deterministisch is, zodat deze nog eens geproduceerd kan worden. PRNG s worden daarom veel gebruikt in simulaties. 3.1 Lineaire congruentie generator In de talen Java en C# heeft men toegang tot de Random-klasse, met behulp waarvan er random numbers kunnen worden gegenereerd. Deze klasse geeft als object een PRNG die gebaseerd is op de lineaire congruentiegenerator. Omdat de Random-klasse een PRNG teruggeeft, zijn de getallen die gegenereerd worden niet werkelijk willekeurig. Het is daarom ook niet aan te raden om van Random gebruik te maken. In plaats daarvan is het mogelijk om de SecureRandom-klasse te gebruiken, die veiliger is dan Random. Verderop in deze paper zal worden uitgelegd hoe deze klasse werkt. De lineaire congruentiegenerator is een familie van algoritmen die gedefinieerd is door de volgende recurrente betrekking: x n+1 = (k x n + a) mod m Hierbij is er een waarde x 0 nodig die als seed-value functioneert, een getal k waarmee we vermenigvuldigen, een modulo m en een waarde a waarmee we ophogen. In de klasse Random wordt hierbij als x 0, de startwaarde, een getal van 48 bits gebruikt. Om te zien wat voor reeks getallen we hiermee zouden kunnen genereren, nemen we als voorbeeld m = 10, x 0 = a = k = 7. We krijgen de volgende reeks: 7, 6, 9, 0, 7, 6, 9, 0. [3] We zien hier een herhaling in. De reeks is dus niet zo willekeurig als we zouden willen, helemaal niet willekeurig zelfs. De willekeurigheid van de reeks hangt af 2

3 van onze startwaarde, de modulus m en van a en k. Maar hoe we deze waarden ook kiezen, uiteindelijk zullen we in de reeks getallen altijd een herhaling zien. Wat we dus zouden willen is om daarom onze periode zo hoog mogelijk te krijgen. Het is bewezen dat de periode van een lineaire congruentiegenerator ten hoogste m kan zijn [3]. Deze periode kunnen we krijgen als we onze getallen zo kiezen dat: m en a relatief priem zijn. Dit is een reden waarom men er meestal voor kiest om een priemgetal als de modulo m te kiezen. (k - 1) deelbaar is door alle priemfactoren van m. (k - 1) een veelvoud van 4 is, wanneer m dit ook is. Verder is het dan ook van belang dat we een grote m kiezen, zodat de periode zo groot mogelijk wordt [3, p. 17]. De lineaire congruentiegenerator is niet heel sterk tegen aanvallen. Wanneer we meerdere opeenvolgende getallen in de reeks weten, kunnen we de modulo m en het getal k met een acceptabele hoeveelheid werk berekenen [4]. Er bestaan nog meer PRNG s, waarvan er sommigen sterker zijn dan de lineaire congruentiegenerator, dat wil zeggen dat de reeks getallen die ze genereren willekeuriger is. Toch is het nu wel duidelijk waarom we het gebruik van PRNG s in cryptografische toepassingen niet zomaar kunnen goedkeuren en dat de klasse Random geen echte random numbers oplevert. Andere bekende PRNG s zijn ook wel het Linear Feedback Shift Register en de Mersenne Twister. 4 True random number generators We hebben gezien dat de meeste PRNG s niet veilig zijn, omdat de waarden in de reeks te voorspellen zijn. Een voor de hand liggend alternatief lijkt om dan op zoek te gaan naar random number generators die écht willekeurig zijn. Deze worden de True Random Number Generators genoemd. Dit zijn random number generators die gebruik maken van fysische processen die willekeurig zijn om random numbers te genereren, door de resultaten van de processen te meten en ze te digitaliseren. Een goed voorbeeld van een dergelijk proces is radioactief verval. Dit is het proces waarbij er energie wordt uitgezonden wanneer de kern van een instabiel atoom ioniserende deeltjes uitzendt. Volgens de kwantumtheorie is het moment waarop er radioactief verval op zal treden onmogelijk om te voorspellen, wat dit proces tot een goede kandidaat maakt voor een TRNG. Een Geiger-teller kan worden gebruikt om de straling die wordt uitgezonden te meten. De fysische processen die bij TRNG s worden gebruikt kunnen ook simpele processen zijn zoals de toetsaanslagen op je computer of de bewegingen die met de muis worden gemaakt. Het proces dat wordt gekozen maakt echter wel uit 3

4 voor de betrouwbaarheid van de willekeurigheid. Toetsaanslagen worden in de praktijk bijvoorbeeld vaak gebufferd door de computer. Daarom komen er op hetzelfde moment meerdere toetsaanslagen aan die niet op hetzelfde moment zijn gemaakt, wat de willekeurigheid vermindert. [1] Men zou ook een niet-fysisch proces kunnen gebruiken zoals het opgooien van een dobbelsteen, wat een willekeurig proces is, maar in het algemeen wordt de voorkeur aan fysische processen gegeven omdat deze makkelijker te meten en te digitaliseren zijn. Een voorbeeld van een dienst die true random numbers genereert is random.org. Deze TRNG maakt gebruikt van het geluid in de atmosfeer, dat al gemeten kan worden met een simpele radio, en de kleine variaties hierin om zijn getallen te genereren. Een argument tegen het gebruik van fysische processen voor het genereren van random numbers is dat zelfs deze processen deterministisch zouden kunnen zijn, maar als ze dit zijn, beschikken we in elk geval niet over de rekenkracht om er een aanval tegen op te stellen. Met een willekeurig proces bedoelen we daarom ook vooral dat het proces voor een waarnemer willekeurig is. TRNG s kunnen dus een goede uitkomst bieden voor cryptografische toepassingen. Toch worden ze er niet altijd in gebruikt. Dit komt doordat het genereren van bits met een TRNG erg langzaam is. Een betere optie is om true random numbers te gebruiken als seed-values in een PRNG. 5 Secure random number generators Als PRNG s niet veilig genoeg zijn en TRNG s niet genoeg bits per seconde kunnen leveren, moeten we ergens anders de oplossing zoeken. Deze oplossing kunnen we vinden in de Secure Random Number Generators, SRNG s. Dit zijn eigenlijk PRNG s, maar ze moeten aan extra eisen voldoen om cryptografisch veilig genoemd te kunnen worden. Vele SRNG s maken gebruik van entropie, een maat voor de onzekerheid of willekeurigheid van informatie. De SRNG zorgt er dan voor dat de entropie als het ware over meerdere bits wordt uitgesmeerd, zodat een grotere bitreeks (bijna) willekeurig wordt. 5.1 Statistische testen Hoe bepalen we nu of een SRNG getallen produceert die voldoende willekeurig zijn? Er bestaan statistische testen die een reeks getallen kunnen evalueren op willekeurigheid. Echter is het lastig om met volledige zekerheid te zeggen dat een reeks getallen geheel random is. Voor elke statistische test die op de reeks wordt uitgevoerd kunnen we wel met steeds meer zekerheid zeggen dat de reeks random is. Statistische testen worden onderverdeeld in theoretische en empirische testen. Enkele bekende empirische testen zijn de Chi-squared test en de seriële test. [3] Een bitreeks kan alleen willekeurig zijn als er ongeveer evenveel nullen als enen 4

5 in voorkomen. De seriële test kijkt naar deze eigenschap, maar test dit ook voor bitstrings van maar dan 1 bit. Wanneer er twee bits zijn, moeten namelijk de bitstrings 00, 10, 01 en 11 ook ongeveer even vaak voorkomen. Bij een random bitreeks zou dit voor subreeksen van alle lengtes zo moeten zijn. Natuurlijk is een gelijk aantal enen en nullen niet afdoende argument voor willekeurigheid. Een bitreeks zou de test kunnen doorstaan, maar is helemaal niet willekeurig. Vandaar dat het ook nodig is om meerdere tests te doen. [5]. De chi-squared test test de frequenties van bepaalde gebeurtenissen en vergelijkt deze dan met die van een van tevoren berekende distributie die willekeurig gedrag weergeeft. Met de chi-squared test is het dus mogelijk om de waarschijnlijkheid te berekenen dat je resultaten echt willekeurig zijn. Een eis voor veiligheid of willekeurigheid van een SRNG is dat hij de next-bit - test kan doorstaan. Het mag niet mogelijk zijn, gegeven k gegenereerde bits, om de k + 1 ste bit in polynomiale tijd te berekenen met meer dan 50% kans op slagen. Het is bewezen dat als een SRNG deze test kan doorstaan, hij alle andere statistische tests ook zal doorstaan. [6] 5.2 Blum Blum Shub De Blum Blum Shub is een PRNG die cryptografisch veilig is en daarmee tot de SRNG s behoort. Deze SRNG is ontworpen door Lenore Blum, Manuel Blum en Michael Shub in Het algoritme is een recurrente betrekking in de volgende vorm: x n+1 = x n 2 mod m Hierbij is m het product van twee grote priemgetallen p en q. Met deze methode kunnen bitreeksen worden gemaakt die veel willekeuriger zijn dan die die met bijvoorbeeld de lineaire congruentie generator worden gemaakt. De Blum Blum Shub is echter niet erg efficiënt. De veiligheid van de Blum Blum Shub is gegarandeerd zolang het factorisatieprobleem niet kan worden opgelost [2]. 5.3 SecureRandom SecureRandom is een klasse in Java die een SRNG levert [7]. SecureRandom implementeert zelf niet een PRNG, maar maakt gebruik van al bestaande PRNG implementaties uit andere klasses zodat het random numbers kan genereren. SecureRandom kan worden gebruikt in combinatie met meerdere algoritmen als onderliggende PRNG. Dit algoritme moet dan de Service Provider Interface hebben geïmplementeerd om hiervoor gebruikt te kunnen worden. Het is dus mogelijk om zelf een algoritme te specificeren en hiervoor een SecureRandomobject te krijgen. Een veelgebruikt algoritme is de SHA1PRNG, een SRNG gebaseerd op het SHA1-algoritme. SecureRandom probeert de interne staat van de random number generator willekeurig te houden. Dit wordt gedaan met behulp van een generateseed() methode, waarmee de klasse zichzelf voedt met random bits. Het is ook mogelijk 5

6 voor een gebruiker om zelf seed-bits mee te geven, maar deze vullen altijd de bestaande seed-bits aan, zodat de willekeurigheid niet verminderd kan worden. Wat belangrijk is bij het gebruik van deze klasse, is dat er vaak genoeg nieuw random materiaal wordt gegenereerd en men dus periodiek de generateseed() methode aanroept, omdat de interne staat van de PRNG random moet blijven. Hoe zorgt SecureRandom ervoor dat de interne staat van de prng willekeurig blijft? Hiervoor wordt een entropy pool gebruikt. Waar de entropie vandaan komt, hangt af van het OS dat gebruikt wordt en het OS weet waar het de entropie vandaan kan halen. Het OS verzamelt de entropie en SecureRandom gebruikt dit op zijn beurt. Op systemen met Linux wordt er vaak vanuit het bestand /dev/random gelezen. SecureRandom werkt dan als een laag om de /dev/random heen zodat we bij de entropie kunnen die door het OS wordt aangeboden. Wanneer we dan generateseed() aanroepen, wordt de entropie in de entropy pool verminderd. Het is dus mogelijk dat de entropy pool leegraakt. Op Windows wordt vaak de Crypt- GenRandom() API-call gebruikt. SecureRandom gebruikt de entropie om heel willekeurige seed -waarden te maken waarmee de interne prng wordt gevoed. [8] Entropie kan worden verzameld vanuit allerlei willekeurige gebeurtenissen op de computer. Denk hierbij aan tijden tussen toetsaanslagen, ruis die via een microfoon binnenkomt, tijden tussen interrupts, timing van threads die toegang tot de processor krijgen, cpu-gebruik en de temperatuur in de computer, etc. Het is wel belangrijk om je te beseffen dat sommige gebeurtenissen alsnog niet helemaal willekeurig zijn en dat er dus een verschil bestaat in kwaliteit van de bron van entropie. Op Linux worden onder andere de volgende bronnen gebruikt voor het verzamelen van entropie: De activiteit van de muis en het toetsenbord I/O operaties op de disk Bepaalde interrupts Wanneer er zich bepaalde gebeurtenissen voordoen, wordt er een 32-bits woord gemaakt dat de tijd van de gebeurtenis representeert en een 32-bits woord dat de attributen van de gebeurtenissen weergeeft. Bij een toetsaanslag zou dit bijvoorbeeld kunnen zijn welke toets er is ingedrukt. [9] Op Windows wordt vaak de CryptGenRandom() interface gebruikt, die onder andere de volgende bronnen gebruikt voor het verzamelen van entropie: [10] De tick-count sinds de laatste boot CPU-performance en de data van de CPU counter Het huidige procesid 6

7 Het huidige threadid Het OS maakt gebruik van meerdere gebeurtenissen om de entropie-pool te vullen, maar daarmee kan het ook zijn dat deze leeg is wanneer we teveel van de entropie opvragen. Dit is mede een goede reden voor de manier waarop SecureRandom en andere SRNG s werken: de entropie wordt als het ware over meerdere bits uitgesmeerd, omdat het te langzaam zou zijn om alleen maar entropie te gebruiken als bitreeks. In dat geval zouden we, wanneer de entropypool leeg is, moeten wachten tot er weer voldoende entropie door het systeem verzameld is. 6 Conclusie We hebben verschillende soorten random number generators gezien. De pseudo random number generators zijn cryptografisch niet zo veilig, maar worden wel gebruikt wanneer efficiëntie nodig is. De true random number generators genereren echt willekeurige getallen, maar leveren daarvoor op het gebied van efficiëntie veel in. Daarom worden ze voor de meeste toepassingen toch niet gebruikt. De secure random number generators zijn beter geschikt voor cryptografische toepassingen en moeten statistische testen doorstaan voordat ze veilig genoemd mogen worden. De klassen Random en SecureRandom zijn respectievelijk een pseudo random number generator en een secure random number generator. De klasse SecureRandom maakt gebruikt van de entropie die in het systeem beschikbaar is om willekeurige getallen te genereren. Hoe het systeem aan entropie komt, verschilt per systeem. 7

8 Referenties [1] random.org. Introduction to randomness and random numbers. [2] Brian Stack. Cryptographically secure random number generators [3] Donald Knuth. The art of computer programming, volume 2. Addison Wesley Longman, [4] Neal R Wagner. The laws of cryptography: Pseudo random number generation [5] Kroigard en Danielsen Geisler. About random bits. [6] Andrew C. Yao. Theory and applications of trapdoor functions. [7] SecureRandom. [8] Amit Sethi for Cigital. Proper use of java s securerandom. [9] Gutterman en Pinkas en Reinman. Analysis of the linux random number generator. [10] Microsoft. Cryptgenrandom function. 8