Random number generators

Transcriptie

1 Random number generators Marijke Bodlaender februari Inleiding 1.1 Doel Voor de cryptografie is het gebruik van goede random generators voor het genereren van keys cruciaal. Er zijn verschillende generatoren van random getallen bekend maar niet alles wat bruikbaar is voor software is ook bruikbaar voor de cryptografie, andersom is dit overigens, afgezien van eventuele tijdsbeperkingen, wel het geval. 1.2 True versus pseudo random number generators Random number generators zijn grofweg in twee verschillende groepen op te delen, true random number generators en pseudo random number generators. De eerste groep random number generators maakt gebruik van niet te voorspellen fysische verschijnselen om random bits mee te produceren, hierbij kan gedacht worden aan het verval van radioactief materiaal, of de noise van een transistor. Ook het ouderwetse gooien met een dobbelsteen en het gooien van een munt horen onder deze categorie. De pseudo random number generators zijn veelgebruikt in dagelijkse applicaties. Deze generators zijn niet gebaseerd op speciale hardware maar op software. Een computer kan alleen maar determinitsisch rekenen en daarom is het niet mogelijk om een ware random string met bits te genereren zonder het gebruikt van speciale hardware. Een pseudo random generator rekent dat ook een rij van getallen uit die er random uit ziet maar zichzelf na (zeer lange) tijd zal gaan herhalen. De meeste random generatoren uit deze klasse zijn ongeschikt voor alle mogelijke toepassingen binnen de cryptografie, enkele zijn wel voor enkele cryptografische toepassingen bruikbaar. Daarom en omdat ze belangrijk zijn voor het genereren van random getallen op zich zullen ze behandeld worden. 2 Pseudo random number generators Een van de eerste pseudo random number generators was ontworpen door John von Neumann en is bekend als de middle square method. Von Neumann nam als startwaarde, de zogeheten seed, een getal met 10 cijfers. Dit getal kwadrateerde hij waarna de volgende 10 cijfers de output waren. Dit kon weer gekwadrateerd worden, enzovoorts. Zoals vermoed kan worden was deze methode net 1

2 erg goed, een verkeerde beginstaat kan erg snel zichzelf gaan herhalen. Maar voor die tijd waarin nog lang met ponskaarten gewerkt zou worden was het voldoende omdat het snel was en de fouten vaak zo spectaculair waren dat ze er makkelijk uitgehaald konden worden. 2.1 De linear congruential method Een andere oude maar op zich aanmerkelijk betere methode voor het generen van random getallen is verzonnen door D.H. Lehmer in Zijn algoritme is met een aantal aanpassingen erg veel gebruikt. Er wordt een rij getallen gegenereerd met de volgende recurrente betrekking: Met: m > 0, de modulus 0 a < m, de multiplier 0 c < m, de increment X n+1 = (ax n + c) 0 X 0 < m de startwaarde (ook wel seed) mod m In het originele algoritme van Lehmer is overigens c = 0, als dit het geval is zijn de eisen op de overige parameters wat strenger maar is de berekening sneller wat in de tijd van Lehmer nog erg belangrijk kon zijn. Als c = 0 heet de generator overigens een Park-Miller generator. Met zomaar getallen voor a en m hebben we overigens nog geen goede random generator, naast dat de periode heel kort zou kunnen worden als we getallen verkeerd kiezen kan ook de rij gewoon minder mooi worden zoals het volgende voorbeeldje laat zien: Neem bijvoorbeeld a = 6 en m = 13. Als X 0 = 1 dan is X 1 = 1 6 mod 13 = 6 en X 2 = 6 6 mod 13 = 10 en de resulterende rij met uitkomsten wordt: 1, 6, 10, 8, 9, 2, 12, 7, 3, 5, 4, 11, 1... waarna deze rij weer wordt herhaald als de seed weer voorkomt. Als we een andere seed hadden genomen was precies dezelfde rij eruit gekomen maar dan op een andere plek begonnen. Als er een andere multiplier was gekozen, bijvoorbeeld 7 dan had de rij er wel anders uitgezien: 1, 7, 10, 5, 9, 11, 12, 6, 3, 8, 4, 2, 1 welke er een stuk minder random uitziet. In de volgende stelling staat waaraan voldoen moet worden om de maximale periode te bereiken: Stelling 1. De linear congruential sequence gedefinieerd door m, a, c en X 0 heeft een periode met lengte m dan en slechts dan 1. c is relatief priem aan m; 2. b = a 1 is een veelvoud van p, voor elk priemgetal p dat een deler is van m; 3. b is een veelvoud van 4 als m een veelvoud van 4 is. Deze random generator is ondanks zijn bruikbaarheid in normale applicaties (bijvoorbeeld implementaties van quicksort of andere randomized algoritmen) onbetrouwbaar voor cryptografische toepassingen. Als de aanvaller de output kan zien kan hij met lineaire vergelijkingen uiteindelijk ook de seed en de verschillende parameters achterhalen, zie ook voor methodes om dat te doen. 2

3 2.2 Blum Blum Shub en andere generatoren Blum Blum Shub is een pseudorandom generator die in 1986 door Lenore Blum, Manuel Blum and Michael Shub is gepubliceerd, de generatie van random getallen lijkt wel op die van LCG. Het grote verschil is echter dat deze random number generator als een van de weinige statistische random number generators cryptografisch bruikbaar is. De getallen worden gegenereerd met de volgende recurrente betrekking: x n+1 = x 2 n mod M Hierbij is M een samengesteld getal uit grote priemgetallen p en q. Verder moeten p en q beiden congruent zijn aan 3 mod 4 en gcd(φ(p 1), φ(q 1)) moet klein zijn om de lengte van de cycel groot te laten zijn. De uiteindelijke output van de generator is meestal de bit pariteit van x n+1 of een of meer van de minst significante bits. Deze generator is cryptografisch wel bruikbaar omdat uit de output niet zomaar de verdere output kan worden afgeleid. Hij is echter wel erg langzaam, maar meestal maakt dat voor cryptografische doeleinden niet ze heel veel uit. Er zijn vele andere pseudo random number generatoren die in meer maar vooral mindere mate geschikt zijn voor cryptografische doeleinden, een pseudo random number generator is geschikt als een aanvaller met kennis van de eerdere bitrij de volgende bit niet kan raden met een kans > 0.5. Als dit wel het geval is zou een aanvaller dit namelijk kunnen gebruiken om de key te kraken. Pseudo random generators een uitkomst kunnen bieden is als een true random generator niet genoeg entropie heeft kunnen genereren. Pseudo random generators kunnen dan gebruikt worden om de gevonden random bitrij langer te maken, dit zal echter geen entropie (onvoorspelbaarheid) toevoegen maar wel de entropie die er al is zo goed mogelijk gebruiken om een langere key te maken. 3 Ware number generators Echte randomness komt niet zomaar uit de berekeningen van de processor gerold, daarvoor zijn echte random processen nodig die input leveren, er zijn gelukkig veel manieren bekend om hier aan te komen. Tot de jaren 50 van de vorige eeuw waren de enige manieren om random getallen te genereren langzaam en handmatig zoals het gooien met dobbelstenen of het trekken van ballen met nummers erop zoals nu nog steeds bij de lotto gebeurt. Deze methoden zijn onbruikbaar in geautomatiseerde applicaties omdat het te lang duurt. Op 29 april 1947 begon RAND corporation met het generen van random bits met behulp van een elektronisch roulette wiel dat ongeveer 1 getal per seconde genereerde. Na het genereren van de getallen zijn er nog een aantal veranderingen aan doorgevoerd zoals het optellen van de verschillende getallen modulo 10 om de reeks nog willekeuriger te krijgen. Deze reeks van een miljoen getallen is gepubliceerd in een boek dat toen het uitkwam in 1955 een doorbraak was in het generen van random getallen. [8] Volgens de theoretische natuurkunde zijn er maar twee bronnen van echte fysische willekeurigheid, dit is zijn quantummechanische effecten op het niveau van atomen en lager en de zogeheten thermische ruis (thermal noise). Dit laatste is kort uitgelegd ruis die ontstaat door de warmtebewegingen van deeltjes (denk 3

4 hierbij bijvoorbeeld aan vrije moleculen in een gas). Enkele voorbeelden van true random number generators : Het opvangen van quantummechanische random effecten kan vrij moeilijk zijn, een vrij voor de hand liggend methode is het opvangen van radioactief verval. Dit kan gedaan worden bijvoorbeeld een Geiger-Mueller teller op een computer aan te sluiten en een licht radioactieve bron (sommige brandmelder werken)in de buurt te zetten. Hierbij kan een random bit gegenereerd worden door de twee intervallen tussen drie pulsen te meten en als T 12 > T 23 de bit 0 ten maken en 1 als T 12 < T 23. Thermische ruis is iets makkelijker op te vangen. De thermische ruis van een resistor, een simpel component van elektronica, kan bijvoorbeeld gebruikt worden die versterkt een random voltage bron kan zijn. Een andere redelijk bruikbare random number generator maakt gebruik van de zogeheten clock shift. Hierbij wordt gebruik gemaakt van het feit dat klokken nooit precies exact kunnen lopen. Voor deze random generator worden bijvoorbeeld twee zogeheten clock crystals gebruikt, dit zijn kristallen die gebruikt worden in klokken en horloges. Deze kristallen zijn op een bepaalde manier geslepen waardoor ze een specifieke trilling met een vaste frequentie hebben die nauwelijks door de temperatuur en spanning beïnvloed wordt waardoor het gebruikt kan worden om de tijd te meten. Een van de gebruikte klok kristallen is is sneller dan de andere, bijvoorbeeld 100 tikken per seconde versus 10 6 tikken per seconde. Voor elke tik van de slome klok zal de sneller klok ongeveer keer tikken, maar omdat de klokken niet precies kunnen zijn zal dit aantal steeds een klein beetje verschillen. Door het aantal tikken van de snelle klok te meten in de tijd van één tik van de langzame klok en een 0 te kiezen als het aantal tikken even is en een 1 als het aantal tikken oneven is kan een redelijk goede random bitstring gemaakt worden. Door in plaats van zomaar twee klok kristallen de timer tick van het operating systeem van de computer te nemen en die te vergelijken met de snelheid van de CPU kan met bestaande hardware een random bitstring gemaakt worden. Dit is alleen een echt goede random bitstring als de timer en de CPU wel daadwerkelijk verschillende klok kristallen gebruiken. Gebruikersinput kan ook gebruikt worden om random getallen te genereren. Zo wordt in voor het genereren van een PGP key aan de gebruiker gevraagd om 30 seconden random op het toetsenbord toetsen aan te slaan, waarbij de tijden tussen verschillende toetsaanslagen worden gemeten. Het meten van de runtijd, tijd, proces id s van programma s en andere proces statistieken in de computer. Deze manier is in het verleden wel gebruikt, bijvoorbeeld in de implementatie van SSL in de browser van Netscape, maar is niet goed bruikbaar. De tijd van het aanmaken van zo n SSL verbinding kan bijvoorbeeld tot op de seconde kan worden achterhaald door het sniffen van packets en ook de pid s en ppid s (process id van de parent) kunnen voor een groot deel kunnen worden geraden of achterhaald. Dit laat nog maar relatief weinig mogelijke waarden over en maakt het dus mogelijk om de overige mogelijkheden te brute forcen. Dit is destijds ook 4

5 gebeurd met Netscape1.1 dat in 1996 is gekraakt door Ian Goldberg en David Wagner. [5] Als we dan een rij met random bits hebben zijn we nog niet klaar. Wat van belang is bij de rij met random bits is het aantal echt niet te raden bits die er zijn gegenereerd, de zogeheten entropie. Als een rij bits bijvoorbeeld een bias heeft (er zijn dan niet evenveel nullen als enen) is de entropie bijvoorbeeld lager. In 1951 heeft John von Neumann een simpel algoritme ontworpen dat de bias uit een rij met bits haalt, dit algoritme werkt als volgt: 1. Als de input 00 of 11 is wordt deze weggegooid. 2. Als de input 10 is, is de output Als de input 01 is, is de output 0. Een nadeel van dit algoritme is dat er vrij veel data (ongeveer 75% van unbiased data) verloren gaat. Dit hoeft geen probleem te zijn als de generator snel genoeg is. Een wat zuiniger manier die de entropie beter bewaart is het hashen van de gevonden bits met een cryptografisch sterke hash als MD5 of SHA. Hierbij wordt elke output bit van de hash functioneel afhankelijk van alle input bits en functioneel onafhankelijk van alle output bits. Dit is echter wel afhankelijk van de kwaliteit van de hash en er is vaak weinig theoretische basis. Weer een andere methode is om de bitstring te XOR en met de output van een cryptografisch goede PRNG of een stream cipher. Als er zoiets voorhanden is is dit een goede en goedkope manier om de bias uit de data te halen. 4 Testen Hierom is het handig om random sequences, zeker als ze veel gebruikt gaan worden, uitgebreid te testen, dit is zeker van belang bij PRNG s maar ook voor sommige true random number generatoren kan het soms geen kwaad om te kijken of ze nog goed zijn, zo kunnen random generatoren die afhangen van het verval van een rookmelder na een tijdje slechter worden omdat de radioactieve stof in de rookmelder op is. Er zijn ontzettend veel testen bekend om random rijen te beoordelen, een kleine greep uit de verzameling: GCD test, Gorilla test, Birthday Spacings test, collision test, frequency test, spectral test, etc. Donald knuth heeft in zijn boek The Art of Computer Programming [6] een flink aantal tests beschreven en ook belangrijk is de Diehard Battery of Tests of Randomness, een twaalftal tests verzameld en ontwikkeld door George Marsalia en in 1995 op CDROM uitgebracht. Omdat het niet mogelijk is alle testen te bespreken is hier een selectie met enkele interessantere testen: De Gorilla test: Dit is een van de zogeheten Monkey tests. Het idee is om de random sequence te vergelijken met een aap die random op een typemachine aan het tikken is. Stel de aap tikt letters uit het alfabet op een typemachine door uniform verdeelde reële getallen uit [0,1) te generen met de linear congruential sequence I = I mod De letters uit het alfabet zijn de integer waarden uit de reële getallen die onstaan om de output van I maal 26 te doen. Nu is het idee om te testen op het voorkomen van een k-letterwoord, bijvoorbeeld CAT. Omdat er 26 3 =

6 verschillende drieletterwoorden bestaan is de verwachte tijd voordat CAT voor het eerst gespeld wordt ongeveer en is de tijd ongeveer exponentieel gedistribueerd. Deze lineair congruentionele aap vindt CAT voor het eerst na letters en daarna weer na letters en voor de derde keer na letters. De Gorilla test is een vrij sterke versie van een monkey test. Voor een 32 bits getallen producerende generator kies één bit van de 32 uit, zegge de op i na meest significante bit (die staat dan ook op plek i) om te bekijken. Vorm een rij van bits met de te bekijken bits uit de eerste integers uit de output van de generator. Als x het aantal woorden van 26 bits lang is dat niet voorkomt in de rij dan zou x ongeveer normaal gedistribueerd moeten zijn met een gemiddelde van en een standaarddeviatie van En dus zou Φ((x )/4170) standaard gedistribueerd moeten zijn en dus makkelijk te testen door het te vergelijken met de standaard normaal verdeling. Dit wordt simpelweg voor elke bit in het getal gecheckt. Voor de test moeten dus ( ) random getallen worden gegenereerd. Daarna wordt er een string gemaakt van bits lang door de te bestuderen bit, bijvoorbeeld in dit geval bit 5, uit elk 32 bits getal te nemen en in de string te zetten. Uit die string tellen we het aantal 26-bits strings die niet voorkomen, we noemen dit aantal x. Omdat deze aantallen normaal verdeeld moeten zijn met een gemiddelde van en een standaard deviatie van 4170 rekenen we (x )/4170 uit wat we met behulp van een standaard tabel kunnen omrekenen naar uniform verdeelde waarden in [0, 1). Deze zogeheten p-waarden van alle bits uit de 32 bits getallen kunnen we op deze manier omrekenen naar een p waarden waarna we een met een zogeheten Anderson-Darling-Kolmogorov-Smirnov test ook daadwerkelijk kunnen verifieren of deze verdeling klopt. De Birthday spacing test: Deze test maakt heel in de verte een beetje gebruik van de zogeheten verjaardagsstelling. Dit is het feit dat een willekeurig gekozen groep mensen erg makkelijk een overlappende verjaardag heeft, je hebt uitgaande van een jaar met 365 dagen maar 23 mensen nodig in de groep om een kans van meer dan 50% te hebben op minstens één overlappende verjaardag. Voor de test wordt gebruikt, als m verjaardagen random gekozen worden uit een jaar met n dagen dan zal het aantal meer dan eens voorkomende afstanden tussen de gesorteerde verjaardagen asymptotisch Poisson verdeeld zijn met parameter λ = m 3 /4n. De test is om te checken of dit ook daadwerkelijk klopt. Een andere test die niet ongenoemd mag blijven is de zogeheten Spectral test. Deze test is helaas vrij ingewikkeld en wordt daarom hier niet nader uitgelegd. Volgens Knuth is deze test een van de belangrijkste, zo niet de belangrijkste test voor pseudo random generatoren omdat niet alleen alle goede generatoren de test halen ook alle bekend slechte generatoren de test niet halen. Voor meer informatie verwijs ik wederom graag door naar The Art of Computer Programming.[6] 6

7 Referenties [1] En gelinkte artikelen, vooral om een overzicht te krijgen om te beginnen. [2] Monkey tests for random number generators. From an article in Computers & Mathematics with applications, 9, 1-10, 1993, pub/diehard/cdrom/pscript/monkey.ps. [3] Paul Kocher Benjamin Jun. The intel random number generator. Technical report, Cryptography Research, Inc and Intel Corporation, April [4] S. Crocker D. Eastlake, J.Schiller. Randomness requirements for security [5] Ian Goldberg and David Wagner. Randomness and the netscape browser. Dr. Bobb s journal, January [6] Donald E. Knuth. The art of computer programming, volume 2 (3rd ed.): seminumerical algorithms. Addison-Wesley Longman Publishing Co., Inc., Boston, MA, USA, [7] Stephen K. Park and Keith W. Miller. Random number generators: Good ones are hard to find. Commun. ACM, 31(10): , [8] Rand Corporation. A Million Random Digits With 100,000 Normal Deviates. Free Press, Glencoe, IL, USA, [9] Wai Wan Tsang and George Marsaglia. Some difficult-to-pass tests of randomness. Journal of Statistical Software, 7(03),