Kryptographisch sicherer Zufallszahlengenerator

Ein kryptographisch sicherer Zufallszahlengenerator (auch kryptographisch geeigneter Zufallszahlengenerator, bzw. englisch cryptographically secure pseudo-random number generator (CSPRNG)) ist ein für die Kryptologie geeigneter Generator für Pseudozufallszahlen. Solche Zufallszahlen werden in vielen Bereichen der Kryptologie benötigt, wie zum Beispiel bei:

• der Schlüsselgenerierung
• einmal genutzten Nonces (zufällige Bytefolgen)
• Stromverschlüsselung
• Salt

Die Qualitätsanforderungen für die Zufälligkeit solcher Zahlen sind sehr unterschiedlich. Für Nonces genügt es, die Einmaligkeit der Zahl im Zufallsexperiment zu garantieren; für die Erstellung eines Hauptschlüssels oder sogar eines One-Time-Pads sind die Anforderungen an die Zahl ungleich höher. So bleibt ein One-Time-Pad in der Theorie nur unknackbar, wenn er aus natürlichen Zufallszahlen erstellt wurde.

Grundsätzlich sind für einen CSPRNG dieselben Voraussetzungen wie für einen normalen Pseudozufallszahlengenerator vonnöten, allerdings müssen für die Sicherheit noch einige zusätzliche Bedingungen erfüllt sein. Zum einen darf die von ihm erzeugte Zahlenfolge nicht von einer echten Zufallszahlenfolge unterscheidbar sein. Zum anderen darf es nicht möglich sein, anhand der Ausgabe des Generators auf seinen internen Zustand zu schließen, auch wenn die genaue Funktionsweise bekannt ist.

Das BSI spezifiziert Anforderungen an Zufallszahlengeneratoren zur Verwendung in Projekten der Bundesregierung in der technischen Richtlinie BSI TR-03116 und teilt diese in Funktionsklassen ein. Im Wesentlichen werden dort physikalische echte (Klassen PTG.2, PTG.3) und nicht-physikalische echte Zufallszahlengeneratoren (Klasse NTG.1) von deterministischen bzw. pseudo Zufallszahlengeneratoren (Klassen DRG.2, DRG.3) unterschieden. Jene in den Klassen PTG.3 und NTG.1 verarbeiten die gewonnene Entropie wiederum mit einem deterministischen Zufallszahlengenerator der Klasse DRG.3 und sind somit als hybride Zufallszahlengeneratoren anzusehen. Die ehemaligen Klassen PTG.1 und DRG.1 finden seit 2022 keine Beachtung mehr.

Nichtdeterministische CSRNG

Im Idealfall wird die Erstellung von Zufallszahlen durch eine nicht deterministische Entropiequelle gespeist. Das kann zum Beispiel ein hardwarebasierter Zufallsgenerator sein oder auch ein hybrider Generator. Für kryptologische Anwendungen sollten nicht-deterministische Generatoren verwendet werden, denn nur bei diesen kann garantiert werden, dass sie nicht reproduzierbar oder vorhersagbar sind.

Eine Herausforderung bei virtualisierten Umgebungen ist die Verfügbarkeit von Entropiequellen, mit denen Zufallszahlen von ausreichender Qualität für kryptographische Anwendungen bereitgestellt werden können. Prinzipiell ist in virtualisierten Umgebungen eine Entropieversorgung mit denselben Methoden wie auf physischen Maschinen möglich, allerdings gibt es Qualitätsunterschiede je nach verwendeter Entropiequelle. Ein mögliches Problem ist die Qualität der Zufallszahlen kurz nach dem Systemstart.

Siehe auch: Physikalischer Zufallszahlengenerator

Deterministische CS(P)RNG

In der Regel ist der Einsatz eines nichtdeterministischen Generators nicht möglich oder zu ineffizient. Dessen Datenstrom wäre auch nicht wiederholbar, was je nach Anwendung erforderlich sein kann. Darum nutzt man häufig einen deterministischen, kryptologisch sicheren Pseudozufallszahlengenerator. Ein solcher basiert entweder auf einem kryptographischen Primitiv wie einer Block- oder Stromverschlüsselung oder einer sicheren Hash-Funktion, oder auf mathematisch schwierigen, also nach aktuellem Kenntnisstand nicht in realistischer Zeit lösbaren Problemen.

Auf kryptographischen Primitiven basierende Generatoren

Ein kryptographisches Primitiv, also eine Verschlüsselungs- oder Hashfunktion, wird entweder im Counter- oder im Output-Feedback-Modus betrieben. Hierbei darf es nicht möglich sein, den Anfangszustand des Generators herauszufinden. Den internen Zustand des Generators zu ermitteln, ist dann gleichbedeutend damit, das zugrundeliegende Primitiv selbst zu brechen.

Der hierbei generierte Datenstrom ist kryptologisch sicher und pseudozufällig (soweit es auch das verwendete Primitiv garantiert). Generatoren, die auf bewährten Funktionen, wie z. B. AES oder SHA-1 basieren, bestehen alle gängigen statistischen Tests auf Zufälligkeit.

Auf zahlentheoretischen Problemen basierende Generatoren

Die Sicherheit des Blum-Blum-Shub-Generators beruht auf der Annahme, dass die Primfaktorzerlegung von natürlichen Zahlen ein schwieriges Problem ist, das nicht in Polynomialzeit gelöst werden kann.

Tests auf Zufälligkeit

FIPS 140

In diesem US-Standard ist eine Test-Suite für CSPRNG aufgeführt. Dazu werden 20000 Ausgabebits verschiedenen statistischen Tests unterworfen:

• Monobit-Test
• Pokertest
• Run-Test
• Long-Run-Test (ein Run mit >34 Bits fällt durch)

Maurers Universaltest

Die Idee hinter diesem Test ist, dass es nicht möglich sein sollte, eine Zufallszahlenfolge signifikant zu komprimieren.

Diehard-Tests

→ Hauptartikel: Diehard

Umfangreiche Testsuite, u. a.:

Birthday Spacings Test (Geburtstagsabstände)

wählt zufällige Punkte auf einem Intervall. Diese sollten Poisson-verteilt sein. Das Prinzip des Tests ist verwandt mit dem Geburtstagsparadox.

Overlapping Permutations (überlappende Permutationen)

untersucht jeweils fünf aufeinanderfolgende (Integer-)Zahlen auf Gleichverteilung. Diese können 5!=120 verschiedene Anordnungen haben, die gleich wahrscheinlich sind.

Binary Rank Test (binärer Rangtest)

bildet aus den Bits der zu testenden Zahlenfolge zufällige Matrizen, berechnet deren Ränge. Darauf wird ein Chi-Quadrat-Test angewandt.

Bitstream Test (Bitfolgen-Test)

betrachtet die zu testende Zahlenfolge als Bitfolgen aus jeweils 20-Bit-„Worten“, die sich überlappen. Es gibt 2²¹ sich überlappende 20-Bit-Worte und 2²⁰ mögliche 20-Bit-Worte. Der Test zählt die fehlenden 20-Bit-Worte. Diese sollten annähernd normalverteilt sein.

Count-The-1s Test (Zähle die Einsen)

untersucht Bytefolgen. Er zählt die „1“-Bits in den Bytefolgen und vergleicht die erhaltenen Werte mit den statistisch zu erwartenden Werten.

Parking Lot Test (Parkplatztest)

platziert zufällig Einheitskreise in ein 100×100-Quadrat. Ein Kreis gilt als erfolgreich geparkt, wenn es keine Überlappung mit einem bereits erfolgreich geparkten Kreis gibt. Die Anzahl der erfolgreich geparkten Kreise nach n=12000 Versuchen sollte annähernd normalverteilt sein.

Minimum Distance Test (Minimaler Abstand)

platziert n=8000 Punkte in ein 10000×10000-Punkte-Quadrat. Dann wird der kleinste Abstand zwischen den Punktepaaren bestimmt. Das Quadrat dieser Abstände sollte exponentialverteilt sein.

3D Spheres Test (3D-Kugel-Test)

platziert n=4000 Punkte in einen Würfel der Kantenlänge 1000. Danach wird um jeden Punkt eine Kugel gebildet. Der Radius dieser Kugeln ist der Abstand zwischen dem Mittelpunkt und dem jeweils nächstgelegenen Punkt. Die sich so ergebenden Kugelvolumen sollten einer Exponentialverteilung folgen.

Runs Test

entnimmt n Kugeln aus einer Urne mit zwei verschiedenen Kugelsorten. Gleichfarbige nacheinanderfolgend gezogene Kugeln werden zu einem Zug („Run“) zusammengefasst. Die Anzahl der übriggebliebenen Züge soll der einer echten Zufallsziehung zur gegebenen Länge n entsprechen.

Craps Test

wendet eine Teststatistik auf 200000 Craps-Spiele an.

Standards

Viele Designs von CSPRNGs wurden standardisiert und sind dokumentiert in:

• FIPS 186-2 (veraltet)
• ANSI X9.17-1985 Appendix C
• ANSI X9.31-1998 Appendix A.2.4
• ANSI X9.62-1998 Annex A.4

Siehe auch

• Liste von Zufallszahlengeneratoren

Literatur

• Alfred J. Menezes, Paul C. van Oorschot, Scott A. Vanstone: Handbook of Applied Cryptography. CRC Press, Boca Raton FL u. a. 1997, ISBN 0-8493-8523-7 (CRC Press Series on Discrete Mathematics and its Applications), Kapitel 5.

Weblinks

• Random Number Generation. NIST Computer Security Division (englisch) – Referenz für CSPRNG
• Testsuite
• Diehard Testsuite
• @1@2Vorlage:Toter Link/users.telenet.beZufallszahlengenerator zur Erzeugung von One-Time-Pads (englisch) (Seite nicht mehr abrufbar, festgestellt im August 2024. Suche in Webarchiven)