10.3. 乱数

PRNG が本当に危険なのは、コンピュータ言語のライブラリの大半に、擬似乱数発生器 (PRNG)が備わっている点にあります。これはセキュリティ用には不適切です。 繰り返しましょう。 標準的な乱数発生器をセキュリティ用に利用しないでください。 標準的な PRNG ライブラリはシミュレータやゲーム向け等に使われるもので、 鍵生成のようなセキュリティ向けのランダムさを十分に持ち合わせて いません。 暗号化していない PRNG ライブラリは、「線形合同法を用いた発生器」系が多く、 「次の」ランダムな値は「(aX+b)?od?」(X は以前の値)として計算 されます。 線形合同法を用いた発生器として優れていれば、高速で有効な統計的特性 を持ち、目的とするところにぴったり当てはまります。 そのような PRNG の問題点は、攻撃者が先々の値を簡単に推論できる点にあります (ランダムに現れたとしても)。 乱数を素早く生成する二次生成器や三次生成器のようなその他のアルゴリズムも やられてしまいます[Schneier 1996]。 つまり、安全が必要なアプリケーションでは、暗号的に強固な PRNG を利用して、乱数 を生成しなければいけません。一般的な乱数ライブラリでは十分ではありません。

鍵用に真の乱数を正しく生成できないと、問題がいろいろ発生します。Kerberos や X Window System、NFS のセキュリティホールがそれです[Venema 1996]。

できるだけ、システムに用意されているサービスを使うべきです(一般的には オペレーティングシステムが用意しているもの)。そのようなサービスは、 安全な乱数を提供できるように特に設計して作られているからです。 たとえば、Linux カーネル(1.3.30 から)は乱数生成器を持っていて、セキュリティ用 に十分対応できます。 この乱数生成器は、周囲で発生するノイズをデバイスドライバや他の情報源から 収集して、エントロピー・プールに収めます。 /dev/random にアクセスするとエントロピー・プールにあるノイズから推定 されたビット数の範囲でだけ、ランダムな値が返されてきます(エントロピー・ プールが空の場合は、周囲からノイズが集まってくるまで、呼び出しをブロック します)。 /dev/urandom でアクセスして、大きな値を要求すると、エントロピー・プール が使い果たされても値が返ってきます。 乱数を暗号化の目的で利用するなら(たとえばキーの生成のため)、/dev/random を 使ってください。 BSD系 システムも /dev/random を持っています。 Solaris は SUNWski パッケージで /dev/random を用意しています。 ハードウェアの乱数生成器が利用可能なら、ドライバをインストールしてかわりに 利用してください。 さらに詳しい情報は、システムにあるオンラインマニュアルの random(4)を参照 してください。