Loading article…
Unix系 オペレーティングシステムでは、/dev/randomと/dev/urandom は暗号的に安全な疑似乱数生成器(CSPRNG)として機能する特別なファイルです。これらにより、デバイスドライバーやその他のソースから収集された環境ノイズからのエントロピー(ランダム性を提供する値)をシードとするCSPRNGにアクセスできます。[1] /dev/random は通常、要求されたエントロピーよりも少ないエントロピーが利用可能な場合にブロックされます。最近では (オペレーティングシステム間の違いについては以下を参照)、十分なエントロピーが収集されるまで起動時にブロックされ、その後ブロックが永久に解除されることがよくあります。/dev/urandomデバイスは通常、疑似乱数生成器のシードが起動時からエントロピーで完全に初期化されていない場合でも、ブロッキングデバイスになることはありませんでした。すべてのオペレーティングシステムが/dev/randomと/dev/urandomに対して同じ方法を実装しているわけではありません。
この特別なファイルは1994年にLinuxで誕生しました。その後すぐに他のUnix系オペレーティングシステムにも採用されました。[2]
リナックス
Linuxカーネルは、/dev/randomと/dev/urandomという別々のデバイスファイルを提供しています。2020年のカーネルバージョン5.6以降、/dev/randomはCSPRNGが初期化されていない場合にのみブロックされます。初期化されると、/dev/randomと/dev/urandomは同じように動作します。[3]
2016年10月、 Linuxカーネルバージョン4.8のリリースに伴い、カーネルの/dev/urandomは、 Bernsteinの評価の高いストリーム暗号ChaCha20をベースにしたTheodore Ts'oによるChaCha20ベースの暗号擬似乱数生成器(CPRNG)実装[4]に切り替えられました。
Linuxカーネルのバージョン5.17以降、乱数ジェネレーターはエントロピーコレクターのSHA-1 暗号ハッシュ関数から、より新しく、より高速で、より安全なハッシュ関数であるBLAKE2sに切り替えました。 [5]
オリジナルの実装
カーネル空間での乱数生成は、1994年にTheodore Ts'oによってLinux [2]向けに初めて実装されました。[6] この実装では、生成器が最初に設計されたときに施行されていた暗号輸出規制を回避するために、暗号ではなく安全なハッシュが使用されました[説明が必要]。また、この実装は、ハッシュや暗号が最終的には弱いことが判明する可能性があるという前提で設計されているため、そのような弱点に直面しても設計は耐久性があります。プールの侵害からの迅速な回復は要件とは見なされていません。プールの侵害の要件は、オペレーティングシステムの無関係な部分へのはるかに簡単で直接的な攻撃には十分であるためです。
Ts'o の実装では、ジェネレータはエントロピー プール内のノイズのビット数の推定値を保持します。このエントロピー プールから乱数が生成されます。読み取り時に、/dev/randomデバイスはエントロピー プール内のノイズのビット数の推定値の範囲内でランダム バイトのみを返します。エントロピー プールが空の場合、/dev/randomからの読み取りは追加の環境ノイズが収集されるまでブロックされます。[7]その目的は、暗号的に安全な疑似乱数ジェネレータとして機能し、可能な限り大きなエントロピーで出力を提供することです。著者は、これを高価値または長期保護用の暗号キーの生成に使用することを提案しています。[7]
/dev/randomの対極にあるのが/dev/urandom (「無制限」[8] /非ブロッキングランダムソース[7] )で、これは内部プールを再利用して疑似乱数ビットをさらに生成します。つまり、呼び出しはブロックされませんが、出力には/dev/randomからの対応する読み取りよりも少ないエントロピーが含まれる可能性があります。/dev/urandomは、ほとんどの暗号化目的に適した疑似乱数ジェネレーターとして意図されていますが、対応するマニュアルページの著者は、理論的には/dev/urandomで使用されるアルゴリズムに対する未公開の攻撃が存在する可能性があり、そのような攻撃を懸念するユーザーは代わりに/dev/random を使用する必要があると述べています。[7]ただし、エントロピープールが予測不可能になると、ビット数が減少してもセキュリティが漏洩しないため、そのような攻撃が発生する可能性は低いです。[9]
/dev/randomに書き込むこともできます。これにより、どのユーザーでもプールにランダム データを混ぜることができます。権限のあるユーザーだけがエントロピー推定値を増やすために必要なioctl を発行できるため、ランダムでないデータは無害です。 [疑わしい–議論する]現在のエントロピー量と Linux カーネル エントロピー プールのサイズは、どちらもビット単位で測定され、/proc/sys/kernel/random/で使用でき、それぞれ コマンドと で表示できます。
cat /proc/sys/kernel/random/entropy_availcat /proc/sys/kernel/random/poolsize
エントロピー注入
Gutterman、Pinkas、および Reinman は 2006 年 3 月に Linux 乱数ジェネレータの詳細な暗号分析[10]を発表し、いくつかの弱点について説明しています。彼らが報告する最も深刻な問題は、おそらく、ルータやディスクレス クライアントなどの組み込みシステムまたはLive CDシステムで、起動時の状態が予測可能で、環境から利用できるエントロピーの供給が限られている可能性があるというものです。不揮発性メモリを備えたシステムの場合、彼らは、シャットダウン時に RNG からいくつかの状態を保存して、次回の再起動時に RNG 状態に含めることができるようにすることを推奨しています。ネットワーク トラフィックがエントロピーの主な利用可能なソースであるルータの場合、再起動をまたいで状態を保存するには、「潜在的な攻撃者がルータが最初にサービスを開始したときからすべてのネットワーク トラフィックを盗聴するか、ルータの内部状態に直接アクセスする必要がある」と彼らは指摘しています。この問題は、ネットワーク トラフィックを遠くからキャプチャでき、RNG を使用してデータ暗号化用のキーを生成する可能性のあるワイヤレス ルータの場合に特に重大であると彼らは指摘しています。
Linuxカーネルは、インストールされている場合、いくつかのハードウェア乱数ジェネレータをサポートしています。そのようなデバイスの生の出力は、/dev/hwrngから取得できます。[11]
Linuxカーネル3.16以降では、[12]カーネル自体がハードウェア乱数ジェネレータからのデータを、HWRNGの定義可能なエントロピー推定品質に基づいたスライディングスケールで/dev/randomにミックスします。つまり、 rng-toolsのrngdなどのユーザー空間デーモンは、その作業を行うのに必要ありません。Linuxカーネル3.17以降では、VirtIO RNGは、デフォルトの品質が0より上に定義されるように変更され、[13]現在、デフォルトで /dev/randomにミックスされる唯一のHWRNGです。
エントロピープールは、timer_entropyd、haveged、randomsoundなどのプログラムによって改善できます。rng-toolsを使用すると、Entropy Keyなどのハードウェア乱数ジェネレーターが/dev/randomに書き込むことができます。diehardテストプログラムdiehard、dieharder、entは、これらの乱数ジェネレーターをテストできます。[14] [15] [16] [17]
エントロピー注入の批判
2014 年 1 月、Daniel J. Bernstein 氏はLinux がさまざまなエントロピー ソースを混在させている方法についての批評[18]を発表しました。彼は、他のエントロピー ソースを監視できる 1 つのエントロピー ソースがその出力を変更して、他のエントロピー ソースのランダム性を無効化できる攻撃について概説しています。関数 を考えてみましょう。ここで、Hはハッシュ関数、x、y、zはエントロピー ソースで、zはCPU ベースの悪意のある HRNG Z の出力です。
- Z はrのランダムな値を生成します。
- Z は を計算します。
- の出力が目的の値と等しい場合は、r をzとして出力します。
- それ以外の場合は、1 から繰り返します。
バーンスタインは、攻撃者がDSAとECDSAを侵害するためには、RNG出力の最初の4ビットを0にすることで、 を16回繰り返す必要があると推定しました。これが可能なのは、Linuxが単一の高品質シードを使用するのではなく、継続的にHを再シードするためです。[18]
バーンスタインはまた、CSPRNGが初期化されるとエントロピー注入は無意味であると主張している。[18]
カーネル 5.17 (カーネル 5.10.119 にバックポート) で、Jason A. Donenfeld は Linux エントロピー プール インフラストラクチャの新しい設計を提案しました。Donenfeld は、単一の 4096 ビットLFSRで構成される古いプールは、 2 つの攻撃に対して脆弱であると報告しました。(1) 攻撃者は既知の入力の効果を取り消すことができます。(2) プール全体の状態が漏洩した場合、攻撃者はプール内のすべてのビットをゼロに設定できます。彼の新しい設計はより高速で安全であり、256 ビット プールを混合するために blake2s ハッシュ関数を使用します。[19]
BSDシステム
FreeBSDオペレーティングシステムは、/dev/random への /dev/urandom リンクを提供します。どちらも適切にシードされるまでブロックします。FreeBSD の PRNG ( Fortuna ) は定期的に再シードし、エントロピーを推定しようとしません。ネットワークとディスクのアクティビティが少ないシステムでは、再シードは 1 秒未満で実行されます。[20]
DragonFly BSDは、FreeBSDのランダムデバイスファイルをフォーク時に継承しました。[21] [非プライマリソースが必要] [22]
OpenBSD 5.1 (2012年5月1日)以降、/dev/randomと/dev/arandom はRC4に基づく CSPRNG 関数arc4random を使用しています。この関数は OpenBSD 5.5 (2014年5月1日) でより強力なChaCha20 を使用するように変更されました。システムは、利用可能な場合はOpenBSD Cryptographic Frameworkを通じて、ハードウェア乱数ジェネレータ (一部の Intel PCI ハブで提供されているものなど) を自動的に使用します。[23] [24] /dev/arandom はOpenBSD 6.3 (2018年4月15日) で削除されました。[25]
NetBSDのレガシーarc4random()APIの実装もChaCha20に移行されました。[26]
macOS、iOS、その他のApple OS
Apple OSはすべて、少なくとも2019年12月以降、おそらくはそれ以前からFortunaに移行しています。[27] SHA-256に基づいています。セキュアエンクレーブRNG、ブートフェーズタイミングジッター、ハードウェア割り込み（タイミングを想定）などの複数のエントロピーソースが使用されます。RDSEED/RDRANDは、それをサポートするIntelベースのMacで使用されます。シード（エントロピー）データも、その後の再起動のために保存されます。
変更前は、macOSとiOSはSHA-1に基づく160ビットのYarrowを使用していました。[28]
/dev/randomと/dev/urandomの間には違いはなく、どちらも同じように動作します。[29] [30]
その他のオペレーティングシステム
/dev/randomと/dev/urandomは、Solaris、[31] NetBSD、[32] Tru64 UNIX 5.1B、 [ 33] AIX 5.2 [34] HP-UX 11i v2でも利用可能です。[35] FreeBSDと同様に、AIXは独自のYarrowベースの設計を実装していますが、AIXは標準の/dev/random実装よりもかなり少ないエントロピーソースを使用し、十分なエントロピーが含まれていると判断するとプールの補充を停止します。[36]
Windows NTでは、同様の機能がksecdd.sysによって提供されていますが、UNIXのように特別なファイル\Device\KsecDDの読み取りは機能しません。暗号的にランダムなバイトを生成するための文書化された方法は、CryptGenRandomとRtlGenRandomです。Windows PowerShellは、Get-SecureRandomコマンドレットを介して暗号的に安全な疑似乱数ジェネレータへのアクセスを提供します。[37]
Windows上のCygwinは、スクリプトやプログラムで使用できる/dev/randomと/dev/urandomの両方の実装を提供します。 [38]
参照
- CryptGenRandom – Microsoft Windows API の CSPRNG
- /開発
- エントロピー供給システムコール
- フォルトゥナアルゴリズム
- ハードウェア乱数ジェネレータ
- 標準ストリーム
参考文献
- ^ 「random(7) - Linuxマニュアルページ」 2023年2月10日. 2023年11月24日閲覧。
- ^ ab Lloyd, Jack (2008-12-09). 「Syllable の /dev/random について」。2019 年 8 月 21 日閲覧。
- ^ 「/dev/random は Linux 5.6 では /dev/urandom に似ています - Phoronix」。www.phoronix.com。
- ^ 「kernel/git/torvalds/linux.git - Linuxカーネルソースツリー」. kernel.org. 2016-07-27 . 2016-11-23閲覧。
- ^ 「Linux 5.17 乱数ジェネレーターが高速化、SHA1 から BLAKE2 へ切り替え - Phoronix」www.phoronix.com。
- ^ "/dev/random". Everything2 . 2003-06-08. 2009-11-17時点のオリジナルよりアーカイブ。2013-07-03閲覧。
- ^ abcd – Linuxプログラマーズマニュアル– 特殊ファイル
- ^ 「Linux 1.3.39 の /dev/random および /dev/urandom の実装、関数 random_read_unlimited」。1995 年 11 月 4 日。2013年 11 月 21 日閲覧。
- ^ Filippo Valsorda (2015-12-29). エントロピーの単純明快な現実。
- ^ Gutterman, Zvi; Pinkas, Benny; Reinman, Tzachy (2006-03-06). 「Linux 乱数ジェネレーターの分析」(PDF)。2008-10-03 にオリジナルからアーカイブ(PDF) 。2013-07-03に取得。
- ^ 「暗号化ユーザーガイド」。Texas Instruments。2013年6月4日。2018年4月16日時点のオリジナルよりアーカイブ。2013年7月3日閲覧。
- ^ 「kernel/git/torvalds/linux.git - Linuxカーネルソースツリー @ be4000bc4644d027c519b6361f5ae3bbfc52c347 "hwrng: フィラースレッドの作成"」。Git.kernel.org 。2016年10月18日閲覧。
- ^ 「kernel/git/torvalds/linux.git - Linuxカーネルソースツリー @ 34679ec7a0c45da8161507e1f2e1f72749dfd85c 「virtio: rng: hwrngコアで使用するためのディレーティング係数を追加」」。Git.kernel.org 。2016年10月18日閲覧。
- ^ “??”. Vanheusden.com . 2013年9月21日時点のオリジナルよりアーカイブ。2016年10月23日閲覧。
- ^ 「dieharder の Google Code アーカイブ」。Code.google.com。2016年10月 18 日閲覧。
- ^ 「The Marsaglia Random Number CDROM including the Diehard Battery of Tests of Randomness」. Stat.fsu.edu . 2016年1月25日時点のオリジナルよりアーカイブ。2016年10月23日閲覧。
- ^ "rng-tools". Gnu.org . 2016年10月23日閲覧。
- ^ abc Daniel J. Bernstein (2014-02-05). 「cr.yp.to: 2014.02.05: エントロピー攻撃!」。
常に新しいエントロピーを追加することが良いことだという真剣な議論はあるでしょうか? Linux /dev/urandom のマニュアル ページでは、新しいエントロピーがなければユーザーは「理論的には暗号攻撃に対して脆弱」であると主張していますが、(私がさまざまな場所で言及したように) これはばかげた議論です。
- ^ 「[PATCH 5.15 038/145] random: エントロピー抽出に計算ハッシュを使用する」lore.kernel.org。
- ^ – FreeBSDカーネル インターフェースマニュアル
- ^ "random(4)". DragonFlyオンラインマニュアルページ. 2024年6月15日閲覧。
- ^ 「Linux と BSD での /dev/random 速度の比較」ianix.com . 2024 年 6 月 15 日閲覧。
- ^ – OpenBSDカーネル インターフェースマニュアル
- ^ deraadt編 (2014-07-21). "libc/crypt/arc4random.c". BSD 相互参照、OpenBSD src/lib/ 。2015-01-13取得。OpenBSD
用の ChaCha ベースの乱数ジェネレーター。
- ^ naddy, ed. (2017-11-14). "src/etc/MAKEDEV.common". GitHub OpenBSD ソースコードミラー src/etc/ 。2017-11-14取得。/dev/arandom
は OpenBSD から削除されました。
- ^ riastradh, ed. (2014-11-16). "libc/gen/arc4random.c". BSD 相互参照、NetBSD src/lib/ 。2015-01-13取得。OpenBSD
のレガシー arc4random(3) API を、スレッドごとの状態を持つ ChaCha20 PRF を使用して再実装しました。
- ^ 「Apple プラットフォーム セキュリティ」。Apple Inc.
- ^ "xnu-1456.1.26/bsd/dev/random". Apple Inc. 2016年10月18日閲覧。
- ^ – DarwinとmacOSカーネル インターフェースマニュアル
- ^ 「iOS セキュリティ」(PDF)。Apple Inc. 2012 年 10 月。2014 年 4 月 5 日時点のオリジナル(PDF)からアーカイブ。2015 年5 月 27 日閲覧。
- ^ Moffat, Darren (2013-09-12). 「Solaris 乱数生成」。Oracle Solaris ブログ。2022-04-30閲覧。
- ^ – NetBSDカーネルインターフェースマニュアル
- ^ "random(4)". 1999-09-19 . 2013-07-03閲覧。
- ^ 「random and urandom Devices」。pSeries および AIX 情報センター。2010 年 3 月 15 日。2021 年 3 月 3 日時点のオリジナルよりアーカイブ。2013年 7 月 3 日閲覧。
- ^ 「HP-UX 強力な乱数ジェネレーター」 2004-07-23 . 2013-07-03に閲覧。
- ^ Roberts, Iain (2003-04-25). 「AIX 5.2 /dev/random および /dev/urandom デバイス」. Lists.gnupg.org. 2012-02-22 にオリジナルからアーカイブ。2013-07-03に取得。
- ^ 「Get-SecureRandom (Microsoft.PowerShell.Utility) - PowerShell」。learn.microsoft.com 。 2024年6月16日閲覧。
- ^ 「Cygwin の /dev/random と urandom はどのように動作しますか?」www.linuxquestions.org 。 2018 年 3 月 9 日閲覧。
外部リンク
- Biege, Thomas (2006-11-06) 「Linuxの乱数デバイスを解析して強力な疑似乱数ジェネレーターを分析」(PDF)。GitHub 。
- ヒュン、トーマス (2014)。 「/dev/urandomに関する神話」。– Linux 4.8 の /dev/random インフラストラクチャと、「消費された」エントロピーをカウントすることの無益性について説明します。暗号学者からの引用が含まれています。(「消費された」エントロピーのカウントはカーネル 5.17 で削除されました。)