非物理的な真の乱数生成器

非物理的な真性乱数生成器（NPTRNG）^[1]は、非物理的な非決定性乱数ビット生成器とも呼ばれ、専用のハードウェアエントロピーソースにアクセスできない真性乱数生成器です。^[2] NPTRNGは、アプリケーションプログラミングインターフェイス関数 の出力、ランダムアクセスメモリ内の残留情報、システム時間、または人間の入力（マウスの動きやキーストロークなど）などのシステムデータからエントロピーを取得する非物理的なノイズソースを使用します。 ^{[3] [1]}一般的なNPTRNGは、コンピュータ上で実行されるソフトウェアとして実装されます。 ^{[1] NPTRNGは、一般的なCPU（} Linuxの/dev/random ^[5]など）で実行できることが期待されている一般的なオペレーティングシステムのカーネルによく見られます。 ^[4]

NPTRNGは、非物理的なノイズ源が機能するために特定の条件を必要とするため、エントロピー推定には外部環境と攻撃者のスキルに関する大きな仮定が必要になるため、物理的な乱数生成器よりも本質的に信頼性が低くなります。^[6]

典型的な攻撃には以下のものがある: ^[7]

• システムへのアクセス権を持つ攻撃者に対する脆弱性（他のソフトウェアベースのTRNGと同様）
• 攻撃者が予測可能なイベントソース（マウスシミュレータなど）を接続する。
• システムの動作に関する想定が当てはまらなくなった環境（たとえば、仮想マシン）で動作している。

2007年には、より洗練された攻撃により、いくつかの実装上の欠陥を悪用して、 Windows 2000のNPTRNGの前方秘匿性が侵害されました。^[8]

NPTRNG の設計は TRNG の伝統的なものです。ノイズ ソースの後に後処理のランダム性抽出器が続き、オプションで真のランダム ビットをシードとする疑似乱数生成器(PRNG) が続きます。たとえば、Linux では、/dev/random は PRNG を使用しません (そのため、より多くのエントロピーを収集する必要がある場合にブロックする可能性があります)。一方、/dev/urandom には PRNG が含まれています (そのため、常により多くのビットを提供でき、非ブロッキングです)。^{[9] [10]}

2014年現在、Linux NPTRNG実装は以下からエントロピーを抽出しています: ^[11]

• 割り込み、CPU サイクル カウンター、カーネル タイマー値、IRQ 番号、および割り込みを受けた命令の命令ポインターをエントロピーの「高速プール」に混合します。
• ランダム時間 I/O (キーボード、マウス、ディスクからのイベント) では、カーネル タイマー値、サイクル カウンター、デバイス固有の情報が「入力プール」に混合されます。

当時、仮想化環境でのテストでは、初期の（非）ランダム出力が壊滅的に非ランダムな場合、ブート時の「エントロピーホール」（リセット脆弱性）が存在することが示されていましたが、一般的にシステムは攻撃者を阻止するのに十分な不確実性を提供していました。^[12]

• Turan, Meltem Sönmez; Barker, Elaine; Kelsey, John; McKay, Kerry A; Baish, Mary L; Boyle, Mike (2018). NIST SP800-90B: ランダムビット生成に使用するエントロピーソースに関する推奨事項 (レポート)。メリーランド州ゲイサーズバーグ: 米国国立標準技術研究所。doi : 10.6028 /nist.sp.800-90b。
• Schindler, Werner (2008)。「暗号化アプリケーション用乱数ジェネレーター」。Koc, CK (編)。暗号化エンジニアリング。ボストン、マサチューセッツ州: Springer US。pp. 5–23。doi :10.1007/ 978-0-387-71817-0_2。ISBN 978-0-387-71817-0. 2024年8月24日閲覧。
• ピーター、マティアス。シンドラー、ヴェルナー（2022年9月2日）。乱数生成器の機能クラスの提案 (2.35 ドラフト版)。Bundesamt für Sicherheit in der Informationstechnik。
• ホール、ティム（2021年4月29日）。「非物理的エントロピー源」（PDF）。NIST。
• Everspaugh, Adam; Zhai, Yan; Jellinek, Robert; Ristenpart, Thomas; Swift, Michael (2014)。仮想化 Linux におけるそれほどランダムではない数値と Whirlwind RNG (PDF)。2014 IEEE セキュリティとプライバシーに関するシンポジウム。IEEE。pp. 559–574。doi :10.1109 / SP.2014.42。ISBN 978-1-4799-4686-0。