RDRAND

RDRAND(「read random」の略) は、オンチップエントロピーソースによってシードされたIntelオンチップハードウェア乱数ジェネレーターから乱数を返す命令です。 ^[1]これはIntel Secure Key Technologyとも呼ばれ、^[2]コードネームBull Mountainです。^[3] Intel は 2012 年頃にこの機能を導入し、AMD は 2015 年 6 月にこの命令のサポートを追加しました。( はIvy Bridgeプロセッサー^[a]で利用可能であり、 Intel 64およびIA-32命令セットアーキテクチャーの一部です。) ^[5]RDRAND

乱数ジェネレータは、NIST SP 800-90A、^[6] FIPS 140-2、ANSI X9.82 ^{[1]などのセキュリティおよび暗号化標準に準拠しています。Intelは2012年にCryptography Research Inc.に乱数ジェネレータのレビューを依頼し、その結果、} IntelのIvy Bridgeデジタル乱数ジェネレータの分析という論文が発表されました。^[7]

RDSEEDRDRANDはエントロピー生成ハードウェアに類似しており、低レベルのアクセスを提供します。RDSEEDジェネレーターとプロセッサ命令は、Intel Broadwell CPU ^[8]とAMD Zen CPU ^[9]rdseedで利用できます。

このCPUID命令は、AMDとIntelの両方のCPUで命令がサポートされているかどうかを確認するために使用できますRDRAND。サポートされている場合は、CPUID標準関数を呼び出した後にECXレジスタのビット30が設定されます01H。^[10] AMDプロセッサでは、同じテストを使用して機能が確認されます。^[11] RDSEED Intel CPUでも同様の方法で可用性を確認できます。RDSEEDサポートされている場合は、CPUID標準関数を呼び出した後にEBXレジスタのビット18が設定されます07H。^[12]

のオペコードはRDRANDで0x0F 0xC7、その後に宛先レジスタを指定する ModRM バイトが続き、64 ビットモードではオプションで REX プレフィックスと組み合わせられます。^[13]

Intel Secure Key は、命令と、その基礎となる乱数ジェネレータ(RNG) ハードウェア実装の両方に対するIntelの名称です。 ^[1]開発中のコード名は「Bull Mountain」でした。^[14] Intel は、RNG を「デジタル乱数ジェネレータ」または DRNG と呼んでいます。ジェネレータは、ハードウェアエントロピー ソースによって生成された 256 ビットの生のエントロピー サンプルのペアを受け取り、それらをAdvanced Encryption Standard (AES) ( CBC-MACモード) コンディショナーに適用して、1 つの 256 ビットの調整済みエントロピー サンプルに縮小します。NIST SP 800-90Aで定義されているCTR DRBGと呼ばれる決定論的ランダム ビット ジェネレータは、コンディショナーの出力によってシードされ、命令を介して要求するアプリケーションに暗号的に安全な乱数を提供します。^{[1] [14]}ハードウェアは、シード値を変更する前に最大 511 個の 128 ビット サンプルを発行します。この操作を使用すると、AES-CBC-MAC からの調整済み 256 ビット サンプルにアクセスできます。 RDRANDRDRANDRDSEED

この命令は、 Broadwell CPUで利用可能なRDSEED別の疑似乱数ジェネレータ^[15]をシードするために Intel Secure Key に追加されました。この命令のエントロピー ソースは、セルフ タイミング回路上で非同期に実行され、シリコン内の熱雑音を使用して 3 GHz の速度でランダム ビット ストリームを出力します。^{[16] これ}は、から得られる実効 6.4 Gbit/s よりも遅い速度です(両方の速度はすべてのコアとスレッドで共有されます)。^[17]この命令は、任意の幅のソフトウェア PRNG をシードするためのものですが、 は高品質の乱数のみを必要とするアプリケーション向けです。暗号セキュリティが必要ない場合は、通常、 Xorshiftなどのソフトウェア PRNG の方が高速です。 ^[18]RDSEEDRDRANDRDSEEDRDRAND

Intel Core i7-7700K、4500MHz（45 × 100MHz）プロセッサ（Kaby Lake-Sマイクロアーキテクチャ）では、オペランドサイズ（16/32/64ビット）に関係なく、1つの命令RDRANDまたは命令の実行に110ns、つまり463クロックサイクルかかります。このクロックサイクル数は、 SkylakeまたはKaby Lakeマイクロアーキテクチャを搭載したすべてのプロセッサに適用されます。Silvermontマイクロアーキテクチャプロセッサでは、オペランドサイズに関係なく、各命令に約1472クロックサイクルかかり、Ivy Bridgeプロセッサでは最大117クロックサイクルかかります。^[19]RDSEEDRDRAND

AMD Ryzen CPUでは、各命令は16ビットまたは32ビットのオペランドの場合は約1200クロックサイクル、64ビットのオペランドの場合は約2500クロックサイクルかかります。^[19]

天体物理学モンテカルロシミュレータは、クアッドコアIntel i7-3740 QMプロセッサでを使用して10 ⁷ 64ビット乱数を生成するのにかかる時間を調べた。彼らは、のC実装がCのデフォルトの乱数ジェネレータよりも約2倍遅く、メルセンヌツイスタよりも約20倍遅いことを発見した。のPythonモジュールが構築されているが、Pythonのデフォルトの乱数ジェネレータよりも20倍遅いことが判明した^{[20]。ただし、} PRNGとCSPRNGのパフォーマンス比較はできない。 RDRANDRDRANDRDRAND

2020年6月にインテルがリリースしたマイクロコードアップデートは、クロストーク脆弱性（以下のセキュリティ問題のセクションを参照）を軽減するように設計されていますが、追加のセキュリティ制御により、およびのパフォーマンスに悪影響を及ぼします。緩和策が適用されたプロセッサでは、影響を受ける各命令で追加のレイテンシが発生し、コア間の同時実行はRDRAND事実上シリアル化されます。インテルはこれらのセキュリティチェックを緩和するメカニズムを導入し、ほとんどのシナリオでパフォーマンスへの影響を軽減しましたが、インテルプロセッサはデフォルトでこのセキュリティ緩和を適用しません。^[21]RDSEEDRDRANDRDSEED

RDRANDVisual C++ 2015 は、関数と関数の組み込みラッパーサポートを提供しますRDSEED。^[22] GCC 4.6+ およびClang 3.2+ は、フラグで が指定されている場合に組み込み関数を提供し、^[23]条件付きコンパイルを許可する設定も提供します。新しいバージョンでは、これらの組み込み関数を Intel の C コンパイラのバージョン 12.1+ と互換性のある関数にラップする機能も提供しています。これらの関数は、パラメータが指す場所にランダムデータを書き込み、成功した場合は 1 を返します。^[24]RDRAND-mrdrnd__RDRND__immintrin.h

これは、 OpenSSL のRDRANDとRDSEEDを使用して暗号的に安全な乱数を生成するオプションであり、通信のセキュリティを確保するのに役立ちます。

モンテカルロRDRANDシミュレータにおけるの科学的応用は、他の乱数生成器と比較して、性能と再現性に焦点を当てて評価されました。その結果、メルセンヌツイスターと比較してを使用すると結果は変わらないが、性能と再現性は悪くなるという結論に至りました。 ^{[25] [20]}RDRAND

2013年9月、NSAが暗号を弱体化させようとしていることを暴露したニューヨークタイムズの記事に応えて、^[26]セオドア・ツォはLinuxカーネルにおけるforの使用に関して公に投稿した。^[27] RDRAND/dev/random

/dev/random命令だけに頼るようにというインテルのエンジニアからの圧力に抵抗して本当に良かったと思いますRDRAND。[ニューヨークタイムズの記事^[26] ] から引用すると、「今年までに、Sigint Enabling Project は、チップメーカーと協力してバックドアを挿入するか、企業や政府のために情報を暗号化するいくつかの暗号化チップの内部に方法を発見しました...」監査が不可能なチップ内に密封された実装を使用するハードウェア乱数ジェネレーターだけに頼るのは悪い考えです。

Linus Torvalds はRDRAND、Linux カーネルでのの使用に関する懸念を否定し、 は のエントロピーの唯一のソースとして使用されている/dev/randomのではなく、 から受け取った値をRDRAND他のランダム性のソースと組み合わせることでエントロピーを向上させるために使用されていると指摘しました。^{[28] [29]}しかし、Defuse Security の Taylor Hornby は、Linux の乱数ジェネレーターが、RDRANDそれを使用するコードを明確にターゲットとするバックドアが命令に導入された場合、安全でなくなる可能性があることを実証しました。 Hornby の概念実証実装は、バージョン 3.13 より前の変更されていない Linux カーネルで動作します。^{[30] [31] [32]}この問題は 2013 年に Linux カーネルで緩和されました。^[33]

開発者は、 FreeBSDカーネルをVIA PadLockを直接使用しないように変更しRDRAND、「FreeBSD 10では、およびPadlockバックエンドをバックトラックして削除し、出力を/dev/randomに直接配信するのではなく、 Yarrowにフィードします。必要に応じて、インラインアセンブリまたはユーザーランドからOpenSSLを使用して、ハードウェア乱数ジェネレータ、つまり、、Padlockなどに直接アクセスすることは可能ですが、それらを信頼することはできません。」というコメントを付けました。 ^{[28] [34]} FreeBSD /dev/randomは、FreeBSD 11から開始されたFortunaとRDRANDを使用します。^[35]RDRANDRDRAND

2020年6月9日、アムステルダム自由大学の研究者らは、多数のIntelプロセッサに影響を与えるCrossTalk（CVE-2020-0543）というサイドチャネル攻撃を公開した。 ^[36]彼らは、ハードウェアデジタル乱数ジェネレーター（DRNG）からの出力が、すべてのコアで共有されるステージングバッファーに格納されていることを発見した。 この脆弱性により、影響を受けるプロセッサで実行されている悪意のあるコードは、同じプロセッサの別のコアで実行されている被害者のアプリケーション（Intel SGXエンクレーブ内で実行されているアプリケーションを含む）から読み取り、命令の結果を取得できるようになった。^[36]研究者らは、1回の署名操作だけで別のCPUコアで実行されているSGXエンクレーブから完全なECDSAキーを抽出する概念実証エクスプロイト^{[37]を開発した。 [36]}この脆弱性は、共有ホスティング環境など、信頼できないコードが同じプロセッサ上で信頼できるコードと並行して実行されるシナリオに影響を及ぼします。 RDRANDRDRANDRDSEED

Intelは、クロストーク脆弱性をSpecial Register Buffer Data Sampling（SRBDS）と呼んでいます。この研究に応えて、Intelは問題を緩和するためのマイクロコードの更新をリリースしました。更新されたマイクロコードは、機密操作（具体的には、、、RDRANDおよびRDSEED命令EGETKEY）が完了し、ステージングバッファーが上書きされるまで、オフコアアクセスが遅延されることを保証します。^{[21] SRBDS攻撃は、} MSRを読み取る命令など、他の命令にも影響を及ぼしますが、Intelはパフォーマンス上の懸念とそれらの命令の結果の機密性の必要性が低いため、それらに追加のセキュリティ保護を適用しませんでした。^[21]デスクトップ、モバイル、サーバープロセッサなど、2012年から2019年の間にリリースされた幅広いIntelプロセッサが影響を受けました。^[38]緩和策自体は、セキュリティチェックによって導入されたレイテンシの増加と、影響を受ける命令のコア間での効果的なシリアル化により、特にマルチスレッドアプリケーションによって並列に実行される場合に、影響を受ける命令を使用するときにパフォーマンスに悪影響を及ぼしました。 Intelは、各論理プロセッサのMSRを介して構成可能なオプトアウトオプションを導入しましたIA32_MCU_OPT_CTRL。これは、SGXエンクレーブの外部で実行される命令に対する追加のセキュリティチェックを無効にすることでパフォーマンスを向上させます。^[21]

• AES命令セット
• Bullrun（復号化プログラム）
• ウルフSSL

• RdRand .NET オープンソース プロジェクト