Cât de multă aleatorie să „spălă” în mod rezonabil un TRNG compromis?

Să presupunem că am un modul RNG fizic care generează $n$-bit numere aleatorii care trec teste de aleatorie, cum ar fi suita Dieharder.Deoarece este un dispozitiv cutie neagră cu o sursă necunoscută de aleatorie, să presupunem, de asemenea, că a fost parțial compromis: un atacator care cunoaște funcționarea modulului RNG, având în vedere o singură stare anterioară, poate ghici corect următoarea stare în $2^{n-m}$ pași pentru $1 \leq m \leq n$.

Să presupunem, de asemenea, că am acces la o altă sursă de entropie, verificabil fără compromisuri, dar altfel de proastă calitate, care oferă $x - p$ biți de entropie per $x$ biți de ieșire pentru $0 < p < x$. Să presupunem, de asemenea, că această sursă de entropie este semnificativ mai lentă decât modulul RNG menționat mai sus.

1. Pentru a „spăla” prima sursă RNG astfel încât să producă numere cu adevărat imprevizibile, câtă muncă va trebui să fac?
   • Pentru a anula efectele $m$ pe numărul de ieșire, câți biți de entropie va trebui să distilez și să furnizez din sursa de entropie?
   • Ce operațiuni va trebui să efectuez pentru a mă asigura că nu obțin un număr compromis? Concatenarea + hashing cu o funcție hash sigură din punct de vedere criptografic va „face truc”?
   • Dimpotrivă, ce operațiuni va trebui să evit dacă vreau ca manipularea să fie „spălată”?
   • Câtă trunchiere va trebui să fac?
2. Asumand $m$ este suficient de mare/aproape de $n$, ar fi mai bine să extragem doar biți aleatori din a doua sursă și să-i concatenați într-un singur număr, ocolind utilizarea modulului potențial compromis?

Ipotezele mele:

1. va trebui să folosesc $m$ biți de ieșire aleatoare fără compromisuri, concatenează-l cu prima ieșire și hash-o. Cred că trunchierea ieșirii concatenate sau a numărului de intrare nu va ajuta prea mult dacă nu știu exact ce biți sunt compromisi sau dacă nu știu probabilitățile a căror bit este compromis. Ar trebui să evit XOR-ul intrărilor înainte de a aplica hash-ul.

2. Presupun că „spălarea” este rezonabilă până la $m = n/2$, dincolo de care probabil ar trebui doar să extrag aleatoriu din a doua sursă și să concatenez biții aleatori într-un $n$-număr de biți, ocolind complet modulul potențial compromis.