Condiționarea unei surse părtinitoare cu un cifru bloc?

Îmi fac drum prin cartea lui Stallings Cryptography and Network Security. Sunt autodidact despre cripto, nu am luat niciodată o clasă, dar am implementat câteva funcții de accelerare criptografică în hardware la serviciu și sunt interesat să învăț mai multe.

Capitolul 8 acoperă generarea aleatorie de biți. Discuția despre generatoarele de numere aleatoare adevărate vorbește despre părtinire și despre cum să-l îndepărtezi cu algoritmi de condiționare. O astfel de opțiune este de a alimenta ieșirea rng adevărată într-un cifr de bloc, cum ar fi AES. Ce?

Înțeleg cum ar produce acest lucru date care par aleatorii și trec teste de aleatorie. Dar dacă se știe că intrarea este influențată într-un anumit fel, forța brută ar putea fi folosită pentru a încerca să reproducă fluxul de biți aleatoriu. Dus la extrem, ce se întâmplă dacă adevăratul rng a furnizat doar 1s foarte rar. Un atacator ar putea încerca un număr mic de chei one-hot, two-hot, etc. în cifrul bloc și ceva se va potrivi.

Sigur imi scapa ceva...

O referință mai adecvată este publicația specială NIST 800-90B, „Recomandare pentru Entropie Surse utilizate pentru bit aleatoriu Generaţie" deoarece folosești termenul „generatori de numere aleatorii adevărate” si nu "determinat".

Sunt prea multe pentru acest răspuns, așa că te refer la tine §3.1.5.

Ce se întâmplă dacă rng adevărat a furnizat doar 1s foarte rar

Irelevant și foarte comun în sursele de entropie ale oscilatorului inel. Sa spunem "rareori" înseamnă o tranziție din 100 de eșantioane. Arunci 99 de mostre și păstrezi doar a 100-a printr-un proces numit decimare. Am văzut împărțirea cu 512 decimatoare în oscilatoarele inelare experimentale. De exemplu.:-

NIST continuă să schimbe procedurile de estimare a entropiei (pentru a descuraja utilizarea lor?), dar cel mai recent este §3.1.5.1.2 Evaluarea entropiei folosind componente de condiționare verificate reprodus aici:-

Aceasta este versiunea NIST a Left Over Hash lema (dedusă din pasul 4 de mai sus). Deși multe modele folosesc pur și simplu lema originală atunci când nu sunt necesare componente de condiționare criptografică. Și avantajul lemei este că permite calcularea directă a polarizării finale a entropiei.

Deci, pe scurt, distorsiunea sursei de entropie este ușor de rezolvat prin tehnici bine stabilite. Desigur, cu cât mai multă părtinire, cu atât rata finală de ieșire este mai lentă/designul mai puțin eficient.