![/dev/[u]random
4096 bitのプールをキープ
#define INPUT_POOL_SHIFT 12
#define INPUT_POOL_WORDS (1 << (INPUT_POOL_SHIFT-5))
static __u32 input_pool_data[INPUT_POOL_WORDS];
static struct entropy_store input_pool = {
.poolinfo = &poolinfo_table[0],
.name = "input",
.limit = 1,
.lock = __SPIN_LOCK_UNLOCKED(input_pool.lock),
.pool = input_pool_data
};
https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-28-320.jpg)
![/dev/[u]random
このプールは高速CRCハッシュのような様々な
ソースから予測不能なバイト列を混合されている
/*
* This function adds bytes into the entropy “pool".
* The pool is stirred with a primitive polynomial of the
* appropriate degree, and then twisted. We twist by three
* bits at a time because it's cheap to do so and helps
* slightly in the expected case where the entropy is
* concentrated in the low-order bits.
*/
static void _mix_pool_bytes(struct entropy_store *r,
const void *in, int nbytes)
https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-29-320.jpg)
![/dev/[u]random
乱数はSHA1ハッシュによって生成される
static void extract_buf(struct entropy_store *r, __u8 *out)
{
sha_init(hash.w);
/* Generate a hash across the pool, 16 words (512 bits) at a time */
for (i = 0; i < r->poolinfo->poolwords; i += 16)
sha_transform(hash.w, (__u8 *)(r->pool + i), workspace);
__mix_pool_bytes(r, hash.w, sizeof(hash.w));
hash.w[0] ^= hash.w[3];
hash.w[1] ^= hash.w[4];
hash.w[2] ^= rol32(hash.w[2], 16);
memcpy(out, &hash, EXTRACT_SIZE);
}
https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-30-320.jpg)
![/dev/[u]random
/dev/random と /dev/urandom は同じコード、
サイズ、エントロピーソースを使っている
static ssize_t random_read(struct file *file,
char __user *buf, size_t nbytes, loff_t *ppos)
extract_entropy_user(&blocking_pool, buf, nbytes);
static ssize_t urandom_read(struct file *file,
char __user *buf, size_t nbytes, loff_t *ppos)
extract_entropy_user(&nonblocking_pool, buf, nbytes);
https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-31-320.jpg)
![/dev/[u]random
わずかの違い:
/dev/random
• どれだけのエントロピーのビット数が
プール内で混成されたか推測
• 乱数の読み込みによってその数が減少
する
• 数が減るとブロックされる](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-32-320.jpg)
![/dev/[u]random
これでは実用的でない
エントロピーは減少しない。](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-33-320.jpg)
![/dev/[u]random
これでは実用的でない
エントロピーは尽き果てない。](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-34-320.jpg)
![/dev/[u]random
一度予測不能であれば、
永遠に予測不能。
(CSPRNGが秘密ビットをリークしない限り)](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-35-320.jpg)
![/dev/[u]random
もしCSPRNGが秘密ビットをリークすると:
• ストリーム暗号が機能しなくなる
• CTRが機能しなくなる
• TLSが機能しなくなる
• PGPが機能しなくなる
Cryptographyはこれに依存している](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-36-320.jpg)
![/dev/[u]random
/dev/random のブロッキング
• 非実用的
• 受け入れることはできない (TLS)
• 危険となり得る (サイドチャネル)](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-37-320.jpg)
![/dev/[u]random
/dev/urandom は暗号にとって安全
• Google の BoringSSL が使用
• Python, Go, Ruby が使用
• Sandstormは /dev/random をこれに変更
• 暗号の専門家も同じことを言う
• 他のOSには /dev/random はない](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-38-320.jpg)
![/dev/[u]random
✦ https://www.imperialviolet.org/2015/10/17/boringssl.html
✦ http://sockpuppet.org/blog/2014/02/25/safely-generate-random-numbers/
✦ http://www.2uo.de/myths-about-urandom/
✦ http://blog.cr.yp.to/20140205-entropy.html
✦ https://developer.apple.com/library/mac/documentation/Darwin/Reference
/ManPages/man4/random.4.html
✦ https://en.wikipedia.org/wiki//dev/random#FreeBSD
✦ https://docs.sandstorm.io/en/latest/developing/security-practices/
✦ http://lists.randombit.net/pipermail/cryptography/2013-
August/004983.html](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-39-320.jpg)
![/dev/[u]random
• /dev/random は必要ない
• エントロピープールを計数し続ける必要
はない
• (havegedなどのように)プールを「補充」
する必要はない
• 乱数の「質」は低下しない](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-40-320.jpg)
![壊れたCSPRNG
--- openssl/trunk/rand/md_rand.c 2006/05/02 16:25:19 140
+++ openssl/trunk/rand/md_rand.c 2006/05/02 16:34:53 141
@@ -271,7 +271,10 @@ static void ssleay_rand_add(
else
MD_Update(&m,&(state[st_idx]),j);
+/*
+ * Don't add uninitialised data.
MD_Update(&m,buf,j);
+*/
MD_Update(&m,(unsigned char *)&(md_c[0]),sizeof(md_c));
MD_Final(&m,local_md);
md_c[1]++;](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-50-320.jpg)
![Non-CS PRNG
MT19937のコアは624の整数による状態を持ち、
この関数のようになっている
def get_mt_random_number():
if index == 0: generate_numbers()
y = STATE[index]
y ^= y >> 11
y ^= (y << 7) & 0x9d2c5680
y ^= (y << 15) & 0xefc60000
y ^= y >> 18
index = (index + 1) % 624
return y](https://image.slidesharecdn.com/filippoentropy-ja-151211124011/85/Filippo-plain-simple-reality-of-entropy-ja-53-320.jpg)
Filippo, plain simple reality of entropy ja
- 2. Filippo Valsorda @FiloSottile 暗号やシステムエンジニアをしている CloudFlare DNS serverの開発者であり, そのDNSSEC実装を構築した 暗号およびセキュリティプロトコルに関して、たびたび 実装を行い、教育をし、そして破っている
- 6. ランダムバイト列 • キー ssh-keygen -b 2048 SSL/TLS対称キー • Nonces, (EC)DSA シグネイチャ • TCPシーケンス番号, DNSクエリID • ASLR (Address space layout randomization) • パスフレーズ, トークン, … • シミュレーション
- 7. ランダムバイト列 一様性
- 10. 予測不可能なイベント
- 11. 予測不可能なイベント • カーネルから見える • エントロピーの可変量を伝える • 一様ではなく通常は十分ではない
- 18. ハッシュベースCSPRNGの例 0fb23fc707f8764892f3fa613c6ea24b 27d159a6d29e6daa1a53297e96155022 17268915dd48c60864aca2de3f105266 4452b99f41e1f7221711529eb3191b9fSHA2-512( || 0 ) f376eb8cee3b9c4c44c3b467a417ab7b f577ac352cf9705eda0e98b6e32daad7 318aa173e463e1f9cb1e93806fd702e3 c58946ff9320aae429385e22aa6ba271 エントロピープール 0fb23fc707f8764892f3fa613c6ea24b 27d159a6d29e6daa1a53297e96155022 17268915dd48c60864aca2de3f105266 4452b99f41e1f7221711529eb3191b9fSHA2-512( || 1 ) 23658111d9e6893ce67f8e4b5c37bc1f 7e05a327b0b152c60e62df48fb7ab38a 23658111d9e6893ce67f8e4b5c37bc1f 7e05a327b0b152c60e62df48fb7ab38a ランダムバイト 0fb23fc707f8764892f3fa613c6ea24b 27d159a6d29e6daa1a53297e96155022 17268915dd48c60864aca2de3f105266 4452b99f41e1f7221711529eb3191b9fSHA2-512( || 2 ) 358d7a4b03fe0f7c67b5a1d62d106e62 b4eb1d15c10e5ed3200acead3f5d8d16 75dfb256a5a270a96f69393f3dbc0ee2 77df4663cafcbdcfca8ae32aadd605a8 …
- 19. ハッシュベースCSPRNGの例 ☑ 一様性 ☑ 予測不能性 ☑ 制限なし (これは一例であり、実際には使用しないこと)
- 22. /dev/urandom $ head -c 300 /dev/urandom | xxd 0000000: f60d 4bda 67a1 83b4 d095 0db9 5366 0bb7 ..K.g.......Sf.. 0000010: bf20 7474 2b62 8a61 88f5 7938 52ed f77a . tt+b.a..y8R..z 0000020: c2e7 6fa9 3c66 2998 dc54 a6cb 8c59 caa6 ..o.<f)..T...Y.. 0000030: ac37 9640 81d5 1691 09ca 1d64 6d4f 7e9f .7.@.......dmO~. 0000040: 6749 8674 4df6 e6d3 85de 4e19 e979 63f2 gI.tM.....N..yc. 0000050: de44 09c5 d6c7 b26b 6407 35e9 5bd3 cbd6 .D.....kd.5.[... 0000060: 1a02 10b8 6111 9713 57a6 191c 5e27 601c ....a...W...^'`. 0000070: 6965 1fc2 5798 8faf 5f6b 104f 351c b2b5 ie..W..._k.O5... 0000080: 573f 9bb9 10bf 16f6 fe0d fdff 2e49 2d86 W?...........I-. 0000090: c183 1cc1 25f1 923e 54ec e235 7ff4 db05 ....%..>T..5.... 00000a0: 56bd 2b26 4e87 a7ad 6542 f01e 183c 718f V.+&N...eB...<q. 00000b0: 7437 6f31 4af6 17e7 7870 ccc9 61e3 dd94 t7o1J...xp..a... 00000c0: 72d1 1b46 bf17 c8ed 2b67 f440 3c34 c22e r..F....+g.@<4.. 00000d0: a21d eb8c 5a16 3a5e 8744 6920 2b16 6d81 ....Z.:^.Di +.m. 00000e0: 6ca8 8205 63e4 3b31 92ba 03ec 0b86 256d l...c.;1......%m 00000f0: 799f b699 3a2f 9699 bc31 72d6 c225 3021 y...:/...1r..%0!
- 26. 話は以上で終わりかも
- 28. /dev/[u]random 4096 bitのプールをキープ #define INPUT_POOL_SHIFT 12 #define INPUT_POOL_WORDS (1 << (INPUT_POOL_SHIFT-5)) static __u32 input_pool_data[INPUT_POOL_WORDS]; static struct entropy_store input_pool = { .poolinfo = &poolinfo_table[0], .name = "input", .limit = 1, .lock = __SPIN_LOCK_UNLOCKED(input_pool.lock), .pool = input_pool_data }; https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c
- 29. /dev/[u]random このプールは高速CRCハッシュのような様々な ソースから予測不能なバイト列を混合されている /* * This function adds bytes into the entropy “pool". * The pool is stirred with a primitive polynomial of the * appropriate degree, and then twisted. We twist by three * bits at a time because it's cheap to do so and helps * slightly in the expected case where the entropy is * concentrated in the low-order bits. */ static void _mix_pool_bytes(struct entropy_store *r, const void *in, int nbytes) https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c
- 30. /dev/[u]random 乱数はSHA1ハッシュによって生成される static void extract_buf(struct entropy_store *r, __u8 *out) { sha_init(hash.w); /* Generate a hash across the pool, 16 words (512 bits) at a time */ for (i = 0; i < r->poolinfo->poolwords; i += 16) sha_transform(hash.w, (__u8 *)(r->pool + i), workspace); __mix_pool_bytes(r, hash.w, sizeof(hash.w)); hash.w[0] ^= hash.w[3]; hash.w[1] ^= hash.w[4]; hash.w[2] ^= rol32(hash.w[2], 16); memcpy(out, &hash, EXTRACT_SIZE); } https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c
- 31. /dev/[u]random /dev/random と /dev/urandom は同じコード、 サイズ、エントロピーソースを使っている static ssize_t random_read(struct file *file, char __user *buf, size_t nbytes, loff_t *ppos) extract_entropy_user(&blocking_pool, buf, nbytes); static ssize_t urandom_read(struct file *file, char __user *buf, size_t nbytes, loff_t *ppos) extract_entropy_user(&nonblocking_pool, buf, nbytes); https://github.com/torvalds/linux/blob/85051e295/drivers/char/random.c
- 32. /dev/[u]random わずかの違い: /dev/random • どれだけのエントロピーのビット数が プール内で混成されたか推測 • 乱数の読み込みによってその数が減少 する • 数が減るとブロックされる
- 36. /dev/[u]random もしCSPRNGが秘密ビットをリークすると: • ストリーム暗号が機能しなくなる • CTRが機能しなくなる • TLSが機能しなくなる • PGPが機能しなくなる Cryptographyはこれに依存している
- 37. /dev/[u]random /dev/random のブロッキング • 非実用的 • 受け入れることはできない (TLS) • 危険となり得る (サイドチャネル)
- 38. /dev/[u]random /dev/urandom は暗号にとって安全 • Google の BoringSSL が使用 • Python, Go, Ruby が使用 • Sandstormは /dev/random をこれに変更 • 暗号の専門家も同じことを言う • 他のOSには /dev/random はない
- 39. /dev/[u]random ✦ https://www.imperialviolet.org/2015/10/17/boringssl.html ✦ http://sockpuppet.org/blog/2014/02/25/safely-generate-random-numbers/ ✦ http://www.2uo.de/myths-about-urandom/ ✦ http://blog.cr.yp.to/20140205-entropy.html ✦ https://developer.apple.com/library/mac/documentation/Darwin/Reference /ManPages/man4/random.4.html ✦ https://en.wikipedia.org/wiki//dev/random#FreeBSD ✦ https://docs.sandstorm.io/en/latest/developing/security-practices/ ✦ http://lists.randombit.net/pipermail/cryptography/2013- August/004983.html
- 40. /dev/[u]random • /dev/random は必要ない • エントロピープールを計数し続ける必要 はない • (havegedなどのように)プールを「補充」 する必要はない • 乱数の「質」は低下しない
- 42. Bad CSPRNG
- 45. シード不良のCSPRNG “弱いキーを持つネットワーク デバイスが大量に広まっている” Heninger, Durumeric, Wustrow, Halderman https://factorable.net/
- 47. シード不良のCSPRNG ユーザー空間の CSPRNG はより 危険: シードの初期化を完全に忘れ やすい。 実例: http://android- developers.blogspot.it/2013/08/some- securerandom-thoughts.html
- 50. 壊れたCSPRNG --- openssl/trunk/rand/md_rand.c 2006/05/02 16:25:19 140 +++ openssl/trunk/rand/md_rand.c 2006/05/02 16:34:53 141 @@ -271,7 +271,10 @@ static void ssleay_rand_add( else MD_Update(&m,&(state[st_idx]),j); +/* + * Don't add uninitialised data. MD_Update(&m,buf,j); +*/ MD_Update(&m,(unsigned char *)&(md_c[0]),sizeof(md_c)); MD_Final(&m,local_md); md_c[1]++;
- 52. Non-CS PRNG Mersenne Twister (MT19937) Python: random.random() Ruby: Random::rand() PHP: mt_rand()
- 53. Non-CS PRNG MT19937のコアは624の整数による状態を持ち、 この関数のようになっている def get_mt_random_number(): if index == 0: generate_numbers() y = STATE[index] y ^= y >> 11 y ^= (y << 7) & 0x9d2c5680 y ^= (y << 15) & 0xefc60000 y ^= y >> 18 index = (index + 1) % 624 return y
- 54. Non-CS PRNG 出力を見ることで、その出力が生成された状態の数 を再生成することは容易である。 def untemper(y): x = y for i in range(32 // 18): y ^= x >> (18 * (i + 1)) for i in range(32 // 15): y ^= (((y >> (i*15)) % (2**15)) << ((i+1)*15)) & 0xefc60000 for i in range(32 // 7): y ^= (((y >> (i*7)) % (2**7)) << ((i+1)*7)) & 0x9d2c5680 x = y for i in range(32 // 11): y ^= x >> (11 * (i + 1)) return y
- 55. Non-CS PRNG 624の出力を見れば、将来にわたるすべての出力が 予測可能である。 def untemper(y): x = y for i in range(32 // 18): y ^= x >> (18 * (i + 1)) for i in range(32 // 15): y ^= (((y >> (i*15)) % (2**15)) << ((i+1)*15)) & 0xefc60000 for i in range(32 // 7): y ^= (((y >> (i*7)) % (2**7)) << ((i+1)*7)) & 0x9d2c5680 x = y for i in range(32 // 11): y ^= x >> (11 * (i + 1)) return y
- 57. Thank you! Q/A 疑問? 不満がある? 言って! Filippo Valsorda — @FiloSottile filippo@cloudflare.com Slides: https://filippo.io/entropy-talk