杨波,_《现代密码学(第2版)》第五章 5.4-5.5节

5.4.1 随机数的使用
很多密码算法都需使用随机数，例如： 很多密码算法都需使用随机数，例如： • 相互认证。在密钥分配中需使用一次性随机数来 相互认证。 防止重放攻击。 防止重放攻击。 • 会话密钥的产生。 会话密钥的产生。 • 公钥密码算法中密钥的产生，用随机数作为公钥 公钥密码算法中密钥的产生， 密码算法中的密钥， 密码算法中的密钥，或以随机数来产生公钥密码算 法中的密钥。 法中的密钥。 在随机数的上述应用中， 在随机数的上述应用中，都要求随机数序列满 随机性和不可预测性。 足随机性和不可预测性。
一种方法是将高质量的随机数作为随机数库编 一种方法是将高质量的随机数作为随机数库编 辑成书，供用户使用。 辑成书，供用户使用。然而与网络安全对随机数巨 大的需求相比，这种方式提供的随机数数目非常有 大的需求相比，这种方式提供的随机数数目非常有 再者， 限。再者，虽然这时的随机数的确可被证明具有随 机性，但由于敌手也能得到这个随机数源， 机性，但由于敌手也能得到这个随机数源，而难以 保证随机数的不可预测性。 保证随机数的不可预测性。 网络安全中所需的随机数都借助于安全的密码 网络安全中所需的随机数都借助于安全的密码 算法来产生。但由于算法是确定性的， 算法来产生。但由于算法是确定性的，因此产生的 数列不是随机的。然而如果算法设计得好， 数列不是随机的。然而如果算法设计得好，产生的 数列就能通过各种随机性检验，这种数就是伪随机 数列就能通过各种随机性检验，这种数就是伪随机 数。
如果取a=7，其他值不变，则产生的数列为 5, 25, ，其他值不变，则产生的数列为{1, 如果取 29, 17, 21, 9, 13, 1,…}，周期增加到 。 ，周期增加到8。 周期尽可能大， 应尽可能大 应尽可能大。 为使随机数数列的周期尽可能大 为使随机数数列的周期尽可能大，m应尽可能大。 普遍原则是选 接近等于计算机能表示的最大整数 接近等于计算机能表示的最大整数， 普遍原则是选m接近等于计算机能表示的最大整数， 如接近或等于2 如接近或等于231。
下面考虑随机数产生器X 的实现。 下面考虑随机数产生器 n+1=(aXn) mod m的实现。 的实现 算法实现时，需解决的主要问题是溢出， 算法实现时，需解决的主要问题是溢出，为此将迭 代关系写为X=f(X)=(aX) mod m，对算法修改为： 代关系写为 ，对算法修改为： 设m=aq+r，其中 q = m a , r=m mod a。 ， 。
第5章 密钥分配与密钥管理 章
• • • • • 单钥加密体制的密钥分配 公钥加密体制的密钥管理 密钥托管 随机数的产生 秘密分割
5.4 随机数的产生
随机数在密码学中起着重要的作用。 随机数在密码学中起着重要的作用。这一节首 先介绍随机数在密码学中的作用， 先介绍随机数在密码学中的作用，然后介绍产生随 机数的一些方法。 机数的一些方法。
线性同余算法的强度在于如果将乘数和模数选 线性同余算法的强度在于如果将乘数和模数选 乘数 择得好，则产生的数列和从1, 择得好，则产生的数列和从 2 ,…, m-1中随机选 中随机选 取的数列是不可区分的。 取的数列是不可区分的。 但是除了初值X 的选取具有随机性外， 但是除了初值 0的选取具有随机性外，算法本 身并不具有随机性，因为X 选定后， 身并不具有随机性，因为 0选定后，以后的数就被 确定性地产生了。 确定性地产生了。 这个性质可用于对该算法的密码分析 对该算法的密码分析， 这个性质可用于对该算法的密码分析，如果敌 手知道正在使用线性同余算法并知道算法的参数， 手知道正在使用线性同余算法并知道算法的参数， 一旦获得数列中的一个数， 则一旦获得数列中的一个数，就可得到以后的所有 数。
2. 不可预测性 在诸如相互认证 会话密钥的产生等应用中 相互认证和 的产生等应用中， 在诸如相互认证和会话密钥的产生等应用中， 不仅要求数列具有随机性 具有随机性而且要求对数列中以后的 不仅要求数列具有随机性而且要求对数列中以后的 数是不可预测的 不可预测的。 数是不可预测的。 对于真随机数列来说， 对于真随机数列来说，数列中每个数都独立于 真随机数列来说 其他数，因此是不可预测的。 其他数，因此是不可预测的。 伪随机数来说 对于伪随机数来说， 对于伪随机数来说，就需要特别注意防止敌手 从数列前边的数预测出后边的数。 从数列前边的数预测出后边的数。
改进的方法是利用系统时钟修改随机数数列。 改进的方法是利用系统时钟修改随机数数列。 是利用系统时钟修改随机数数列 •方法一：是每当产生N个数后，就利用当前的时钟 方法一：是每当产生 个数后 个数后， 方法一 值模m后作为新种子 后作为新种子。 值模 后作为新种子。 •方法二：是直接将当前的时钟值加到每个随机数 方法二： 方法二 上（模m加）。 加
a n mod m ≠ 1 n = 1, 2,L , m − 2 m −1 a mod m = 1
时，产生的数列是整周期的。例如, a=75=16807即 产生的数列是整周期的。例如 即 的一个本原根， 为m=231-1的一个本原根，由此得到的随机数产生 的一个本原根 已被广泛应用， 器Xn+1=(aXn)mod (231-1)已被广泛应用，而且与其 已被广泛应用 他产生器相比，经历过更多的检验， 他产生器相比，经历过更多的检验，这种产生器常 用于统计和模拟工作。 用于统计和模拟工作。
评价线性同余算法的性能有以下 个标准： 评价线性同余算法的性能有以下3个标准： 线性同余算法的性能有以下 迭代函数应是整周期的， ① 迭代函数应是整周期的，即数列中的数在重复 之前应产生出0到 之间的所有数 之间的所有数。 之前应产生出 到m之间的所有数。 产生的数列看上去应是随机的。 ② 产生的数列看上去应是随机的。因为数列是确 定性产生的，因此不可能是随机的，但可用各种统 定性产生的，因此不可能是随机的， 计检测来评价数列具有多少随机性。 计检测来评价数列具有多少随机性。 迭代函数能有效地利用32位运算实现 位运算实现。 ③ 迭代函数能有效地利用 位运算实现。
a、c和m的取值是产生高质量随机数的关键。 、 和 的取值是产生高质量随机数的关键。 的取值是产生高质量随机数的关键 例如取a 例如取 = c = 1，则结果数列中每一个数都是前一 ， 个数增1，结果显然不能令人满意。 个数增 ，结果显然不能令人满意。 如果a 则产生的数列为{7, 如果 = 7, c=0, m=32，X0=1则产生的数列为 17, ， 则产生的数列为 23, 1, 7, …}，在32个可能值中只有 个出现，数列 个可能值中只有4个出现 ， 个可能值中只有 个出现， 的周期为4，因此结果仍不能令人满意。 的周期为 ，因此结果仍不能令人满意。
通过精心选取a、c和m，可使以上3个标准得以满 通过精心选取 、 和 ，可使以上 个标准得以满 位运算的实现， 足。对第3条来说，为了方便 位运算的实现，m 条来说，为了方便32位运算的实现 可取为2 条来说， 为素数（ 可取为 31-1。对第 条来说，如果 为素数（231-1 。对第1条来说 如果m为素数 即为素数） 的一个本原根， 即为素数）且c=0，则当 是m的一个本原根，即满 ，则当a是 的一个本原根 足
1. 随机性 以下两个准则常用来保障数列的随机性： 以下两个准则常用来保障数列的随机性： ① 均匀分布: 数列中每个数出现的频率应相等或近 均匀分布 似相等。 似相等。 独立性: 数列中任意一数都不能由其他数推出。 ② 独立性 数列中任意一数都不能由其他数推出。 数列是否满足均匀分布可通过检测得出， 数列是否满足均匀分布可通过检测得出，而是 否满足独立性则无法检测。 否满足独立性则无法检测。 有很多检测方法能证明数列不满足独立性， 有很多检测方法能证明数列不满足独立性，因 此通常检测数列是否满足独立性的方法是在对数列 进行了足够多次检测后都不能证明不满足独立性， 进行了足够多次检测后都不能证明不满足独立性， 就可比较有把握地相信该数列满足独立性。 就可比较有把握地相信该数列满足独立性。
如果敌手只知道正在使用线性同余算法以及产 如果敌手只知道正在使用线性同余算法以及产 生的数列中极少一部分，就足以确定出算法的参数。 生的数列中极少一部分，就足以确定出算法的参数。 假定敌手能确定X 假定敌手能确定 0、X1、X2、X3，就可通过以下 方程组 X1=(aX0+c) mod m X2=(aX1+c) mod m X3=(aX2+c) mod m 解出a、 和 。 解出 、c和m。
在设计密码算法时， 在设计密码算法时，经常使用似乎是随机的数 称为伪随机数列 例如RSA算法中素数的产生。 伪随机数列， 算法中素数的产生。 列，称为伪随机数列，例如 算法中素数的产生 一般来说，决定一个大数N是否为素数是很困难的 是否为素数是很困难的。 一般来说，决定一个大数 是否为素数是很困难的。 的每个数去除N，如果N 最原始的方法是用小于 的每个数去除 ，如果 N 很大，比如10 这一方法则超出了人类的分析能 很大，比如 150，这一方法则超出了人类的分析能 力和计算能力。 力和计算能力。很多有效的算法是通过使用随机选 择的整数序列作为相对简单计算的输入， 择的整数序列作为相对简单计算的输入，可检测一 个数的素性。如果随机选择的序列足够长（当然， 个数的素性。如果随机选择的序列足够长（当然， ），就可比较肯定地得出这个数的素 远小于 ），10150 就可比较肯定地得出这个数的素 这种方法称为随机化， 性。这种方法称为随机化，在设计密码算法时经常 使用。 使用。
5.4.2 随机数源
• 真随机数很难获得，物理噪声产生器，如离子辐射 真随机数很难获得，物理噪声产生器， 脉冲检测器、气体放电管、漏电容等都可作为随机 脉冲检测器、气体放电管、 数源，但在网络安全系统中很少采用， 数源，但在网络安全系统中很少采用，一方面是因 为数的随机性和精度不够 另一方面这些设备又很 精度不够， 为数的随机性和精度不够，另一方面这些设备又很 难连接到网络系统中。 难连接到网络系统中。
p1 ( X ) − p 2 ( X ) 如 果 p1 ( X ) > p 2 ( X ) f (X ) = p1 ( X ) + ( m − p 2 ( X )) 否 则 如 果 p1 ( x ) ≤ p 2 ( x )