CN104063203A - 用于产生随机的输出比特序列的方法 - Google Patents

Abstract

本发明涉及用于产生随机的输出比特序列的方法。提出用于生成随机输出比特序列的方法和设备。在该方法中将输入输入到状态自动机的装置中。该装置基于输入确定输出，其中该输入与单向函数逻辑关联地被输入到所述装置中。

Description

用于产生随机的输出比特序列的方法

技术领域

本发明涉及一种用于产生随机的输出比特序列的方法以及一种用于执行该方法的设备。

背景技术

称为随机元件的结果的随机数对很多应用所需要。为了产生随机数采用所谓的随机生成器。随机生成器是提供随机数序列的方法。随机数的决定性准则是生成的结果是否能被看作与先前的结果无关。

为了产生随机的比特序列采用在输入输入比特序列的情况下提供随机输出比特序列的随机比特生成器（Random Bit Generator）。

例如对于密码方法来说随机数被需要。这些随机数被用于生成用于加密方法的密钥。对这样的密钥提出涉及随机特性的高要求。

尤其是随机的量或程度、也就是每比特的熵应当是足够的。此外对于来自{0,1}的值的比特概率应当是同概率的。要注意的是，为此由已知的随机源生成的随机值大多不满足这些要求。因此需要附加的方法，其中这些方法被概括在概念“后处理”（“post processing”）下。对于这样的后处理典型地采用DRBG（Deterministischer Random Bit Generator，确定性随机比特生成器），如这例如通过在2001年9月25日的BSI AIS 31中的das Bundesamt für Sicherheit in der Informationstechnik(BSI，联邦局信息技术安全性)中描述的那样。这样的生成器产生确定性的比特序列，但是该比特序列看起来是随机的。也将这样的生成器称为伪随机生成器。如果未知的种子（Seed）被用作伪随机序列的起始点，则该序列不允许是可预测的，即使人们知道该伪随机序列的已经输出的比特，但不知道种子。

在此情况下，DRBG的特性被更准确地检查并且由国家标准技术局（NIST）在2007年3月的Special Paper NIST SP 800-90中给出针对DRBG的建议。

根据现有技术的后处理典型地通过弹性函数（Resilient Function）、线性反馈移位寄存器（LFSR）和多输入LFSR或MISR（Multiple Input Signature Register，多输入签名寄存器）加以实现。

根据现有技术的方法要么非常费事，例如弹性函数，要么所述方法不精确地满足50%比特概率，例如LFSR。上述两种方法此外不具有识别装置中例如由于误攻击而导致的错误。

发明内容

以此为背景提出一种具有权利要求1的特征的方法和一种根据权利要求9的设备。其它实施由从属权利要求和说明书得出。

首先提出一种用于生成伪随机输出比特序列的方法，其中使用2ⁿ个分别相同构建的状态自动机的装置，其中这些状态自动机分别包括n个状态比特，其中每个状态自动机总是采取与该装置的其它状态自动机不同的状态，其中在输入侧向这些状态自动机分别输送相同的输入信号，并且这些状态自动机分别依据其状态而产生n个签名比特，这些签名比特一起形成签名比特序列，其中通过从该装置的所有状态自动机的签名比特序列中选择各个比特来产生随机输出比特序列。

该方法例如利用用于用未知种子（Seed）生成随机输出比特序列的伪随机比特生成器来执行，该伪随机比特生成器包括2ⁿ个分别相同构建的状态自动机的装置，其中这些状态自动机分别包括n个状态比特，其中每一个总是采取与该装置的其它状态自动机不同的状态，其中在输入侧能够向这些状态自动机输送输入信号，并且这些状态自动机分别依据其状态而产生n个签名比特，这些签名比特一起形成签名比特序列，其中通过从该装置的所有状态自动机的签名比特序列中选择各个比特来产生随机输出比特序列。

该方法与已知方法相比具有识别误攻击的可能性。此外提供了比LFSR更好的比特概率。但是该方法具有以下缺点：可能出现冲突，也就是可能出现不同输入比特序列的相同输出序列。通过这样的冲突可能有利于攻击者或袭击者的攻击。此外在该方法情况下对所输出的输出信号的回溯可能比这里在下面提出的方法情况下更为简单。

上述方法现在通过以下方式加以扩展，即输入被处理两次，而且这些输入一次直接进入状态机的装置（也称为COSSMA装置（Complete Set of State Machines,完整的状态机组）），并且附加地与单向函数逻辑关联地进入。

单向函数在此是能被“轻易”计算但是“难以”逆转的数学函数。

直接输入保证，在处理时不丢失熵并且第二次逻辑关联的输入有助于避免冲突，使得难以回溯（Backtracking），也就是说难以计算出前任输出值，并且在种子（Seed）未知的情况下使得难以预告或预测未来的输出值。如果可以证明在与单向函数逻辑关联（Verknüpfung）的情况下不丢失熵并且冲突也不由此加强地出现，则也可以放弃直接输入。

附加地，如果在处理最后的输入比特之后也还计算出奇偶性并且该奇偶性进入输出值中，则所有输入比特对输出值的影响可以被同等化。

本发明的其它优点和构型从说明书和附图中得到。

不言而喻，上面提到以及下面还要阐述的特征不仅能以分别说明的组合，而且还能以其它组合或者单独地加以使用，而不脱离本发明的范围。

附图说明

图1示出所提出的方法的实施布置。

图2示出所描述的用于执行所述方法的设备的实施方式。

图3示出状态自动机的装置。

图4示出4比特状态自动机。

图5示出状态过渡。

图6示出单向函数。

图7示出DRBG输出级。

具体实施方式

本发明借助实施方式在附图中被示意性示出并在下面参照附图加以详尽的描述。

如图1中所示，在第一步骤10中基于64个输入比特分别产生4个输出比特s0，s1，s2，s3，这64个输入比特称为种子。该种子被预先给定并且例如可以是TRNG源的输出。在计算出4个输出比特之后，通过内建的增量器将该种子提高1，并且该被递增的种子被用于产生后面的4个输出比特。该行动一直继续，直到预先给定新的种子为止。从这64比特的输入中首先在第一步骤中选择第一4个比特，并且直接应用于具有16个状态自动机14的状态自动机装置12。

状态自动机装置的功能在图2，3和4中加以阐述。

图2示出用于执行该方法的设备的结构，该设备总地用附图标记50表示。该图示示出被分成4比特的块的输入向量52、第一初始状态54，该第一初始状态将所述装置的内部计数器复位，所述内部计数器与输入向量52的值相关地起作用用于选择输出比特58。此外，该图示示出单向函数60、状态自动机的装置62（COSSMA），第二初始状态64作用于该装置，该第二初始状态或者在每次新处理输入向量52之前有效或者也在预先给定数目的输入向量52之后才确定在该装置62中存在的状态自动机的初始状态。由此在两次输入处理之后在装置62的输出端66处得到值。

图3阐明状态自动机的装置，该装置总地用附图标记100表示并且也称为完整的状态自动机组（COSSMA：COmplete Set of State MAchines）。由此图3示出与图1中的装置12对应的完整的状态自动机组。

装置100具有4比特输入s0’,s1’,s2’,s3’和64比特输出102。输出102的比特通过状态自动机104的触发器驱动。

图4示出用附图标记150表示并且被实施为4比特NLMISR（non linear multiple input signature register，非线性多输入签名寄存器）的4比特状态自动机。

如果对于任意预先给定的输入序列分别明确地确定后续状态（Folgezustand）和前任状态，则代替图4的NLMISR还可以使用任意的状态自动机。

图4的电路的过渡函数在下面的表中加以说明。

所有16个NLMISR的输入比特分别是相同的。但是它们的初始状态是不同的。由此根据上述前提条件每个NLMISR在每个时刻具有与每个其它NLMISR不同的状态。

在图5中示出在s0’=s1’=s3’=0时所使用的状态自动机的状态过渡。实线箭头示出针对s2’=0的过渡，其中在该情况下也可以针对分别一个时钟实现经由相应中间状态对角向右下方的直接过渡，如通过箭头170向右表示的。虚线箭头代表s2’=1。

图6阐明具有输入半字节x和在此期间的输出y的反馈作为输入参量的单向函数g=x*y。由此得到g的较高半字节180和g的较低半字节182，这些半字节经历修改184，从而获得结果186。

表1是代表单向函数的结果表：

表1。

图7示出总地配备有附图标记200的DRBG输出级。该图示示出与乘法器204连接的状态自动机202的系列。输出级200提供在此期间的输出，该输出被用于反馈和最后的输出。

下面借助图阐述本发明：

作为状态自动机装置12，62，100的初始状态，可以选择分布0,1,2,3，…15。重要的是每个相同构建的状态自动机14具有不同的初始状态。该初始状态不必是秘密的，但是对于专门的应用该初始状态也可以被作为秘密状态来对待。于是与所谓的“带密钥的散列函数（keyed Hash-Function）”可比的函数可用，所述带密钥的散列函数具有进一步改善的密码特性。

与用于第一步骤10的所使用的输入半字节s0，s1，s2，s3（与s0’,s1’,s2’,s3’相同，并且步骤号i=0）对应地根据图7确定4个内部计数器z0…z3，这些内部计数器确定从来自根据图3的状态自动机装置100的状态自动机202中对4个比特的选择。状态自动机装置100在此通过第一输入半字节已经根据图3和4修改过。这4个比特是“中间输出反馈”（Intermediate Output Feedback）值，即在此期间的输出反馈值，这些值在图1中用附图标记16阐明。利用这些值，在第一输入步骤之后在第二步骤20中通过在图6中描述的单向函数修改相同的输入半字节。该修改在表1中加以解释。

利用作为第一操作数的第一输入半字节s0,s1,s2,s3和来自做出4个比特的选择的输出级22的作为第二操作数的在此期间的输出o0’,o1’,o2’,o3’，对于单向函数获得输出：结果=s0’,s1’,s2’,s3’，该结果与s0,s1,s2,s3的区别在于根据表1的置换。该输出被应用于状态自动机装置12。通过这种方式将所有64个输入比特相继地作为半字节分别使用两次，而且是在无单向函数和有单向函数的情况下。

分别在特定数目、例如5个输入步骤之后插入奇偶性步骤。前面的5个输入步骤的输入si’被用于各产生要在随后的步骤中插入的串行奇偶性。在该实施例中从LSB s0’’中生成偶数奇偶性并且对所有其它比特各生成奇数奇偶性。奇偶性（Parity）应当对奇数数目的输入比特是奇数奇偶性，而对于剩余的输入是偶数奇偶性。这通过触发器的不同初始状态表现。通过对装置12,62,100应用奇偶性，保证多项式y（根据图4）的切换信号对于这六个步骤至少一次不同。

该切换信号例如在出版物DE 10 2009 000 322 A1中被更详细阐述。这引起非线性性，因为依据输入信号选择NLMISR的不同多项式。

如果单向函数具有使得多项式的切换对于任意输入序列都有可能的特性，则也可以放弃插入奇偶性。

在处理了所有输入之后，将三个其它步骤的在此期间的输出直接用作装置12的输入，以最后还用奇偶性结束64比特向量的处理循环。必要时也可以放弃这些附加步骤。

当在处理了所有64个输入比特后而产生4比特输出值o0,o1,o2,o3之后分别对种子进行递增，并且利用该经修改的种子根据相同的方法生成其它4个比特。在生成例如分别总共128个输出比特之后，将装置12，62，100的状态复位到初始状态64。与此对应地，适宜地在每次处理了输入向量52之后采取选择计数器z0至z3的初始状态54。代替所述递增，也可以递减种子，根据代码表继续计数、推移、旋转或以其它方式修改种子。

装置12,62,100的状态可以通过不同的方法检验。这因此是可能的，因为在装置12,62,100中每个状态自动机在每个时刻都具有不同的状态。此外可以对该方法进行检验。不同的状态通过以下方式得到保证，即在开始时所有状态自动机都被初始化到不同的起始值。通过类似地作用于具有明确的追随者和前任的输入，不能在两个状态自动机中达到相同的状态。

如果由于攻击或由于暂时的错误（例如由宇宙辐射引起的软错误）不再符合所提到的条件，则确定该错误并且可以采取合适的措施，例如复位。

在上述方法中还可以代替所述的乘法而使用任意其它单向函数。这样的单向函数例如是离散指数函数、拉宾（Rabin）函数(x2 mod N)或散列函数。

此外可以放弃奇偶性的插入并且还可以去掉三个附加的步骤，其中将在此期间的输出直接应用于装置12,62,100。这对于具有较小要求的应用来说可以是适宜的；单向函数的非线性性必要时已足以满足对应的要求。也可以避免每个输入半字节的两次处理并且仅将借助单向函数生成的信号输送给装置12,62,100。

所提出的设备可以包括输入信号、输出信号、实现单向函数的第一电路和包含多个类似构建的状态自动机的第二电路。将输入信号与第一电路的第一输入端连接，将第一电路的输出端与第二电路的输入端连接并且将第二电路的输出端与输出信号连接。

此外，第二电路的输出端可以与第一电路的第二输入端连接。

第二电路可以由分别具有n比特状态的2ⁿ个类似构建的状态自动机构建，这些状态自动机全都拥有不同的初始状态并且全都类似地与第二电路的输入信号连接。

单向函数可以通过两个输入的相乘来实现，其中该相乘的结果的双倍比特宽度通于该结果的较高位比特和较低位比特之间的逻辑关联而被化为单倍比特宽度。

此外输入信号可以由多个比特组成，这些比特在多个步骤中在第二电路中被处理。在此，这些部分直接地和/或间接地经由第一电路（单向函数）与第二电路的输入端连接一次并且在每个步骤之后在用于与第一电路的第二输入端连接的第二电路的输出端处提供值，该值是状态自动机的状态比特的选择，从而在结束所有步骤之后在电路装置的输出端处提供这样的选择。

在特定数目的步骤之后，对第二电路的每个输入比特可以插入奇偶性，该奇偶性由前面步骤的所涉及比特的信号值形成。

此外可以在提供输出信号之后对输入信号进行修改，例如递增，递减或根据代码规则改变，并且将该修改后的输入信号用于生成其它输出信号。

在提供特定数目的输出值之后，可以如此初始化状态自动机，使得每个状态自动机都具有不同的状态。

输入信号可以在固定或可变数目的修改之后被不可预测的值代替。

Claims (11)

1.用于生成随机输出比特序列的方法，其中将输入输入到状态自动机（14,104）的装置（12,62,100）中并且该装置（12,62,100）基于该输入来确定输出，其中该输入与单向函数（60）逻辑关联地被输入到所述装置（12,62,100）中。

2.根据权利要求1所述的方法，其中附加地将所述输入直接输入到所述装置（12,62,100）中。

3.根据权利要求1或2所述的方法，其中使用2ⁿ个分别相同构建的状态自动机（14,104）的装置（12,62,100），其中状态自动机（14,104）分别包括n个状态比特，其中每个状态自动机（14,104）总是采取与该装置（12,62,100）的其它状态自动机（14,104）不同的状态，其中在输入侧向状态自动机（14,104）分别输送相同的输入信号，并且这些状态自动机分别依据其状态而产生n个签名比特，这些签名比特一起形成签名比特序列，其中通过从该装置（12,62,100）的所有状态自动机（14,104）的签名比特序列中选择各个比特来产生随机输出比特序列。

4.根据权利要求1至3之一所述的方法，其中在多个步骤中分别将输入输入到所述装置（12,62,100）中并且与单向函数（60）逻辑关联地输入。

5.根据权利要求4所述的方法，其中分别在特定数目的输入步骤之后在所述输入中插入奇偶性。

6.根据权利要求1至5之一所述的方法，其中作为单向函数（60）使用乘法。

7.根据权利要求6所述的方法，其中将第一操作数与第二操作数相乘，其中作为第一操作数使用所述输入，并且作为第二操作数使用来自之前的运算的中间结果。

8.根据权利要求1至7之一所述的方法，其中作为输入使用TRNG源的输出。

9.用于利用状态自动机（14,104）的装置（12,62,100）生成随机输出比特序列的设备，尤其是用于执行根据权利要求1至8之一所述的方法，其中能够向状态自动机（14,104）的装置（12,62,100）分配单向函数（60），该单向函数的输出能够作为输入被分配给所述装置（12,62,100）。

10.根据权利要求9所述的设备，其中状态自动机（14,104）的装置（12,62,100）包括2ⁿ个分别相同构建的状态自动机（14,104）的装置（12,62,100）。

11.根据权利要求9或10所述的设备，其包括用于提供输入的TRNG源。