CN1286425A - 随机数发生器 - Google Patents

Abstract

为系统建议一种用于发生随机数的方法,该系统包括系统时钟、计数器、和用于执行操作的处理单元。首先在预定时间间隔T内重复工作操作A若干次。计数所述工作操作的重复次数。将重复次数映射到返回实际样值的固定范围。返回的实际样值与先前的这些样值级联以形成样值序列,然后估算其信息量。重复这些步骤直到该估算导致所包含的信息量大于或等于预定量的目标数。然后样值压缩到具有小于或等于目标数长度的位序列。

Description

随机数发生器

本发明涉及用于生成随机数的方法和随机数发生器。

本发明的技术领域和背景技术

在安全通信协议中随机值起着关键的作用。经常以对手必须猜测随机值才能破坏安全性的方式设计这些协议。因此不可预知的随机值对于协议的安全性来说非常必要。这种协议的一个显著例子是SSU/TLS(现有技术引证)。随机数发生器分成两类：伪随机数发生器(PRNG)和真随机数发生器(TRNG)。

PRNG：在初始来源(seeding)后，PRNG产生一随机值序列。因为由某种算法定义该序列所以可以确定该序列，并且如果知道来源可以预测该序列。伪随机算法保持某种秘密的内部状态以生成随机输出。基于初始的来源创建初始的秘密状态。PRNG算法经常利用密码技术来保护其内部秘密状态免于通过分析随机输出被推论出来。然而，因为不可预测性来自不可预知的来源，PRNG独自并不能解决上述用于安全协议的不可预知的随机数据的安全性问题。可以从JohnWiley&Sons Inc.1996年第二版的BruceSchneier的“应用的密码术”第2.8章(p.44ff)部分I中看出随机数发生的重要性。在同一本书第17.14章(p.421ff)中描述了真随机序列发生器。

TRNG：TRNG输出一随机值序列，先前生成的值与将要生成的值无关。TRNG在硬件实现上相对容易，在软件实现上相对困难。基于软件的TRNG的通常方法是记录在某系统硬件发生的“相当随机事件”。在作为随机数据返回到某应用程序之前混合和按摩(massage)这些事件。利用PRNG，密码技术用于按摩组合的随机事件。单向散列函数经常用于压缩未处理的事件数据并产生具有好统计特性的输出。

相当随机事件的典型来源是磁盘访问次数、某些中断的定时、键盘和鼠标事件等。通常，可以说基于软件的TRNG越容易实现，TRNG就越接近硬件。这意味着TRNG需要访问硬件和I/O系统而且必须很好地集成到操作系统。通常，由TRNG方案生成真随机数据是比PRNG算法更消耗时间的过程。因此，TRNG经常用来作为PRNG的来源，由应用程序使用PRNG的输出。

如今的操作系统中只有一些操作系统提供对真随机数发生的支持；其中之一是Linux。(现有技术引证)通常，独立于平台的应用程序，例如Java应用程序或小应用程序不能期望操作系统在其执行环境中提供该功能。

本发明的目的和优点

根据权利要求1的本发明的目的是提供一种独立于平台的真随机数发生方法。另一个目的是提供一种供给随机数的真随机数发生方法，该随机数的随机性依赖于系统中纯粹的数据处理活动。另一个目的是提供一种供给随机数的真随机数发生方法，该随机数的随机性随系统活动而增加。另一个目的是提供一种供给随机数的真随机数发生方法，控制该随机数的随机性特别直到预定的随机性值。根据权利要求13的本发明的目的是提供一种随机数发生器，其具有与上述真随机数发生方法相同的优点。根据权利要求11的本发明的目的是提供将所述方法编码的机器可读媒介。根据权利要求12的本发明的目的是提供一种机器可读媒介，包括编码形式的程序，用于执行根据权利要求1到10的其中一个方法。

所建议的基于软件的TRNG设计为在操作系统顶层运行的应用程序，其只对基础系统有最少的功能要求。它不需要接近于硬件实现，可以放在操作系统顶层执行的过程中。它只对基础操作系统有最少的要求并适应硬件固有的和操作系统行为暴露的熵。

因为对基础操作系统只要求的一个特征是返回系统时间，例如当前时间的函数，所以本发明方法在不同硬件平台和操作系统的宽范围内工作。本算法适用于本系统并利用系统可得到的熵。如果系统中没有熵，则理论上将永远运行该算法因为没有要估算的随机事件。但在真实的系统中这种情况永远不会发生。如果系统具有许多活跃的输入源(键盘、鼠标、或网络)，则该算法比在具有非常有限系统活动的机器上更快地产生随机信息。该适应过程既简单又快速。如果应用程序请求随机信息，则即时发出该数据并且不会被冗长的估算过程延迟。该算法的内存消耗非常小，这使得很容易集成到低端系统，例如PDA或电话的应用程序中。使用处理器同时收集随机性和生成数据，但是其它任务也可以自由地共享随机数发生过程。

当级联返回的实际样值和先前的这些样值以形成样值序列的步骤，或者估算该样值序列所包含信息量的步骤具有比时间间隔小的运行时间或者运行时间是常数时，降低了伪熵的可能性，所测量的熵更接近于真实熵。这导致更短的必要位长安全性界限和更好的随机性。当重复次数v是个大数时，有利于确保更大地随机性分布。

工作操作不必是单个操作，可以包含若干个操作，这些操作可以是不同或相同的操作。当每次执行工作操作之后，读取系统时钟时间以确定时间间隔是否已经过去，确定重复次数的精确度增加，导致计数不那么精确和更精确的重复次数，该更精确的重复次数反过来增加了确定样值分布和其固有熵的精确度。

运行所建议方法的最简单方式是工作操作是什么也不做的操作。这提供执行这里所建议方法的最低系统负荷。

当工作操是会影响系统工作量(具有至少部分随机的处理时间的影响)的操作时，由随机数生成方法引入的系统工作量随机分布而且不会产生影响总体系统性能的系统工作量峰值。所建议的方法对系统性能的影响是可忽略的。

当计数的重复次数中只是有限的数目，最好是最低有效位的2、4、8位用作样值s时，这代表将重复次数映射到固定范围的非常简单的方法。

通过将香农函数用到样值的概率值来估算包含在样值序列的信息量是有优点的，因为该方法将导致表示样值随机性的熵值，该熵值对依赖随机数的过程诸如密码算法有用。

为了将样值序列压缩为较短的位序列，如果样值序列采用一个二进制数，选择模数，从而M≥2¹，取N²模M的最少1位得到压缩的位序列，那么样值序列转变成具有可选择安全界限的位序列，即当l＜L时，例如为了消除最终的伪熵，混合的比特起作用。如果M是素数则该混合特别好。目的在于压缩时避免损失熵。

用素数作模数，最好是最小可能的素数提供了好处，因为由此获得好的混合，避免或者至少减少了熵降低的相关性。

本发明的综述

本发明涉及一种随机数发生方法，该方法利用在系统内执行的操作或任务的随机性，该系统具有处理所有这些操作或任务的处理单元。系统在时标上执行大量的任务，其中在相对较短的时间内执行大量的操作，在不同时间点执行特定的预定工作操作具有相同执行速度的概率非常低。这意味着通过测量执行时间，人们有了生成随机数的第一个基础。任务越多和这些任务的启动时间和执行时间越随机分布，该工作操作执行时间的随机性越高。因为工作操作不只执行一次，而是若干次，理想的是相对很高的次数，随机性相加从而增加。因此该工作操作可以是被执行若干次的操作，同时记数在预定时间周期内的执行次数。它还可以是可由其它任务中断的低优先级任务。或者组合也可以。非常容易实现的工作操作实际上只是监视系统时钟。因为监视是处理单元执行的一项任务，该监视任务还受到其它任务的干扰。估算计数器读取的次数是随机数。在时间周期内操作重复次数越多，原则上随机性越大，因为不同的干扰任务数期望越多。特别适合作为干扰任务的是那些与网络活动有关的任务，因为网络活动相对不确定地发生而且次数足够多。则时间周期，也称作时间间隔之后，计数器读取是生成具有高随机性的随机数的基础。由于估算的计数器读取的随机性不强制很高的事实，在映射到固定数目的范围后，估算计数器读取的随机性。根据其结果，继续产生计数器读取的过程直到其级联的样值序列表现出足够高的以熵值形式表示的随机性。因为最后样值序列的位长比表示所包含熵必须的位长更长，随后的压缩步骤将位长减少到适当的长度甚至更短。因此，所建议的方法代表利用纯粹系统活动的方式，并不是指用于生成随机数的附加硬件装置。

附图的描述

在附图中描述了本发明的例子，下面举例更详细描述本发明。

图1表示了根据本发明方法的流程图。

所有的附图为了清楚没用真实尺度表示，而且没用真正的比例表示尺度间的关系。

本发明的详细描述

下面，描述本发明各种可示范性的实施例。

图1中，描述了根据本发明方法步骤的示意列表。在包括处理单元和计数器的系统中执行该方法。处理单元意欲执行不同的操作。典型的计算机环境适于该任务，操作例如是磁盘驱动器访问、存储器访问、中断、计算任务等等。

在用1a表示的基本循环中，在指定的时间即时间间隔T内重复工作操作A。因此起始时间值在第一步1设置为t₀，工作操作A在第二步2执行一次。在第三步3，系统计数器C加一。在第四步4，检验实际的系统时间t减去起始时间值t₀是否超过时间间隔T。在时间间隔T还没过去的情况下，再次启动第二步2从而闭合基本循环1a。因此一再运行基本循环1a，直到超过时间间隔T。然后离开基本循环La。系统计数器C表示在该时间点在时间间隔T内执行了多少次工作操作A。工作操作A可以包括若干单独的操作。

在第五步5计数器读取采用重复次数v。基本上是次数v中承载了随机性。因为在任何系统中工作操作A都不是执行的唯一操作，在系统执行其它操作时中断基本循环的执行。中断时间依赖于操作类型。该操作可以是磁盘操作、存储器操作、网络操作或内部中断等。因此工作操作A并不是具有最高执行优先级的操作，而是某种较低优先级的操作。它可以是但不必是最低优先级的任务。优先级越高，工作操作执行就越少受到其它任务的抑制。优先级可以设置为保证足够多地抑制工作操作执行以得到重复计数足够高随机性的值，但该值还要保证足够多地执行工作操作A以便具有各种系统工作量下和可接受的时间量内足够多不同的重复次数。这些操作的随机性很高，随机性越高，执行操作的次数越多。很明显随机性不是常数而是依赖于系统的活动。理论上该特性首先使重复次数v是随机性不是很高的随机数。然而，在下一步将保证改变重复次数v以生成具有很高随机性的真随机数。

在第六步6，重复次数v映射到减少的有限的数目范围。该映射将重复次数v变为样值s，即s=G(v)，其中v是工作操作A的实际重复次数，G是映射函数。作为例子，简单的查找表可用于该映射。

由此作为结果的样值s采用样值序列R，样值s在第七步7与前面的样值s级联，即R：=[s₁、s₂、s₃、…]，s₁是第一个样值s，s₂是第二个等等。在样值s是第一个样值s₁的情况下，因此不与其它的样值s级联，因此组成整个的样值序列R。

在第八步8检验样值序列R的熵。因此使用香农函数S(P)=I。下面，n表示计数的样值s_i的总数，其中i∈{1…n｝。对于每个样值s_i，符号q_i表示样值序列R中样值s_i发生的次数。根据香农的信息理论定义计算信息量I：I=S(P)=-p₁ ^*log(p₁)-…-p_n ^*log(p_n)，其中p_i=q_i/n和如果p_i=0，p_i ^*log(p_i)=0。该熵估算过程假设p_i，即样值s_i在样值序列R的相对似然性不仅在记录样值序列R时有效。这组样值s_i都出现在样值序列R中，这些样值s_i的似然性依赖于基础系统和操作的当前状态。估算函数E(R)=S(P)将样值s_i映射为需要以二进制形式来表示信息量I的比特数。

下一步是第九步9，比较估算的信息量I和表示期望信息量的预定数L。可以自由选择此数，人们典型选择后来压缩步骤使用方便的数。因为需要具有指定最低位长的数作为输入的标准压缩和散列算法，数L至少设置为该长度以便用作标准压缩和/或散列方法的输入。

只要估算的信息量I小于目标值，即预定数L，即E(R)＜L，则过程继续到从开始再启动该过程，即再开始第一步1，之后再执行基本循环1a。此代表图中用2)表示的熵循环。否则开始第十步10。因此延长样值序列R直到其熵达到目标值L。然后离开熵循环2)。

如果已经获得所需的熵，即E(R)≥L，则这组记录的样值，样值序列R在第十步10压缩为l≤L的位长，导致最终的位序列B。可以利用压缩函数C执行此压缩。压缩低于目标值L不是强制性的，因为理论上具有L位长的最终位序列B的信息熵是L。为了补偿在该过程期间最后不可避免出现的伪熵，压缩到低于目标值L的程度提供了安全的界限。伪熵定义为由香农函数当作存在测量的熵，实际上不是真正的熵。

将典型地确定随机数发生器的参数，首先，确定最终位序列B的所需长度l，接着计算或估算安全界限以便达到所需的目标值L。

为了描述在随机数发生期间可能出现的影响，假设系统确定地执行并且没有中断事件。

(a)漂移

重复工作操作A的循环的一次循环和计数重复次数v所花的时间不可能准确划分时间间隔T。这意味着在系统时钟记号和当查询系统时钟时的准确时间之间存在漂移。在系统将确定地操作的情况下，作为结果的样值序列R可以包含两个样值v和v+1，虽然只应该出现一个。因为通过执行一序列若干循环漂移相加发生了这种变化，使得循环1a或早一个循环或晚一个循环地检测时钟的改变。因此该算法不应该考虑一对循环计数器之间如实际存在的只有1的差别。

(b)自建熵

为了最佳性能，即最低的伪熵，循环1a)各自的恒定启动条件，第五步5、第六步6、第七步7、第八步8、和第九步9应该具有恒定的运行时间。否则这些步骤5、6、7、8、9将消耗变化的时间量，包括第二、第三、和第四步2、3、4的循环1a将具有变化的循环计数。这种变化产生的模式更容易预测，因为不是由系统的随机事件引起的。

如果不能在独立于数据的执行时间内实现第七步7和第八步8，则通过该过程可能的执行路径之间的时间差应该至少比时间间隔T小。这产生非常小的漂移，该漂移对抽样的样值序列R的影响可以忽略。如果通过上述的测量不能消除上面的两个影响，则估算函数E将承认熵，虽然确实没有。因此，两个影响避免得越好，随机数发生的方法越可靠，获得随机数的随机性越好，用于克服感应自熵的最终安全界限，即L-1的要求越低。

举个例子，可以使用下面的设置：下述的设置最好工作在具有Windows95、Windows98、Windows NT、各种Unix系统(Linux、AIX、等)的其中一个操作系统中。时间间隔T设置为1毫秒。目标值设置为L：=96以及长度1设置为l：=64。这意味着汇集了96位信息，压缩为只有64位。该差别给出了提及的附加安全性。选择64位是当今流行的微处理器可以处理的最大整数。简单地选择空操作作为工作操作A，即什么也不做。因此，基本循环1a中，实际上计数查询当前时间的次数并且系统计数器加一。实现映射函数G，其中计数器的4位最低有效位数的值用作样值s。通过消除重复次数v中包含的某些附加信息，将重复次数v只映射到16个不同的值，使得算法的状态管理非常简单并且只很少的影响到性能。两个样值s可以很容易地并入使处理更容易的一个字节。

作为压缩函数C，使用下面的方法：N是整数，其二进制表示符合样值序列R中所有样值的级联，M是大于2¹的最小素数，C选择为N²模M的最小1位。由此，样值序列R包含的信息压缩为64位，还混合该信息以使作为结果的输出具有好的统计特性。

可以硬件、软件、或硬件和软件的组合实现本发明。根据本发明的随机数发生方法或随机数发生器可以在一个计算机系统以集中方式实现，或者可以在若干互连计算机系统分布的不同元件中以分布方式实现。适于实现这里所描述方法的各种计算机系统或其它装置都适用。典型的硬件和软件组合是具有计算机程序的通用计算机系统，当装载和执行计算机程序时，该计算机程序控制计算机系统以便实现这里所述的方法。本发明还可以嵌入在计算机程序产品中，其包括允许实现这里所描述方法的所有的特点，当装到计算机系统时，该产品能实现这些方法。该产品不需要编码和存储在媒介上，但还可以无媒介的形式存在和分布，即作为例如经数据网下载的纯码。这种意义下，本发明包括包含计算机程序代码方法的计算机程序元件，使这台计算机执行根据权利要求1到11的方法，和计算机程序产品包括具有上述计算机程序代码方法的计算机可读媒介，当程序装到计算机时，该程序使计算机执行此方法。

上下文的计算机程序或计算机程序方法是指以任何语言、代码或符号的一组指令的表示式，该指令使得装置具有信息处理能力以或者直接或者下面一个或两个之后执行特定的函数，a)变换为另一种语言、代码或符号；b)以不同的材料形式复制。

本发明还可以数据处理系统的形式实现，该系统包括操作系统和包括权利要求13所提及的装置。

Claims (16)

1．用于在系统中生成随机数的方法，该系统包括系统时钟、计数器、用于执行操作的处理单元，所述方法包括步骤：

1a)在预定时间间隔T内重复工作操作A若干次，

1b)计数所述工作操作A的重复次数v，

1c)将重复次数v映射到返回实际样值s的固定范围，

1d)级联返回的实际样值s和先前样值s以形成样值序列R，

1e)估算所述样值序列R中包含的信息量，

2)重复步骤1a)到1e)，直到步骤1e)的估算导致所包含的信息量I大于或等于预定量的目标数L，

3)将所述样值序列R压缩为具有长度l≤L的位序列B。

2．根据权利要求1的生成随机数的方法，其中步骤1b)和/或1c)和/或1d)和/或1e)具有比时间间隔T小的运行时间。

3．根据权利要求1或2的生成随机数的方法，其中步骤1d)和/或1e)具有恒定的运行时间。

4．根据权利要求1到3任何一个的生成随机数的方法，其中在每次执行工作操作A之后，读取系统时钟时间t以确定时间间隔T是否已经过去。

5．根据权利要求1到4任何一个的生成随机数的方法，其中工作操作A是什么也不做的操作。

6．根据权利要求1到5任何一个的生成随机数的方法，其中工作操作A是影响系统工作量的操作，该工作量具有至少部分随机的处理时间。

7．根据权利要求1到6任何一个的生成随机数的方法，其中执行步骤1c)，计数的重复次数v只是有限的数目，最好是最低有效的2、4、或8位用作样值s。

8．根据权利要求1到7任何一个的生成随机数的方法，其中通过将香农函数S用到样值s的概率值p来估算所述样值序列R包含的信息量I。

9．根据权利要求1到8任何一个的生成随机数的方法，其中执行步骤3)，样值序列R采用一个总二进制数N，选择模数M，其中M≥2¹，通过采用二进制数(N²)模M的最小1位得到压缩的位序列B。

10．根据权利要求1到9任何一个的生成随机数的方法，其中模数M是素数，最好是最小可能的素数。

11．根据权利要求1到10方法编码在机器可读媒介上。

12．包括程序编码形式的机器可读媒介，该程序用于执行根据权利要求1到10其中一个的方法。

13．随机数发生器包括：

1a)用于执行操作和在预定时间间隔T内重复工作操作A若干次的处理单元，

1b)用于计数所述工作操作A重复次数v的计数器，

1c)用于将重复次数v映射到固定范围和返回实际样值s的装置，

1d)用于级联返回的实际样值s和先前样值s以形成样值序列R的装置，

Le)用于估算所述样值序列R所包含信息量I的装置，

2)由此在所述处理单元重复步骤1a)到1e)，直到步骤1e)的估算导致所包含的信息量I大于或等于预定量目标数L，

3)用于将所述样值序列S压缩到具有长度l≤L的位序列B的装置。

14．根据权利要求13的随机数发生器，在每次执行工作操作A后读取系统时钟时间t以便确定时间间隔T是否已经过去。

15．根据权利要求13或14的随机数发生器，其中工作操作A是什么也不做的操作。

16．根据权利要求13到15随机数发生器，其中工作操作A是影响系统工作量的操作，该工作量具有至少部分随机的处理时间。

Images