DE102008033162A1

DE102008033162A1 - Physikalischer Zufallszahlengenerator

Info

Publication number: DE102008033162A1
Application number: DE200810033162
Authority: DE
Inventors: Rolf Jentzsch
Original assignee: GOLETZ THOMAS; Goletz Thomas Dipl-Ing
Current assignee: FEUSTEL, DIETMAR, DE; JENTZSCH, ROLF, DE; TOPF, BIRGIT, DE
Priority date: 2008-07-15
Filing date: 2008-07-15
Publication date: 2010-01-21

Abstract

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zur Erzeugung von physikalischen Zufallszahlen, wobei sich echte Zufallszahlen sehr effizient darstellen lassen. Die Erzeugung basiert auf dem Vergleich zweier Ereignisse (f_(Q1), F_(Q2) von mindestens zwei voneinander unabhängigen physikalischen Ereignisgebern. Wesentlich dabei ist, dass das erste physikalische Ereignis zwei zeitlich gleich verteilte, aber unterschiedliche Zustände aufweist. Das zweite physikalische Ereignis muss wiederum zwei zeitlich nicht gleich verteilte Zustände aufweisen. Dann wird aus dem zweiten Ereignis der Zufall gewonnen und auf dem ersten Ereignis der Zufall abgebildet, und zwar dadurch, dass festgestellt wird, ob bei dem ersten Ereignis ein im Wesentlichen erster oder zweiter Zustand vorliegt, wenn bei dem zweiten Ereignis ein im Wesentlichen erster oder zweiter Zustand vorliegt.

Description

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zur Erzeugung von physikalischen Zufallszahlen nach den Oberbegriffen der Ansprüche 1 und 11.
Zufallszahlen sind heutzutage vielfältig notwendig. Für die Erzeugung von Zufallszahlen gibt es viele verschiedene Methoden, die Zufallszahlen mehr oder weniger hoher Qualität zu erzeugen im Stande sind. Während jedoch für viele Verfahren qualitativ hochwertige, d. h. echte Zufallszahlen nicht notwendig, oder gar schädlich sind (z. B. bei Spielautomaten, wo die Bank zu einem bestimmten Prozentsatz gewinnen soll), sind für einige Verfahren echte Zufallszahlen erforderlich, z. B. für Verfahren der Kryptographie, Statistik, Simulation und Randomisierung.
Beispielsweise ist zur Sicherstellung eines hochwertigen (d. h. nicht unauthorisiert entschlüsselbaren) Chiffrierverfahrens die Verwendung von echten Zufallszahlen unabdingbare Voraussetzung. Eine echte Zufallszahl oder in anderen Worten jedes erzeugte Bit weist eine Wahrscheinlichkeit von 0,5 auf. Damit ist sichergestellt, dass kein Bit im Voraus berechnet werden kann, auch dann nicht wenn die Vorgänger-Bits bekannt sind. Umgekehrt dürfen sich auch nicht die Vorgänger-Bits berechnen lassen, wenn alle Nachfolger-Bits bekannt sind.
Solche echten Zufallszahlen lassen sich allerdings nicht mit mathematischen Verfahren erzeugen, sondern nur durch einen natürlichen Prozess, durch den so genannte physikalische Zufallszahlen erzeugt werden.
Neben der Wahrscheinlichkeit einer erzeugten Zufallszahl besteht eine weitere wichtige Größe in der Entropie der erzeugten binären Zahlenfolgen. Für die Entropie gilt nach Shannon: H = –(plog2p + qlog2q) und H = 1
Da allerdings im Allgemeinen statistische Berechnungen der Entropie international uneinheitlich sind und auch teilweise kontrovers diskutiert werden, wird bei der vorliegenden Beurteilung der Qualität von Zufallszahlen nicht auf die Entropie, sondern auf die Anwendung bewährter mathematisch statistischer Tests, welche indirekt ebenfalls die Entropie einer binären Folge berücksichtigen, zurückgegriffen.
Die Basis für diese mathematischen Test, nämlich den Monobit-Test, den Poker-Test, den Run-Test und den Long Run-Test bildet: [FI 140-1] FIPS PUB 144-1, NIST, Security Requirement for Cryptographic Modules.
Für die Erzeugung physikalischer Zufallszahlen sind verschiedene Methoden bekannt, die jedoch bisher nicht bei vertretbarem Aufwand nahezu echte Zufallszahlen erzeugen können. Beispielsweise nutzt man analoge Rauschsignale zur Digitalisierung von zufälligen Bits. Dabei wird zur Ableitung zufälliger Bits eine Konstante c im Rauschspektrum fixiert. Man vergleicht dann den Messwert U zum Zeitpunkt t_n mit der Konstanten c (vgl. 1). Die Erzeugung eines Zufallsbits Z_i erfolgt nun dadurch, dass eine „1” zugewiesen wird, wenn die gemessene Spannung U_(tn) kleiner ist als c, und eine „0” wird zugewiesen, wenn gemessene Spannung U_(tn) größer oder gleich c ist. Nachteilig an diesem Verfahren ist jedoch, dass zum einen die erzeugten Bits zwar zufällig sind, jedoch nicht gleich verteilt. Es ist nämlich unmöglich, die Konstante c im statistischen Mittel eines Rauschsignals zu platzieren. Da deshalb die Wahrscheinlichkeiten beider Zufallsbits ungleich 0,5 sind, liegt auch die erzeugte Entropie wesentlich unter dem Wert 1 je Bit. Daher ist eine mathematische Nachbearbeitung der Bits notwendig.
Weiterhin bleibt das Rauschsignal durch Alterungsprozesse der elektronischen Bauelemente in seinen Parametern nicht konstant. Dadurch verschiebt sich die Konstante c relativ zum Signal und die Entropie nimmt ab. Aufwendige Kontroll- und Nachjustierarbeiten sind daher notwendig. Außerdem gehen äußere Einflüsse wie Temperatur, Luftfeuchte, Luftdruck, Versorgungsspannung usw. auf die elektronischen Bauelemente in die Messwerte ein, führen dabei jedoch nicht zu einer Erhöhung der Entropie. Schließlich ist über die Steuerung der äußeren Faktoren eine Manipulation der erzeugten Bits möglich.
Weitere bekannte Verfahren sind beschrieben in WO 97/43709 , US 4,855,690 und DE 101 18 495 C1 . Auch hier bestehen aber die prinzipiellen Nachteile, dass die erzeugten Zufallszahlen entweder keine nahezu echten Zufallszahlen sind und/oder die Erzeugung selbst uneffektiv ist.
Aufgabe der vorliegenden Patentanmeldung ist es daher, ein Verfahren und eine Vorrichtung zur Erzeugung von physikalischen Zufallszahlen anzugeben, bei denen bei vertretbarem Aufwand echte Zufallszahlen sehr effektiv erzeug bar sind. Diese Aufgabe wir gelöst mit den Merkmalen der Ansprüche 1 und 11. Vorteilhafte Weiterbildungen sind in den jeweils abhängigen Unteransprüchen enthalten.
Beim erfindungsgemäßen Verfahren zum Generieren von physikalischen Zufallszahlen werden physikalische Ereignisse von mindestens zwei voneinander unabhängigen Ereignisgebern miteinander verglichen, wobei die physikalischen Ereignisse unterschiedliches zeitliches Verhalten aufweisen. Dabei weist das erste Ereignis zwei zeitlich gleich verteilte unterschiedliche Zustände high_(Q1) und low_(Q1) auf und das zweite Ereignis zwei zeitlich nicht gleich verteilte Zustände high_(Q2) und low_(Q2). Dann wird aus dem zweiten Ereignis der Zufall gewonnen und auf dem ersten Ereignis der Zufall abgebildet, und zwar dadurch dass festgestellt wird, ob bei dem ersten Ereignis ein im Wesentlichen erster oder zweiter Zustand vorliegt, wenn bei dem zweiten Ereignis ein im Wesentlichen erster oder zweiter Zustand vorliegt. Für das Vorliegen eines ersten oder zweiten Zustands bei dem ersten Ereignis wird ein vorher festgelegter Bit-Wert zugeordnet. Beispielsweise also für den ersten Zustand die „1” und für den zweiten Zustand die „0” oder umgekehrt.
Statt der Ermittlung eines Bits bei der Feststellung eines im Wesentlichen ersten Zustands des zweiten Ereignisses kann natürlich auch das Bit bei Vorliegen des zweiten Zustands bei dem zweiten Ereignis erzeugt werden. Oder alternativ kann sowohl beim ersten als auch beim zweiten Zustand des zweiten Ereignisses ein Bit erzeugt werden. Eine Reihe solcher Bits kann dann zu langen Zufallszahlen zusammengesetzt werden.
Die Erfinder gingen dabei von der Erkenntnis aus, dass zwei voneinander unabhängige physikalische Ereignisse niemals gleichzeitig in Erscheinung treten, auch wenn der zeitliche Unterschied noch so klein ist. Daher ist es besser, zwei unabhängige physikalische Ereignisse in Beziehung setzten, und nicht eine Variable mit einer Konstanten zu vergleichen.
Wichtig ist dabei, dass das erste physikalische Ereignis zwei zeitlich gleichartige, d. h. gleich verteilte, aber unterschiedliche Zustände aufweist, um überhaupt ein Bit verifizieren zu können. Diese Zustände müssen deshalb auch gleich verteilt sein, da erst dadurch Bits mit einer Wahrscheinlichkeit von 0,5 erzeugt werden können. Das zweite physikalische Ereignis muss wiederum ein zeitlich unstetiges Verhalten zeigen, also zwei zeitlich nicht gleich verteilte Zustände aufweisen. Je größer dabei das unstetige Verhalten ist, umso besser ist es für die Qualität der Zufallszahlen, da der Zufall aus dem zweiten Ereignis gewonnen wird.
Dadurch dass beide Ereignisse physikalischen Ursprungs sind, hat jede noch so geringfügige Änderung bekannter und unbekannter physikalischer Parameter eine Auswirkung auf den Zufall, wobei allerdings immer die Entropie des Zufalls erhöht wird, was bei bisherigen Verfahren nicht der Fall war. Die zu bestimmenden Parameter gehen dann sogar auf quantenmechanische Prozesse zurück und sind nicht mehr nachvollziehbar. Einwirkende äußere Faktoren erhöhen die Entropie zusätzlich.
Aus der DE 101 18 495 C1 ist zwar auch schon der Vergleich von zwei Frequenzen bekannt, allerdings wird dort bei Feststellung eines minimalen Amplitudenwertes einer Schwingung immer erst einmal der Amplitudenwert der zweiten Schwingung ermittelt und erst bei Wechsel dieses Amplitudenwertes der zweiten Schwingung von einem anfänglich festgestellten Amplitudenwert zu einem entgegengesetzten Amplitudenwert wird ein Bit erzeugt. Somit ist dieses Verfahren wesentlich umständlicher und langsamer, somit uneffektiver als das erfindungsgemäße Verfahren. Außerdem weist keines der beiden Ereignisse, nämlich der Schwingungen, ein zeitlich unstetiges Verhalten auf. Dadurch sind die Bits aber nicht mit der gleichen Erzeugungswahrscheinlichkeit versehen, weshalb eine mathematische Nachbearbeitung zur Verbesserung der damit erzeugten Zufallszahlen notwendig ist, um die schief liegende, d. h. ungleich verteilte digitalisierte Rauschsignalfolge zu korrigieren.
Diese mathematische Nachbearbeitung führt allerdings oft zu einer Verschlechterung der Güte der Zufallszahlen, wie die Denkschrift „Ein Vorschlag zu: Funktionalitätsklassen und Evaluationsmethodologie für physikalische Zufallszahlengeneratoren", Version 3.1 vom 25.09.2001, von Wolfgang Killmann, T-Systems debis Systemhaus Information Security Services, Bonn, und Prof. Priv.-Doz. Dr. Werner Schindler, Bundesamt für Sicherheit in der Informationstechnik (BSI), Bonn, zeigt. Außerdem geht aus dieser Schrift hervor, dass selbst bei gleichen Zufallsgeneratoren bisheriger Bauart mit identischen Nenngrößen der Bauelemente unter gleichen Versuchsbedingungen Zufallszahlen mit unterschiedlichem statistischen Verhalten erzeugt werden. Dadurch wird die Entropie der Zufallszahlen verringert, was als ein Zeichen für eine geringere Qualität angesehen wird.
Mit dem erfindungsgemäßen Verfahren werden dagegen direkt ausgebbare Zufallszahlen erzeugt, die nicht mathematisch nachbearbeitet werden müssen und bei den jeder Manipulationsversuch von außerhalb in Form einer Einwirkung auf bekannte physikalische Parameter die Entropie der Zufallszahlen erhöht. Natürliche Alterungsprozesse oder unbekannte physikalische Parameter haben ebenfalls keinen nachteiligen, sondern positiven Einfluss auf die Entropie.
Vorteilhaft wird bei jedem Übergang zu einem im Wesentlichen ersten und/oder zweiten Zustand des zweiten Ereignisses ein Bit erzeugt. Dann lassen sich beliebig lange echte Zufallszahlen erzeugen.
Zweckmäßig ist das erste Ereignis eine erste physikalische Schwingung und das zweite Ereignis eine zweite physikalische Schwingung, die jeweils minimale und maximale Amplitudenwerten aufweisen, da sich solche Schwingungen relativ leicht darstellen lassen.
Bevorzugt erfolgt dann die Feststellung des Amplitudenwertes der ersten Schwingung beim Übergang zu einem im Wesentlichen maximalen Amplitudenwert der zweiten Schwingung.
In einer besonders zweckmäßigen Ausgestaltung ist die erste Schwingung (f_(Q1)) eine höherfrequente Schwingung als die zweite Schwingung (f_(Q2)), wobei vorteilhaft f_(Q1) > 50 f_(Q2), bevorzugt f_(Q1) > 80 f_(Q2), insbesondere f_(Q1) > 100 f_(Q2) gilt. Durch dieses hohe Schwingungsverhältnis werden in der ersten Schwingung sehr viele Perioden durchlaufen zwischen zwei über die erste Schwingung gesteuerte Feststellungszeiten, so dass die Qualität der Zahlfallszahl erhöht wird. Bevorzugt gilt für die erste Schwingung (f_(Q1)) ≥ 0,5 MHz, bevorzugt ≥ 2 MHz, insbesondere ≥ 10 MHz. Aufgrund der hohen Schwingungsfrequenz lassen sich in sehr schneller Folge Zufallsbits erzeugen.
Besonders vorteilhaft ist die erste Schwingung (f_(Q1)) eine hinsichtlich der Tastverhältnisse stabilisierte Schwingung. Durch die Stabilisierung der ersten Schwingung wird ein Tastverhältnis von 50% ermöglicht, was die Qualität der Zufallszahlen vorteilhaft beeinflusst. Weiterhin ist es bevorzugt, wenn die erste Schwingung (f_(Q1)) nach einer bestimmten Anzahl von Perioden invertiert wird. Hierdurch werden auch bei stabilisierten Schwingungen eventuell noch auftretende Abweichungen von einem Tastverhältnis von 50% ausgeglichen. Diese Invertierung kann nach Ablauf einer oder mehrere Perioden vorgenommen werden und wird eher vorgenommen für weniger gut stabilisierte Schwingungen.
Zweckmäßig ist die erste Schwingung (f_(Q1)) im Wesentlichen eine Rechteckschwingung. Hierdurch lassen sich die Punkte zum Bestimmen der Amplitudenwerte sehr genau festlegen. Natürlich können aber auch andere definierte Schwingungen, wie Sägezahn-, Sinusschwingungen etc. verwendet werden.
Die zweite Schwingung (f_(Q2)) ist nach einer besonders vorteilhaften Ausgestaltung eine nicht stabilisierte Schwingung, die insbesondere durch einen frei laufenden Generator erzeugt wird, wobei die Abweichung von der Stabilität vorteilhaft ≥ 5%, bevorzugt ≥ 7,5% und insbesondere ≥ 10% beträgt. Dadurch wird erreicht, dass die zwischen zwei Biterzeugungszeitpunkten durchlaufende Anzahl von Perioden der ersten Schwingung stets unterschiedlich ist, wodurch die Qualität der Zufallszahl weiter erhöht wird.
Es ist zu betonen, dass durch die vorstehend beschriebenen optionalen Maßnahmen die Qualität der Zufallszahlen erhöht werden kann, so dass im Rahmen der Verifizierungsmöglichkeiten echte Zufallszahlen vorliegen. Falls allerdings physikalische Zufallszahlen ausreichen, die nicht zu 100% echte Zufallszahlen sind, muss nicht unbedingt eine Qualitätsverbesserung mit Hilfe einer oder mehrere dieser Maßnahmen vorgenommen werden.
Unabhängiger Schutz wird beansprucht für eine Vorrichtung zur Erzeugung physikalischer Zufallszahlen, die ersten Generator zur Erzeugung einer ersten Schwingung (f_(Q1)) und einen zweiten Generator zur Erzeugung einer zweiten Schwingung (f_(Q2)) aufweist und angepasst ist, nach dem erfindungsgemäßen Verfahren zu arbeiten. Bevorzugt ist dabei der erste Generator ein Quarzgenerator und der zweite Generator ein spannungsgesteuerter Oszillator.
In einer vorteilhaften Ausgestaltung ist der Eingang des spannungsgesteuerten Generators mit einer Widerstands-Kondensator-Kombination verbunden. Vorteilhaft weist dabei die Widerstands-Kondensator-Kombination einen Schalter auf, der von den Ausgangssignalen eines Impulsformers geschaltet wird und der Eingang des Impulsformers mit dem Ausgang eines dritten Generators zur Erzeugung einer dritten Schwingung (f_(Q3)) verbunden ist. Hierdurch wird eine nicht stabilisierte zweite Schwingung in einfacher Weise erzeugt. Zweckmäßig ist der dritte Generator angepasst, im Wesentlichen eine Rechteckschwingung zu erzeugen, wobei die Frequenz der Rechteckschwingung bevorzugt nicht stabilisiert ist. Hierdurch wird die Stabilisierung der zweiten Schwingung weiter herabgesetzt. Der Schalter ist bevorzugt angepasst, bei einem im Wesentlichen maximalen bzw. minimalen Amplitudenwert des Impulsformers zu schalten.
Ebenfalls unabhängiger Schutz wird beansprucht für die Verwendung des erfindungsgemäßen Verfahrens und/oder der erfindungsgemäßen Vorrichtung in einem der folgenden Verfahren: kryptographische Verfahren, statistische Verfahren, Simulationsverfahren, Randomisierungsverfahren.
Das erfindungsgemäße Verfahren und die erfindungsgemäße Vorrichtung werden mit seinen Eigenschaften und Vorteilen durch die anhand der Zeichnung beschriebenen bevorzugten Ausführungsformen beschrieben. Es zeigen:
1 eine bekannte Technik zur Erzeugung physikalischer Zufallszahlen,
2 die im erfindungsgemäßen Verfahren benutzte erste Schwingung,
3 der im erfindungsgemäßen Verfahren benutzte Vergleich der ersten und zweiten Schwingung,
4 die Einheit zur Erzeugung der zweiten Schwingung in der erfindungsgemäßen Vorrichtung,
5 die Form des in der Einheit nach 4 verwendeten Nadelimpulses,
6 eine erste Auflistung exemplarischer Ergebnisse zum Poker- und Monobit-Test und
7 eine zweite Auflistung exemplarischer Ergebnisse zum Poker-, Monobit-, Run- und Long Run-Test.
2 zeigt die in dem erfindungsgemäßen Verfahren verwendete erste Schwingung f_(Q1), wobei die Amplitude U gegenüber der Zeit aufgetragen ist. Zu erkennen ist, dass es sich um eine stabilisierte Rechteckschwingung f_(Q1) handelt, also die Bedingung t₂ – t₁ = t₃ – t₂ gelten soll. Auf diese Weise liegt ein Tastverhältnis für maximale und minimale Amplitude von 50% vor und es können Zufallsbits mit einer Wahrscheinlichkeit von 0,5 erzeugt werden. In der Praxis ist es jedoch nicht möglich, diese Bedingung genau zu realisieren und stabil zu halten. Beispielsweise liegt das reale Tastverhältnis bei 49,995% für den minimalen Amplitudenwert (low) und 50,005% für den maximalen Amplitudenwert (high) von f_(Q1). Dieser Fehler wird Hardware-gestützt behoben, indem man nach dem Ablauf einer oder mehrerer Perioden eine Invertierung des Rechtecksignals vornimmt. Der Stabilisierungsfehler wird damit ebenfalls invertiert und es liegen die umgekehrten Verhältnisse für low und high vor. In der Summe werden die Wahrscheinlichkeiten dadurch auf 0,5 gesetzt. Die Form des Rechtecksignals (auch die Amplitudenhöhe) selbst ist nun von untergeordneter Bedeutung, solange das Tastverhältnis 0,5 selbst eingehalten wird.
Wie aus 3 hervorgeht, handelt es sich bei der zweiten Schwingung ebenfalls um eine Rechteckschwingung f_(Q2), wobei die mittlere Frequenz f_(Q2) 20 kHz beträgt und f_(Q1) = 10 MHz ist. Allerdings ist die Schwingung f_(Q2) völlig unstabilisiert. Das gilt für die Frequenz, als auch für die Amplitude und besonders für das Tastverhältnis. Zur Erzeugung dieser Schwingung wird ein freilaufender Generator ohne jegliche Stabilisierungsmaßnahmen verwendet, wie noch in Bezug auf 4 erläutert werden wird. Zwischen der Frequenz der ersten Schwingung f_(Q2) und der mittleren Frequenz der zweiten Schwingung f_(Q2) besteht der Zusammenhang f_(Q2) > 100 f_(Q2).
Anhand von 3 wird nun auch die Gewinnung zufälliger Bits rein schematisch verdeutlicht. Es findet ein Vergleich der Amplituden beider Schwingungen f_(Q1) und f_(Q2) zum Zeitpunkt t(n) statt, wobei der Zeitpunkt t(n) derjenige Zeitpunkt ist, bei dem ein low/high-Übergang der zweiten Schwingung f_(Q2) stattfindet. Alternativ könnte natürlich auch auf den high/low-Übergang von f_(Q2) abgestellt werden. Folgendermaßen wird dabei bei der Bit-Erzeugung vorgegangen:
Zum Zeitpunkt t₁ findet bei f_(Q2) ein Amplitudenübergang von low nach high statt. Dieser Zeitpunkt setzt also einen Feststellungszeitpunkt für die Bit-Erzeugung. Zum Zeitpunkt t₁ findet bei f_(Q1) gerade ein Übergang von low nach high statt. Somit ist der Amplitudenwert von f_(Q1) unbestimmt. Zur Vermeidung dieser Unbestimmtheiten wird einem solchen Übergang ein Bit-Wert zugewiesen, nämlich „1”. Umgekehrt wird einem high/low-Übergang der Wert „0” zugewiesen. Anlässlich eines folgenden Feststellungszeitpunktes t₂ liegt für den Amplitudenwert von f_(Q1) ein low vor, wobei ein Bit-Wert von „0” erzeugt wird. Anlässlich des nächsten Feststellungszeitpunktes t₃ wird wegen des Vorliegens von high bei f_(Q1) ein Bit-Wert von „1” erzeugt. Schließlich wird bei t₄ ein Bitwert von „1” erzeugt, da bei f_(Q1) ebenfalls ein high vorliegt. Die erzeugte zufällige Bitfolge lautet somit 1011.
Zur Erzeugung ausreichend echter physikalischer Zufallszahlen beträgt die Abweichung von der Stabilität von f_(Q2) etwa 10%, d. h. dass die Nennfrequenz von f_(Q2) um diesen Betrag hin- und herpendelt. Es ergeben sich damit zwangsläufig Zeitdifferenzen von Periode zu Periode für f_(Q2). Durch dieses Zeitfenster, von etwa 5 × 10⁶ s gehen ca. 10 Perioden der ersten Schwingung f_(Q1). Ob dann beim low/high-Übergang von f_(Q1) für f_(Q1) als Amplitudenwert low oder high verifiziert und somit als Bit-Wert eine „0” oder eine „1” zugewiesen wird, ist somit reiner Zufall.
Zur Sicherstellung bzw. Steigerung dieser Stabilitätsabweichung von f_(Q2) wird für die Generation der zweiten Schwingung f_(Q2) ein freilaufender Generator 1 verwendet, der rein schematisch in 4 dargestellt ist. Dabei wird der freischwingende dritte Generator 2 nicht unmittelbar zum Frequenzvergleich herangezogen. Er dient vielmehr als Zwischenglied und als Steuerquelle für einen zweiten Generator 3, der ein spannungsgesteuerter Oszillator ist. Beispielsweise kann als zweiter Generator 3 ein handelsüblicher PLL (phase-locked-loop) CMOS Schaltkreis 4046 eingesetzt werden, wobei dann nur das VCO Teil genutzt wird.
Die Funktionsweise des freischwingenden Generators 1 ist nun die folgende:
Der dritte Generator 2 erzeugt eine Rechteckschwingung f_(Q3) und speist damit einen Impulsformer 4, der Nadelimpulse erzeugt. Diese Nadelimpulse werden einem Schalter S zugeführt, der immer dann geschlossen ist, wenn die Amplitude des anliegenden Impulses auf high liegt. Durch Schließen des Schalters S liegt am Eingang 6 des zweiten Generators 3 die Spannung U an.
Die sich ergebende Ausgangsfrequenz f_(Q2) ergibt sich dann aus den technischen Daten des zweiten Generators 3. Da es sich beim zweiten Generator 3 um einen spannungsgesteuerten Oszillator handelt, bestimmt die Höhe der Eingangsspannung U die Höhe der Ausgangsfrequenz f_(Q2). Gleichzeitig wird der Kondensator C auf die Nennspannung von U aufgeladen.
Immer dann, wenn die Amplitude der Nadelimpulse auf low liegt, öffnet der Schalter S. Dadurch entlädt sich der Kondensator C über den Widerstand R in der bestimmten Zeit t_x. Die Spannung am Eingang des zweiten Generators 3 geht in der Zeit t_x nach null, bis erneut der Schalter S geschlossen wird. Da die Höhe der erzeugten Frequenz f_(Q2) von der Eingangsspannung am zweiten Generator 3 abhängt, bedeutet dies gleichzeitig, dass die Frequenz f_(Q2) in der Zeit t_x absinkt. Wird nun der Schalter S erneut geschlossen, wiederholt sich der Vorgang. Es entsteht eine Art Sirenensignal.
Wie das Ausgangssignal genau aussieht, insbesondere der zeitliche Verlauf zwischen t₁, t₂, t₃ usw., hängt letztendlich von allen physikalischen Einflussfaktoren ab. Dazu gehören die äußern Einflussfaktoren: Temperatur, Luftfeuchte, Luftdruck, elektro-magnetische Strahlungen und sonstige unbekannte Faktoren.
Weiterhin gehören dazu die inneren Einflussfaktoren. Also zum einen Stabilität und Welligkeit der Spannung U. Die Spannung U wird direkt (bei netzbetriebenen Geräten) aus der Netzspannung abgeleitet und unterliegt damit auch den Schwankungen des öffentlichen Netzes.
Weiterhin auch Kapazität und Güte von C sowie Widerstandswert und Beschaffenheit von R, wobei der Kondensator C nicht schlagartig aufgeladen wird, sondern über eine Anstiegszeit verfügt, welche wiederum Auswirkung auf f_(Q2) und somit auf die Erzeugung des Zufallsbits hat.
Außerdem auch Stabilität, Impulsform und Tastverhältnis der Nadelimpulse. Hierbei spielt insbesondere das Tastverhältnis eine entscheidende Rolle und auch die Flankensteilheit (vgl. 5) geht in die Erzeugung des Zufallsbits mit ein. Wichtig in diesem Zusammenhang ist nämlich, dass der elektronische Schalter S bei high-Potential des Nadelimpulses schließt. Dieser Zeitpunkt liegt aber auf der Impulsflanke innerhalb des Zeitabschnitts t_Flanke in der Nähe des Impulsdaches und ist nicht bestimmbar, geht aber in die Einschaltdauer des Schalters S ein. Für gute Ergebnisse ist die Breite von t_Dach so kurz wie möglich, andererseits aber ausreichend zu halten, um den Kondensator C voll aufzuladen.
Schließlich bestehen weitere unbekannte innere Faktoren des zweiten Generators 3, also des CMOS-Schaltkreises 4046.
Nachfolgend werden durchgeführte statistische Test erläutert, die anhand der Richtlinie FIPS PUB 144.4 gemacht wurden und die auch im Bundesamt für Sicherheit und Informationstechnik (BSI) verwendet werden.
1. Monobit-Test
Es gilt
. Die Bitfolge b₁, ..., b₂₀₀₀₀₀ passiert dann den Monobit-Test, wenn 9654 < X < 10346.
2. Poker-Test
Es gilt
, wobei für j = 1, ..., 5000 c_j = 8·b_4j-3 + 4·b_4j-2 + 2·b_4j-1 + b_4j sei und f[i]: = |{j: c_j = i}| bezeichnet. Die Bitfolge b₁, ..., b₂₀₀₀₀ passiert dann den Pokertest, falls 1,03 < Y < 57,4.
3. Run-Test
Hier ist „Run” die Bezeichnung für eine maximale Teilfolge aufeinander folgender gleicher Bits, also „0” oder „1”. Die Bitfolge b₁, ..., b₂₀₀₀₀ passiert dann den Run-Test, wenn die Anzahl der auftretenden Run-Längen innerhalb der nachfolgend definierten zulässigen Intervalle liegen, wobei „0”- und „1”-Runs werden getrennt ausgewertet werden: Run-Länge zulässiges Intervall

1 2267–2733

2 1079–1421

3 502–748

4 233–402

5 90–223

≥ 6 90–233
4. Long Run-Test
Die Bitfolge b₁, ..., b₂₀₀₀₀ passiert den Long Run-Test, wenn kein Run ≥ 34 auftritt.
Auf dieser Basis wurden Computerprogramme zum Testen des erfindungsgemäßen Verfahren und der erfindungsgemäßen Vorrichtung geschrieben und damit die erzeugten Zufallszahlen untersucht. Die Ergebnisse sind in den beiden exemplarischen Ergebniszusammenstellungen, die in 6 und 7 gezeigt sind, dargestellt.
6 zeigt dabei, dass sowohl der Poker-Test als auch der Monobilt-Test bestanden wurden, wobei 20000 Zufallsbits erzeugt wurden und beim Poker-Test die Verteilung aller 4 Bit-Segmente innerhalb der 20000 Zufallsbits ermittelt wurde. Wie zu erkennen, ergab der Poker-Test einen Wert Y = 4,972673 und der Monobit-Test einen Wert X = 10043.
In 7 sind die Ergebnisse des Run- und des Long Run-Tests in Kombination mit den Ergebnissen des Monobit- und des Poker-Tests für eine andere Menge erzeugter 20000 Zufallsbits dargestellt. Zu erkennen ist wiederum, dass sowohl der Monobit- als auch der Poker-Test bestanden wurden. die ermittelten Runs blieben nicht nur innerhalb der vorgegebenen Intervalle, sie liegen auch ausnahmslos in deren Zentrum, sind also sehr ausgeglichen verteilt. Da keine Runs größer gleich 13 ermittelbar waren, wurde somit nicht nur der Run- sondern auch der Long Run-Test bestanden.
Diese in 6 und 7 exemplarisch aufgelisteten Ergebnisse stehen stellvertretend für mehrere 1000 getestete Folgen von jeweils erzeugten 20000 Zufallsbits. Da stets alle Testkriterien eingehalten worden sind, ist ausreichend belegt, dass sich mit dem vorliegend beschriebenen erfindungsgemäßen Verfahren und der erfindungsgemäßen Vorrichtung echte physikalische Zufallszahlen hoher Qualität sehr effektiv erzeugen lassen, die sich auch in besonders sensiblen Verfahren der Kryptographie, Statistik, Simulation und Randomisierung einsetzen lassen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- WO 97/43709 [0010]
- US 4855690 [0010]
- DE 10118495 C1 [0010, 0017]

Zitierte Nicht-Patentliteratur

- „Ein Vorschlag zu: Funktionalitätsklassen und Evaluationsmethodologie für physikalische Zufallszahlengeneratoren”, Version 3.1 vom 25.09.2001, von Wolfgang Killmann, T-Systems debis Systemhaus Information Security Services, Bonn, und Prof. Priv.-Doz. Dr. Werner Schindler, Bundesamt für Sicherheit in der Informationstechnik (BSI), Bonn [0018]

Claims

Verfahren zum Generieren von physikalischen Zufallszahlen, wobei physikalische Ereignisse (f_(Q1), f_(Q2)) von mindestens zwei voneinander unabhängigen Ereignisgebern miteinander verglichen werden, wobei die physikalischen Ereignisse unterschiedliches zeitliches Verhalten (f_(Q1), f_(Q2)) aufweisen, dadurch gekennzeichnet, dass das erste Ereignis (f_(Q1)) zwei zeitlich gleich verteilte unterschiedliche Zustände (high_(Q1), low_(Q1)) und das zweite Ereignis (f_(Q2)) zwei zeitlich nicht gleich verteilte Zustände (high_(Q2), low_(Q2)) aufweisen, wobei aus dem zweiten Ereignis (f_(Q2)) der Zufall dadurch gewonnen und auf dem ersten Ereignis (f_(Q1)) der Zufall dadurch abgebildet wird, dass festgestellt wird, ob bei dem ersten Ereignis (f_(Q1)) ein im Wesentlichen erster (high_(Q1)) oder zweiter Zustand (low_(Q1)) vorliegt, wenn bei dem zweiten Ereignis (f_(Q2)) ein im Wesentlichen erster (high_(Q2)) oder zweiter Zustand (low_(Q2)) vorliegt, und dass der festgestellte Zustand (high_(Q1), low_(Q1)) des ersten Ereignisses (f_(Q1)) einem bestimmten Bit (0, 1) zugeordnet wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass bei jedem Übergang zu einem im Wesentlichen ersten (high_(Q2)) und/oder zweiten Zustand (low_(Q2)) des zweiten Ereignisses (f_(Q2)) ein Bit (0, 1) erzeugt wird.
Verfahren nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, dass das das erste Ereignis eine erste physikalische Schwingung (f_(Q1)) und das zweite Ereignis eine zweite physikalische Schwingung (f_(Q2)) ist, die jeweils minimale (low_(Q1), low_(Q2)) und maximale (high_(Q1), high_(Q2)) Amplitudenwerten aufweisen.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Feststellung des Zustands des ersten Ereignisses (f_(Q1)) beim Übergang zu einem im Wesentlichen maximalen Amplitudenwert der zweiten Schwingung (f_(Q2)) erfolgt.
Verfahren nach Anspruch 3 oder 4, dadurch gekennzeichnet, dass die erste Schwingung (f_(Q1)) eine höherfrequentere Schwingung als die zweite Schwingung (f_(Q2)) ist, wobei vorteilhaft f_(Q1) > 50 f_(Q2), bevorzugt f_(Q1) > 80 f_(Q2), insbesondere f_(Q1) > 100 f_(Q2) gilt.
Verfahren nach einem der Ansprüche 3 bis 5, dadurch gekennzeichnet, dass die Frequenz der ersten Schwingung (f_(Q1)) ≥ 0,5 MHz, bevorzugt ≥ 2 MHz, insbesondere ≥ 10 MHz ist.
Verfahren nach einem der Ansprüche 3 bis 6, dadurch gekennzeichnet, dass die erste Schwingung (f_(Q1)) eine stabilisierte Schwingung ist.
Verfahren nach einem der Ansprüche 3 bis 7, dadurch gekennzeichnet, dass die erste Schwingung (f_(Q1)) nach einer bestimmten Anzahl von Perioden invertiert wird.
Verfahren nach einem der Ansprüche 3 bis 8, dadurch gekennzeichnet, dass die erste Schwingung (f_(Q1)) im Wesentlichen eine Rechteckschwingung ist.
Verfahren nach einem der Ansprüche 3 bis 9, dadurch gekennzeichnet, dass die zweite Schwingung (f_(Q2)) eine nicht stabilisierte Schwingung ist, die insbesondere durch einen frei laufenden Generator erzeugt wird, wobei die Abweichung von der Stabilität vorteilhaft ≥ 5%, bevorzugt ≥ 7,5% und insbesondere ≥ 10% beträgt.
Vorrichtung zur Erzeugung physikalischer Zufallszahlen, gekennzeichnet durch einen ersten Generator zur Erzeugung einer ersten Schwingung (f_(Q1)) und einen zweiten Generator (1) zur Erzeugung einer zweiten Schwingung (f_(Q2)), wobei die Vorrichtung angepasst ist, nach einem Verfahren nach einem der vorherigen Ansprüche zu arbeiten.
Vorrichtung nach Anspruch 11, dadurch gekennzeichnet, dass der erste Generator ein Quarzgenerator ist und der zweite Generator (1) ein spannungsgesteuerter Oszillator.
Vorrichtung nach Anspruch 12, dadurch gekennzeichnet, dass der Eingang des spannungsgesteuerten Generators (1) mit einer Widerstands (R)-Kondensator (C)-Kombination verbunden ist.
Vorrichtung nach Anspruch 13, dadurch gekennzeichnet, dass die Widerstands (R)-Kondensator (C)-Kombination einen Schalter (S) aufweist, der von den Ausgangssignalen eines Impulsformers (4) geschaltet wird und der Eingang des Impulsformers (4) mit dem Ausgang eines dritten Generators (2) zur Erzeugung einer dritten Schwingung (f_(Q3)) verbunden ist.
Vorrichtung nach Anspruch 14, dadurch gekennzeichnet, dass der dritte Generator (2) angepasst ist, im Wesentlichen eine Rechteckschwingung f_(Q3) zu erzeugen und die Frequenz der Rechteckschwingung f_(Q3) bevorzugt nicht stabilisiert ist.
Vorrichtung nach Anspruch 14 oder 15, dadurch gekennzeichnet, dass der Schalter (S) angepasst ist, bei einem im Wesentlichen maximalen bzw. minimalen Amplitudenwert des Impulsformers (4) zu schalten.
Verwendung des Verfahrens nach einem der Ansprüche 1 bis 10 oder der Vorrichtung nach einem der Ansprüche 12 bis 17 in einem der folgenden Verfahren: kryptographische Verfahren, statistische Verfahren, Simulationsverfahren, Randomisierungsverfahren.