密码学安全随机数生成：从 /dev/urandom 到 CSPRNG 工程实践

随机数：密码学的基石

密码系统的安全性根植于随机数质量。密钥生成、IV 派生、Nonce 生成、挑战-应答协议——几乎所有密码操作都依赖不可预测的随机数。一旦随机数可预测或重复，整个系统的安全性将轰然倒塌。

历史上因随机数质量问题导致的安全事故：

• 2012 年 Android 比特币钱包漏洞：Java SecureRandom 熵源不足，导致 ECDSA 私钥可被恢复
• 2010 年 Sony PS3 密钥泄露：ECDSA 签名使用固定 k 值，私钥被直接计算
• 2008 年 Debian OpenSSL 漏洞：错误注释移除熵源，密钥空间从 2^128 骤降至 2^15

Linux 随机数子系统

/dev/random vs /dev/urandom

Linux 内核维护一个熵池，从硬件中断、键盘鼠标时序、磁盘 I/O 等物理源收集随机性。

getrandom() 系统调用

getrandom() 是更现代的接口，提供更好的语义控制：

#include <sys/random.h>

// GRND_RANDOM: 类似 /dev/random（已废弃语义）
// GRND_NONBLOCK: 非阻塞
// 默认: 熵池初始化后永不阻塞
unsigned char buf[32];
ssize_t ret = getrandom(buf, sizeof(buf), 0);
if (ret != sizeof(buf)) {
    perror("getrandom");
}

推荐：优先使用 getrandom() 而非直接读取设备文件。

OpenSSL RAND_bytes

OpenSSL 提供了跨平台的 CSPRNG 接口：

#include <openssl/rand.h>

unsigned char key[32];

// 生成密码学安全随机数
if (RAND_bytes(key, sizeof(key)) != 1) {
    // 处理错误
    ERR_print_errors_fp(stderr);
}

// 检查 PRNG 是否已充分播种
if (RAND_status() != 1) {
    fprintf(stderr, "PRNG not sufficiently seeded\n");
}

注意事项：

• OpenSSL 1.1.1+ 默认使用基于 ChaCha20 的 CSPRNG
• 在 fork 后需要重新调用 RAND_poll() 重新播种
• 多线程安全：OpenSSL 内部有锁保护

Java SecureRandom

Java 的 SecureRandom 是 CSPRNG 的标准实现：

import java.security.SecureRandom;
import java.security.NoSuchAlgorithmException;

// 推荐方式：不指定算法，让 JVM 自动选择最佳实现
SecureRandom sr = new SecureRandom();

// 生成随机密钥
byte[] key = new byte[32];
sr.nextBytes(key);

// 指定算法（Linux 上推荐使用 NativePRNG 或 DRBG）
try {
    SecureRandom sr2 = SecureRandom.getInstance("NativePRNG");
} catch (NoSuchAlgorithmException e) {
    // 回退到默认
}

踩坑记录：

• 不要在 Linux 上使用 SHA1PRNG：这是纯软件实现，性能较差
• 避免每次调用都 new：SecureRandom 初始化开销较大，应复用实例
• Android 特殊处理：Android 上推荐使用 KeyGenParameterSpec 生成密钥

Go crypto/rand

Go 标准库提供了简洁的 CSPRNG 接口：

package main

import (
    "crypto/rand"
    "encoding/hex"
    "fmt"
    "io"
)

func main() {
    // 直接读取
    key := make([]byte, 32)
    if _, err := io.ReadFull(rand.Reader, key); err != nil {
        panic(err)
    }
    fmt.Println(hex.EncodeToString(key))
    
    // 生成随机整数
    var n uint64
    if err := binary.Read(rand.Reader, binary.BigEndian, &n); err != nil {
        panic(err)
    }
}

crypto/rand.Reader 在不同平台的实现：

• Linux: 使用 getrandom() 系统调用
• macOS: 使用 getentropy() 系统调用
• Windows: 使用 BCryptGenRandom

虚拟机和容器的熵问题

问题根源

虚拟机缺乏物理熵源（无键盘鼠标、无机械硬盘），启动时系统状态高度可预测，导致熵池初始化缓慢。

解决方案

1. virtio-rng（推荐）

# QEMU/KVM 启动参数
-device virtio-rng-pci

# 宿主机配置（如果熵源充足）
cat /sys/devices/virtual/misc/hw_random/rng_available

2. haveged（软件熵增强）

# 安装
apt install haveged

# 启动服务
systemctl enable --now haveged

3. 使用硬件 RNG

# 检查 CPU 是否支持 RDRAND
grep rdrand /proc/cpuinfo

# 在 OpenSSL 中启用
OPENSSL_ia32cap="~0x200000200000000" openssl rand -hex 32

4. 容器环境最佳实践

# Docker Compose 示例
services:
  app:
    devices:
      - /dev/urandom:/dev/urandom
    # 或使用 virtio-rng

国密标准中的随机数要求

GM/T 0005-2012《随机性检测规范》规定了密码应用中随机数的检测要求：

• 15 项统计测试：包括频数测试、块内频数测试、游程测试、矩阵秩测试等
• 适用范围：密码模块、安全芯片、密码设备的随机数检测

# 简化的随机性检测示例（频数测试）
def frequency_test(bits: bytes) -> bool:
    """检测 0 和 1 的分布是否均匀"""
    ones = sum(bin(b).count('1') for b in bits)
    total = len(bits) * 8
    ratio = ones / total
    # 期望 ratio 接近 0.5，允许 ±0.01 偏差
    return 0.49 < ratio < 0.51

性能对比

安全使用原则

• 播种：确保种子至少 128 位最小熵
• 唯一性：每次系统启动使用不同种子
• 保密性：种子存储在安全区域
• 持续重播种：获取新熵后定期重播种
• 禁止：不使用 rand()、Math.random() 等非密码学 PRNG
• 禁止：不重复使用种子生成多个密钥

总结

密码学安全随机数生成是安全工程的基础。理解不同平台的 CSPRNG 实现、正确选择和使用 API、处理低熵环境，是每个密码从业者的必备技能。核心原则：优先使用操作系统提供的 CSPRNG，不要自行实现随机数生成算法。

*参考来源：*

• *GM/T 0005-2012《随机性检测规范》*
• *NIST SP 800-90A Rev.1《Recommendation for Random Number Generation Using Deterministic Random Bit Generators》*
• *Linux 内核文档：drivers/char/random.c*
• *OpenSSL 文档：RAND_bytes(3)*