刘 攀, 陈天宇, 马 原, 吴鑫莹, 吕 娜, 荆继武

1. 中国科学院 信息工程研究所 信息安全国家重点实验室, 北京100093

2. 中国科学院 数据与通信保护研究教育中心, 北京100093

3. 中国科学院大学 计算机科学与技术学院, 北京100049

通信作者: 陈天宇, E-mail: chentianyu@iie.ac.cn

1 引言

随机数发生器作为现代密码学的基本原语之一, 其生成的随机数具有广泛的应用, 如用于对称或非对称密码算法的密钥产生、“挑战-响应”协议方案中的一次性口令、电子签名方案中的秘密信息,以及抵抗侧信道分析攻击等. 随机数质量的好坏直接关系到密码算法和协议等密码应用的安全性. 如何产生高质量的随机数一直是密码学领域长期关注的研究问题[1-9]. 按产生原理的不同,随机数发生器(Random Number Generator, RNG) 主要分为非确定性随机数发生器(NDRNG) 和确定性发生器(DRNG). NDRNG 通常是采集来自于物理或非物理现象的随机性, 如电子噪声、电磁辐射、系统中断、鼠标/键盘操作等, 进而通过数字化处理等环节生成具有良好不可预测性的数据; 而DRNG 则是采用确定性算法将一段随机序列(即“种子”, 一般由NDRNG 产生) 扩展成任意长度的序列. 按发生器形态分类, 又可分为硬件形态的随机数发生器(硬件RNG) 和软件形态的随机数发生器(软件RNG). 硬件RNG 通常在研制时需要投入较大的成本以实现生成高质量的随机数, 并且硬件形态的产品更新迭代周期长. 随着智能移动终端、物联网设备等便携式设备的不断普及, 以及软件密码模块逐步兴起和广泛应用, 传统的……