7、受损随机数生成器的最优恢复策略

受损随机数生成器的最优恢复策略

1. 引言

随机性在密码学的诸多方面都至关重要，从长期加密密钥的生成，到加密、零知识证明等随机密码原语的本地随机数采样。在实际应用中，这一理论抽象通过随机数生成器（RNG）来实现，其目标是快速从环境中的物理源（如键盘按键或鼠标移动）收集熵，并将其转换为所需的（伪）随机比特源。

实用的 RNG 一个理想但很少实现的特性是能够快速从各种状态受损情况中恢复。在这些情况下，RNG 的当前状态 S 可能因成功的渗透攻击、侧信道泄漏或初始状态随机性不足而被攻击者知晓。因此，实际 RNG 的状态 S 应定期使用上述物理随机源 I 进行刷新。与更简单且理解更透彻的伪随机生成器（PRG）理论模型不同，PRG 在初始化后不允许刷新状态。为强调这一区别，我们有时将这种 RNG 称为“带输入的 RNG”，几乎所有现代操作系统都配备了此类 RNG，例如 Linux 的 /dev/random、MacOs/iOS/FreeBSD 的 Yarrow 和 Windows 的 Fortuna。

然而，尽管带输入的 RNG 被广泛使用并在各种标准中被提及，但理论界对其关注相对较少。仅有 Barak 和 Halevi 以及 Dodis 等人的工作是显著例外。Barak 和 Halevi 的开创性工作强调了对带输入的 RNG 进行严格分析的重要性，并奠定了其理论基础。但正如 Dodis 等人所指出的，Barak 和 Halevi 极其简洁优雅的安全模型忽略了大多数现实世界中带输入的 RNG 的核心问题，即它们在因过早使用而损失熵的同时，将许多低熵输入 I 逐渐“积累”到状态 S 中的能力。特别是，Dodis 等人表明，Barak 和 Halevi 的构造（在他们的模型中被证明是安全的）在