使い方¶

下記で推奨しているように再起動の前後で乱数種ファイルが保存される場合 (全ての主な Linux のディストリビューションは少なくとも 2000 年以降は 乱数種を保存するようになっている)、起動シーケンスにおいて乱数種が 再ロードされた直後から、その出力はローカルのルートアクセスができない 攻撃者に対して暗号的に安全なものとなり、ネットワーク暗号化のセッションキー として使うには完全に最適なものとなる。 /dev/random からの読み出しは停止 (block) する可能性があるので、ユーザーは普通 このファイルを非停止 (nonblocking) モードで開こうとし (もしくはタイムアウトを指定して読み出しを実行し)、希望するレベルの エントロピーはすぐには利用できない場合には、何らかの通知を行うことだろう。

カーネルの乱数ジェネレーターは、暗号疑似乱数ジェネレーター (Cryptographic pseudo-random number generator; CPRNG) の種として使用できる 高品質な乱数種の材料を少し生成するために設計されている。 これは速度ではなく安全性を重視して設計されており、 ランダムなデータを大量に生成するのには全くもって適していない。 ユーザーは /dev/urandom (と /dev/random) から読み出す乱数種の材料の量をできるだけ節約すべきである。 このデバイスから不必要に大量のデータを読み出すと、このデバイスを使う 他のユーザーにマイナスの影響を与えてしまうだろう。

暗号鍵を生成するのに必要な乱数種の材料の量は、鍵の実効サイズと同じである。 例えば、3072 ビットの RSA および Diffie-Hellman の秘密鍵の実効サイズは 128 ビット (この秘密鍵を破るには 2^128 回の操作が必要ということ) であり、 そのため鍵生成器が /dev/random から読み出す必要がある乱数種の材料の量は 128 ビット (16 バイト) だけである。

CPRNG アルゴリズムの欠陥に対する保護として、この最小値に対していくらかの 安全上のマージンを取るのはもっともだが、現在利用可能な暗号プリミティブで 256 ビットより多くの安全な乱数を必要とするようなものはない。 起動する度に、もしくは乱数種を変更する妥当な間隔 (1 分より短くなることはない) の度に、カーネルの乱数プールから 256 ビット (32 バイト) よりたくさん読み出す ような場合には、そのプログラムの暗号処理がうまく実装されて「いない」可能性が あると考えるべきであろう。

Configuration¶

    mknod -m 644 /dev/random c 1 8
    mknod -m 644 /dev/urandom c 1 9
    chown root:root /dev/random /dev/urandom

オペレータの操作なしに Linux システムが起動した直後は、 エントロピープールは意外性の乏しい均一な状態にあるだろう。 これにより、エントロピープールの実際のノイズ量は評価値より少なくなる。 この効果を打ち消すために、シャットダウンから (次の) 起動時まで持ち越した エントロピープールの情報が助けになる。 エントロピープールを持ち越すためには、 Linux システムの起動時に実行される適切なスクリプトに、 以下の行を追加すればよい:

    echo "Initializing random number generator..."
    random_seed=/var/run/random-seed
    # 乱数種を今回のスタートアップから次回のスタートアップまで持ち越す。
    # ロードを行い、その後、全てのエントロピープールを保存する。
    if [ -f $random_seed ]; then
        cat $random_seed >/dev/urandom
    else
        touch $random_seed
    fi
    chmod 600 $random_seed
    poolfile=/proc/sys/kernel/random/poolsize
    [ -r $poolfile ] && bytes=`cat $poolfile` || bytes=512
    dd if=/dev/urandom of=$random_seed count=1 bs=$bytes

また、Linux システムのシャットダウン時に実行される適切なスクリプトに、 以下の行を追加すればよい:

    # 乱数種を今回のシャットダウンから次回のスタートアップまで持ち越す。
    # 全てのエントロピープールを保存する。
    echo "Saving random seed..."
    random_seed=/var/run/random-seed
    touch $random_seed
    chmod 600 $random_seed
    poolfile=/proc/sys/kernel/random/poolsize
    [ -r $poolfile ] && bytes=`cat $poolfile` || bytes=512
    dd if=/dev/urandom of=$random_seed count=1 bs=$bytes

/proc インターフェース¶

読み込み専用のファイル entropy_avail は使用可能なエントロピーを表す。 通常、これは 4096 (ビット) になり、エントロピープールが満杯の状態である。

ファイル poolsize はエントロピープールのサイズを表す。 このファイルの意味はカーネルバージョンにより異なる。

ファイル read_wakeup_threshold は /dev/random からのエントロピーを待って休止しているプロセスを起こすのに必要な エントロピーのビット数を保持している。 デフォルトは 64 である。 ファイル write_wakeup_threshold はエントロピーのビット数を保持しており、この値以下になったら /dev/random への書き込みアクセスのために select(2) または poll(2) を実行するプロセスを起こす。 この値はファイルに書き込みを行うことによって変更できる。

読み込み専用のファイル uuid と boot_id は 6fd5a44b-35f4-4ad4-a9b9-6b9be13e1fe9 のような ランダムな文字列を保持している。 前者は読み込みの度に新たに生成され、 後者は 1 度だけ生成される。

ioctl(2) インターフェース¶

RNDGETENTCNT

入力エントロピープールのカウントを取得する。 取得される内容は proc の entropy_avail ファイルと同じである。 結果は引き数が指す整数 (int) に格納される。

RNDADDTOENTCNT

入力エントロピープールのカウントを引き数が指す値だけ加算または減算する。

RNDGETPOOL

Linux 2.6.9 で削除された。

RNDADDENTROPY

入力プールに追加のエントロピーを追加し、エントロピーカウントを増やす。 この要求は /dev/random や /dev/urandom への書き込みとは異なる。 /dev/random や /dev/urandom への書き込みでは、 何らかのデータが追加されるだけで、 エントロピーカウントは増やされない。 以下の構造体が使用される。

    struct rand_pool_info {
        int    entropy_count;
        int    buf_size;
        __u32  buf[0];
    };
    

entropy_count はエントロピーカウントに加算 (または減算) する値である。 buf は大きさが buf_size のバッファーで、この内容がエントロピープールに追加される。

RNDZAPENTCNT, RNDCLEARPOOL

すべてのプールのエントロピーカウントを 0 にし、何らかのシステムデータ (現在の時刻など) をプールに追加する。