Random Number Generation Techniques

Transcript

1 Scuola Politecnica e delle Scienze di Base Corso di Laurea in Ingegneria Informatica Elaborato finale in Elettronica Generale Random Number Generation Techniques Anno Accademico 2016/2017 Candidato: Vincenzo Olimpiade matr. N

2 Alla mia famiglia, a mamma, papà e Gianluigi, che mi hanno accompagnato e sostenuto sempre in questo lungo percorso, che mi hanno consigliato nel modo più giusto e mi hanno motivato ogni giorno affinché non mollassi mai, perché la vita è un continuo esame e non si finisce mai di imparare, a mio nonno Vincenzo che anche se non c'è più mi osserva da lassù e che sicuramente è stato con me ad ogni esame e dunque ad ogni passo di questo viaggio, alla nonna Carmela che quando era qui con noi manteneva una certa luce in tutta la famiglia, ed una parte di quella luce l'ho conservata dentro di me in ogni giorno, soprattutto in quelli un po' bui, alla nonna che sta sopra,che con la sua saggezza e la sua bontà mi ha sempre incoraggiato e spronato affinchè dessi il massimo per avere un giorno un buon posto di lavoro, a tutte le persone che mi vogliono bene, tutti i parenti, gli zii e le zie, ai cugini e le cugine, al più grande professore che io abbia mai conosciuto, il professore Antonio Collaro, una delle persone di cui ho più stima, un amico che ha saputo tirarmi su sempre con la sua allegria e le sue battute e che mi ha fatto appassionare alla matematica e la fisica, grazie di tutto Antò, alla maestra Michela, che mi ha sempre voluto bene e dimostrato il suo affetto, e che mi ha aiutato con l'inglese quando ne ho avuto bisogno a mio zio Raffaele, che ho sempre ammirato e che ha dedicato un po' del suo tempo a me nonostante i suoi impegni, che è stato sempre un punto di riferimento un modello a cui ispirarsi, a Gianluca Uomo uno dei due miei migliori amici conosciuti all'unina, che con la sua pazienza e la sua intelligenza mi ha motivato e guidato ad ogni esame, a tutte le battute e a tutte le risate che ci siamo fatti durante i corsi e a tutto quello che abbiamo passato in questi anni, a Francesco Ventimiglia,conosciuto come il Barone, che con la sua simpatia e la sua spensieratezza mi ha fatto capire che in fondo ero già laureato quando ho superato Metodi, ai grandi amici Leo e Armando che mi sono stati sempre vicini, il primo con le sue dritte, il secondo con i suoi preziosi consigli, agli altri amici dell'unina e di Napoli,ovvero al grande Luigi(detto Gino),Alina,Roberto,Maurizio, Alfonso,Alessio,Andrea,Erasmo,i gemelli,mauro Nappi,Rosaria,Claudio,Alessandro Pagliaro, Alessandro Polverino,Edoardo,Riccardo,Manuel,Hussain,Davide,agli altri amici del mio paese ovvero alla cara Filippina (Lucia Costabile), allo chef Emmanuele Guido,a mia cognata Tonia,Fabiano, Carla,Anna e Lino,Enzo,Gennaro,Luigi e Giuliana,Pasqualino e Ida,Peppe,Arianna, e Michele. 2

3 Indice Random Number Generation Tecniques... Indice...3 Introduzione...4 Capitolo 1: True Random Hardware Number Generator Direct Amplification Oscillator Sampling Discrete-Time Chaos Combined Method...11 Capitolo 2: Pseudo-Random Hardware Number Generator Implementazione Mappa di Renyì con i Variabile Miglioramento Implementazione Mappa di Renyì con i Variabile Implementazione Mappa di Renyì con i Costante Miglioramento Implementazione Mappa di Renyì Costante Confronto tra le Soluzioni Proposte Analisi del Tempo di Ritardo Analisi del Parametro AT...20 Capitolo 3: Pseudo-Random Software Number Generator : Middle Square Method Linear Congruential Generator Lagged Fibonacci Generator Mersenne Twister Blum Blum Shub...27 Capitolo 4: TRNGs VS. PRNGs...28 Capitolo 5: Conclusioni...31 Bibliografia

4 Introduzione I generatori di numeri casuali o Random Number Generators (RNGs) sono dispositivi hardware o componenti software in grado di generare sequenze di numeri casuali. L'uso crescente di comunicazioni digitali come reti di computer, Internet e dispositivi wireless, ha portato ad una maggiore necessità di protezione delle informazioni trasmesse usando la crittografia. La crittografia consente lo scambio di messaggi privati tra un mittente e un destinatario utilizzando chiavi crittografiche accuratamente distribuite per la crittografia e la decrittografia. La sicurezza della maggior parte dei sistemi crittografici si basa sulla generazione di chiavi digitali imprevedibili ed irriproducibili utilizzando generatori di numeri casuali non deterministici (RNGs).I Crittografi basano la progettazione degli RNG sull'utilizzo di fonti oscure come la latenza della tastiera,la turbolenza del hard disk (l effetto della turbolenza dell aria ovvero vibrazioni generate dall esterno che generano un segnale di disturbo ), e sullo stato del clock di sistema del computer. La sicurezza di questi progetti dipende dalla segretezza della fonte quasirandom(chiave). Al contrario, i sistemi che utilizzano un meccanismo di rumore veramente casuale(truly-random), come il rumore elettronico o decadimento radioattivo forniscono la sicurezza crittografica massima perché non vi è alcuna necessità di tutelare la segretezza del metodo di generazione della chiave,la cui generazione casuale è ben documentata in letteratura. Come sistema a singolo chip le soluzioni più diffuse per la realizzazione di RNG diventano i robusti Circuiti Integrati(IC). Esistono fonti di rumore casuale, come ad esempio il rumore termico e lo shot noise, che, sono spesso mascherati da disturbi deterministici. Di conseguenza, i progetti RNG commerciali che amplificano il rumore elettronico richiedono componenti esterni e hardware speciali per la schermatura elettromagnetica da interferenze non casuali. L'esperienza nella progettazione di sistemi IC misti dimostra che il rumore di substrato e di alimentazione possono essere spesso molto superiori ai livelli di rumore casuale. Di conseguenza, si deve presumere che una sorgente di rumore bianco puro non è disponibile per l'uso in un progetto RNG che fa parte di un sistema crittografico IC digitale. 4

5 Lo scopo di questo lavoro sarà descrivere la progettazione di un robusto circuito integrato RNG basato su una sorgente di rumore, adatto per l'integrazione con circuiti di codifica digitale. Si distinguono, a partire dal tipo di implementazione adottata, due principali famiglie di generatori: True Random Number Generator - TRNG e Pseudo-Random Number Generator PRNG. 5

6 Capitolo 1: True Random Hardware Number Generator I True Random Hardware Number Generator, chiamati anche Physical RNG o Hardware RNG, lavorano sulla base di alcuni fenomeni fisici i quali ci si aspetta che siano puramente casuali. In particolare essi estraggono la casualità da processi fisici che si comportano, in linea di principio, in maniera non deterministica e quindi non predicibile. I fenomeni fisici su cui si basano questo tipo di generatori sono fenomeni microscopici come: il rumore termico, rumore atmosferico, effetto fotoelettrico, fenomeni quantistici o altri fenomeni. Ci sono relativamente pochi progetti Hardware che sono stati pubblicati in letteratura. I progetti disponibili rivelano tre differenti metodi compatibili con i Circuiti Integrati per la produzione di sequenze casuali, qui classificati come segue: Direct Amplification Oscillator Sampling Discrete-Time Chaos 1.1 Direct Amplification La tecnica di amplificazione diretta, mostrata in Fig.1, utilizza un amplificatore ad elevato guadagno ed a larga banda per elaborare una piccola tensione alternata prodotta da una sorgente di rumore. La sorgente di rumore può essere, ad esempio: rumore termico (generato dal movimento degli elettroni in un resistore). shot noise (generato dal flusso di corrente che attraversa una giunzione p-n). Il rumore deve essere amplificato ad un certo livello e successivamente confrontato con una soglia tramite un comparatore. Il comparatore, a partire dal segnale di input, converte il segnale analogico in un bitstream che rappresenta la sequenza digitale generata. 6

7 Fig. 1. Direct amplification tecnique. Nello specifico, la tecnica dell'amplificazione diretta, consiste nel moltiplicare il segnale di rumore w(n) col guadagno costante dell'amplificatore K, e successivamente comparare il risultato con una tensione di offset V off in modo da ottenere, in output, una sequenza di bit b DA (n) come descritto di seguito : b DA (n)= { 1, K w(n)<v off 0, altrimenti (1.1) Per via della semplicità di realizzazione e del basso consumo di potenza, questa tecnica è adatta a soluzioni basate su singoli chip solo se è possibile schermare il rumore. Infatti è sensibile a variazioni deterministiche causate, in generale, da fenomeni di natura elettromagnetica o dalle particolari caratteristiche dell amplificatore stesso (segnali di alimentazione e di substrato). Per effetto di tali disturbi, il segnale ottenuto in output dall amplificatore potrebbe risultare predicibile. La soluzione più efficiente potrebbe essere quella di schermare l intero circuito al fine di preservare il segnale di rumore. Questa soluzione però richiederebbe grandi sforzi, sia in termini di progettazione e sia in termini economici. 1.2 Oscillator Sampling La tecnica dell'oscillatore di campionamento produce sequenze binarie casuali partendo dalla fase del rumore ( idealmente un sottoprodotto del rumore termico del MOSFET ). Un esempio di questa tecnica è mostrato in figura 2. 7

8 [Fig. 2 Basic oscillator-based Random Number Generator] I componenti fondamentali sono : Un oscillatore a bassa frequenza Un oscillatore ad alta frequenza Flip-Flop D L oscillatore a bassa frequenza fornisce un segnale di clock al Flip-Flop D in modo da campionare, sul fronte di salita, il segnale ad alta frequenza generato dall oscillatore ad alta frequenza. Per descrivere gli effetti del rumore d'ingresso sulla frequenza di uscita dell'oscillatore, quest'ultimo può essere modellato come un oscillatore controllato in tensione o in corrente, che produce un determinato valore della sequenza di uscita per ciascun segnale d'ingresso. In generale, note le frequenze(o i periodi) dell'oscillatore lento e di quello veloce, e nota la differenza di fase iniziale, il valore di uscita campionato può essere calcolato in ogni istante, come mostrato in fig. 3. Fig.3. Differenza di fase usata per calcolare i valori di campionamento del modello Oscillator Sampling La differenza di fase tra i 2 oscillatori all'n-simo campione è data da: t (n+1)=(t (n)+t s ) mod (C 0 +C 1 w(n)+c 2 w 2 (n)) (1.2) dove : 8

9 mod è l'operatore modulo T s è il periodo dell'oscillatore lento C 0, C1 e C 2 sono le funzioni di trasferimento non lineari tra il rumore ed il periodo dell'oscillatore veloce. La sequenza di bit in uscita viene calcolata dalla (1.2) in accordo con la seguente regola: b OS (n)={ 1, t (n+1)<m[c +C w(n)+c w (n)] 0, altrimenti (1.3) Resta inteso che per ottenere casualità ci si può basare sul jitter, che provoca incertezza nei valori esatti di campionamento, e che dunque determina la probabilità di generare numeri puramente casuali. Questa tecnica, a differenza del Direct Amplification, è più robusta in presenza di rumore non schermato. Tuttavia è stato dimostrato che, partire solamente dal jitter degli oscillatori, non è sufficiente per generare sequenze puramente casuali. Inoltre, il bit-rate di un generatore di questo tipo è circa 100 kbps e, dunque, sarà difficile utilizzarlo in sistemi crittografici ad elevata velocità. Si aggiungono pertanto all'uscita tecniche pseudo-random per randomizzare ulteriormente l'uscita compromettendo però potenzialmente l'imprevedibilità del sistema. 1.3 Discrete-Time Chaos Una soluzione a questi problemi potrebbe essere quella basata sulla teoria del chaos. Il chaos può essere visto come un comportamento non periodico, a lungo termine e non prevedibile generato da un certo sistema dinamico non lineare. Un sistema caotico è, dunque, un sistema fisico dominato dal caos nel quale anche piccole sollecitazioni del sistema potrebbero avere notevoli conseguenze sullo stato futuro del sistema stesso. I sistemi caotici, dato lo stato iniziale del sistema, sono per natura deterministici. Se si conosce esattamente lo stato iniziale del sistema, l output del sistema potrebbe essere prevedibile. La particolarità di questo tipo di sistemi è che, in pratica, è difficile stimare lo stato iniziale del sistema e tale caratteristica li rende impredicibili. Possono essere utilizzate, ad esempio, le chaotic maps che sono una sottoclasse di sistemi dinamici non lineari a tempo discreto. 9

10 I sistemi caotici possono essere implementati utilizzando tecniche di elaborazione a tempo discreto su segnali analogici. Un esempio è la shift map di Bernulli descritta dalla seguente relazione : X n =[2( X n 1+e(n))]mod 1.0 (1.4) dove e(n) rappresenta un segnale di rumore Gaussiano. E' stato dimostrato che le sequenze prodotte dalla (1.4) e da sistemi simili sono a spettro piatto e uniformemente distribuite. Tale caratteristica rende le sequenze prodotte imprevedibili ed il sistema particolarmente adatto alla generazione di sequenze realmente casuali. Un esempio è riportato in Fig (4) dove viene mostrato che 2 sequenze, pur partendo dalla stessa condizione iniziale, dopo un certo numero di campioni, diventano incorrelate (divergono). Fig. (4). Due sequenze prodotte dalla relazione (1.4) I circuiti che realizzano sistemi di questo tipo sono simili a convertitori A/D. Un esempio di tale tecnica è mostrato in figura (5), dove un segnale risultato di una conversione A/D viene mantenuto costante e riportato in ingresso all'a/d in modo iterativo. Fig. (5). Esempio di tecnica Chaos Tempo-Discreto 10

11 Ad ogni conversione A/D viene generato un errore di quantizzazione che si traduce in una forma di rumore che provoca casualità nella conversione del campione i-esimo della sequenza di uscita. Infatti ogni bit della sequenza di uscita, viene generato dal confronto del campione i-esimo del segnale con una certa soglia all'interno di ogni singola bitcell. Dunque, il rumore generato all'istante n-esimo sarà funzione del rumore generato all'istante (n-1)- esimo, che sarà funzione del rumore generato all'istante (n-2)-esimo, e così via,producendo una sequenza di bit casuale in uscita. Il modello viene rappresentato dalla seguente relazione: i (n+1)=a i [[ B N (i (n)+w(n))]mod I ref ]+ A 0 (1.5) dove: N è il numero di stadi dell'a/d B è il guadagno di ogni stadio dell'a/d I ref è la corrente di riferimento dell'a/d A i e A 0 sono rispettivamente guadagno ed offset del S/H Mentre l'uscita è data dalla : b DTC (n)= { 1, i(n+1)<i ref 0, altrimenti (1.6) Così come il metodo dell'oscillatore, anche il metodo Chaos Tempo Discreto è insensibile alle influenze deterministiche. Tuttavia la casualità è ottenuta da dinamiche relative alla robustezza del circuito piuttosto che dal rumore. Inoltre le imprecisioni del circuito oltre a limitare la risoluzione dell'a/d creano anche una non-casualità statistica. 1.4 Combined Method Per raggiungere obbiettivi, quali maggiore velocità e casualità del sistema, si è pensato di combinare i 3 approcci,come mostrato in figura (6),collegando opportunamente i 3 modelli. 11

12 Fig.(6). Combinazione dei tre approcci RNG Il sistema combinato somma il rumore, generato dalla tecnica ad amplificazione diretta, nel sistema caotico, che a sua volta aziona l'oscillatore di campionamento. Diverse simulazioni hanno rilevato che questa topologia è insensibile alle influenze non casuali e non è influenzato da errori dei circuiti minori,come offset e non linearità. Inoltre con tale metodo si è voluto assicurare che la sequenza di bit di uscita fosse determinata come diretta conseguenza del rumore piuttosto che derivata dalla dinamica del sistema. La casualità è assicurata per essere dipendente direttamente dal rumore. Ciò qualifica il sistema come truly-random (realmente casuale) e ne garantisce la sicurezza e l'imprevedibilità per le applicazioni crittografiche. L'architettura scelta per il prototipo del sistema combinato RNG usa una combinazione dei 3 metodi RNG descritti precedentemente ed è mostrata in figura(7). Fig. (7). Architettura per il prototipo del sistema RNG 12

13 Si riconosce la presenza di un amplificatore che riceve in ingresso rumore termico e fornisce in uscita un segnale che va ad addizionarsi all'uscita del convertitore A/D afferente al sistema caotico. L'uscita di quest'ultimo pilota un CCO ( oscillatore controllato in corrente), il cui segnale di uscita viene campionato ad una frequenza di clock più bassa tramite un Flip-Flop D. I 3 modelli unificati in un unico sistema hardware consentono di raggiungere un notevole livello di casualità. Lo schema è arricchito da un limitatore utilizzato per evitare di mandare in saturazione i sistemi a valle,mentre il Flip-Flop T viene aggiunto per dimezzare la frequenza di uscita del CCO. La porta XOR, che riceve in ingresso il segnale di parità del convertitore A/D e l'uscita del Flip-Flop D, viene utilizzata per ridurre le distorsioni. Con il sistema che integra le 3 filosofie utilizzate per la generazione di numeri random, descritto in quest'ultima sezione, si è riusciti a raggiungere un notevole livello di robustezza in presenza di disturbi non-casuali fino a un bit-rate prossimo a 1,5MHz. Un'ulteriore caratteristica di tale sistema integrato consiste nella bassa dissipazione di potenza e ridotte dimensioni che con quanto precedentemente descritto lo rendono ideale per l'utilizzo nei circuiti utilizzati nella crittografia. 13

14 Capitolo 2: Pseudo-Random Hardware Number Generator Numeri casuali possono essere ottenuti anche da algoritmi i quali dovrebbero produrre, in linea generale, una sequenza di numeri avente le stesse proprietà statistiche di una sequenza generata da un TRNG. L utilizzo di algoritmi però implica che i numeri verranno generati in modo completamente deterministico. Sarà quasi sempre necessario fornire un valore iniziale detto seme al fine di inizializzare l algoritmo. A parità di seme e di interazioni, questi metodi forniscono sempre la stessa identica sequenza. Per tale motivo questo tipo di generatori sono detti generatori Pseudo-Casuali. Nei PRNGs vengono generati, nella maggior parte dei casi, sequenze di numeri interi uniformemente distribuiti tra 0 e un numero massimo prestabilito, oppure sequenze di numeri reali compresi tra 0 e 1. Esistono numerosi tipi di PRNG. In questo capitolo focalizzeremo l'attenzione su un sistema pseudo random derivato dall'implementazione della mappa caotica di Renyi definita come segue: T β ( x)=β x mod 1 (2.1) dove β è un numero reale <1, e mod è l'operazione di modulo. In letteratura è stato proposto un modello digitale che si basa sulla seguente relazione: f (k)=q2 n i k+ k2 i mod 2 n (2.2) dove n è il numero di bit utilizzati per rappresentare lo stato, 0<i<n,q è un numero dispari intero positivo tale che q2 n-i <2 n. Scegliendo b= q2 n-i l'espressione (2.2) diventa: f (k)=(bk mod 2 n + k2 i mod 2 n )mod 2 n (2.3) 14

15 I modelli Hardware descritti in seguito saranno misurati in termini di numero di operazioni richieste per l'implementazione della funzione descritta in precedenza. In tutte le discussioni che affronteremo, verrà assunta come unità di misura per comparare i vari metodi, il prodotto dell'area del chip per il tempo di ritardo. Tale grandezza si indicherà con AT. In particolare l'unità di misura del tempo di ritardo sarà quella del full-adder,mentre per l'area del chip si assumerà che il registro a singolo bit avrà un peso pari a 4 mentre il full-adder avrà un peso pari a 8. Da un punto di vista Hardware si farà riferimento ad una tecnologia CMOS di 0.18µm. 2.1 Implementazione Mappa Renyi con i variabile. Una prima forma per l'implementazione della mappa di Renyi fa riferimento ad un algoritmo che considera la i variabile all'interno della formula (2.3). La relativa implementazione hardware prevede l'utilizzo di N addizionatori con riporto con complessità del parametro AT pari a 8n 2. Assumendo di utilizzare altri 2 addizionatori per l'implementazione di ulteriori operazioni, la complessità totale di tale soluzione ammonta a 24n 3 (stima rozza). Tenendo conto che solitamente si è interessati alla realizzazione di mappe ad elevata precisione per le quali si richiede un valore di n compreso tra 100 e 1000, il parametro AT risulterebbe assumere un valore talmente elevato da rendere impraticabile questa soluzione. Per questo si ricorre all'architettura sequenziale che descriveremo di seguito Miglioramento dell'implementazione Mappa Renyi con i variabile. Come anticipato nella sezione precedente, l'implementazione brutale della formula (2.3) è improponibile, pertanto si ricorre ad una soluzione che considera un addizionatore CS ad n-bit costituito da un insieme di n addizionatori in parallelo. Lo scopo di tale soluzione è addizionare 3 interi X,Y e Z per produrre 2 interi C e S tale che C+S=X+Y+Z. Assumendo che X,Y, e Z siano 3 registri ad n-bit,i bits di S e C sono calcolati come segue: 15

16 j è un indice tale che 0<j<n-1 con la condizione iniziale che C 0 =0. Ottenuti gli operandi C e S risulta facile calcolare la funzione (2.3) con la seguente operazione: (C+S )mod 2 n =(C mod 2 n +S mod 2 n )mod 2 n (2.4) Il risultato verrà ottenuto semplicemente considerando rispettivamente gli n bit meno significativi di C e S. Utilizzando questa soluzione la complessità in termini di AT ammonta a 56n2 + 16n. Il calcolo è stato effettuato considerando che l'area per i registri C,S,P,k e b risulta pari a 20n, l'area dell'addizionatore CS è pari a 8n, l'area dell'addizionatore seriale è pari a 8 ed il tempo di ritardo è pari a 2n. Tale valore di AT risulta essere da un punto di vista hardware più ragionevole. L'implementazione hardware dell'algoritmo descritto è riportata nella seguente figura: Fig. (8). circuito per l'implementazione di f(k) con i variabile 16

17 2.2 Implementazione della Mappa di Renyi con i costante. Nell'ipotesi in cui i risulti costante, l'algoritmo per l'implementazione della funzione () può essere semplificato riducendo la complessità AT a 28n 2 +4n(7i+9)+8(i+1). Il valore è stato ottenuto considerando l'area dei registri C,S,P,k e b (20n), l'area degli addizionatori CS unita all'aria dell'addizionatore seriale (8n+8) e il tempo di ritardo richiesto per n+i+1 operazioni Miglioramento dell'implementazione Mappa Renyi con i costante Un ulteriore miglioramento del parametro AT può essere ottenuto considerando l'implementazione della somma dei parametri C ed S utilizzando solo registri ad n-bit per contenere i parametri C ed S. L'utilizzo di tale strategia comporta solo una ridondanza per la rappresentazione del parametro k dato da: k=(c+s)mod 2 n (2.5) L'implementazione hardware che consente di ottenere questo miglioramento è mostrata nella seguente figura: 17

18 Fig. (9). Circuito ottimizzato per l'implementazione di f(k) con i costante E' stato stimato che la complessità in termini di parametro AT è uguale a 4n(9+h)(2w+1). Il conteggio è stato ottenuto considerando l'area per i registri C,S,D,T e b (20n), l'area per i 2 addizionatori CS (16n), l'area richiesta per i 2 semi addizionatori CS (h4n) e il tempo di ritardo richiesto per le operazioni (2w+1). 2.3 Confronto tra le soluzioni proposte. Per poter effettuare un confronto tra le prestazioni delle soluzioni presentate, analizzeremo il tempo di ritardo T e la complessità AT. In particolare i grafici andranno a considerare i valori dei suddetti parametri con riferimento alla soluzione ad i costante con relativo miglioramento, normalizzata alla soluzione che utilizza i variabile. 18

19 2.3.1 Analisi del tempo di ritardo. Con riferimento alla figura (10) si constata che i tempi di ritardo delle soluzioni ad i costante (algoritmo B1 senza up-grade,algoritmo B2 con up-grade) per un fissato valore di n sono sempre migliori delle soluzioni ad i variabile (algoritmo A1). Inoltre è evidente che la soluzione migliorata dell'algoritmo ad i costante presenta un tempo di ritardo migliore rispetto a qualunque altra soluzione. Fig. (10). Tempo di ritardo normalizzato al tempo di ritardo dell'algoritmo A Analisi del parametro AT. Nella figura (11) viene mostrato il confronto tra le diverse soluzioni descritte in precedenza. Emerge che l'algoritmo con i costante e up-grade(b2) risulta più efficiente rispetto all'algoritmo con i variabile(a1) per valori di i fino a 0.6n a dispetto dell'algoritmo con i costante senza upgrade (B1) che si presenta sempre più efficiente rispetto all'algoritmo A1. L'algoritmo B1,invece è più efficiente rispetto al B2 solo per valori di i fino a 0.4n. 19

20 Fig. (11) Complessità AT normalizzata alla complessità AT dell'algoritmo A2 20

21 Capitolo 3 : Pseudo-Random Software Number Generator Gli algoritmi per implementare i PRNG basano il loro funzionamento sulla generazione dello stato corrente di una sequenza a partire dagli stati precedenti. I vari stati vengono codificati con stringhe di bit,ciascuna delle quali, come anticipato, risulta funzione delle sequenze relative agli stati precedenti. Una strategia utilizzata per l'implementazione dei PRNGs si basa sull'utilizzo dei registri a scorrimento con retroazione lineare(lfsr), i cui dati d'ingresso sono prodotti da una funzione lineare dello stato interno, per esempio una XOR. Il valore iniziale del LFSR è chiamato seme. Considerato che il registro ha un numero finito di stati possibili che sono conseguenza del seme iniziale, il ciclo di codici che si possono ottenere si presentano ripetitivi e come tali praticamente deterministici. Tuttavia, se la funzione di retroazione viene opportunamente scelta, si possono produrre sequenze di bit che possono apparire casuali in quanto dotate di un periodo molto lungo. Esistono numerosi tipi di PRNG che fanno uso del LFSR e che si differenziano in base al tipo di algoritmo implementato. Tra i più importanti ed utilizzati si individuano: Middle Square Method Linear Congruential Generator Lagge di Fibonacci Generator Mersenne Twister Blum Blum Shub L'ultimo metodo, in particolare, è utilizzato in molte delle applicazioni critiche basate su crittografia. Per tali generatori c è il bisogno di definire, oltre alle due proprietà citate precedentemente, un altra importante proprietà`: la non predicibilità. Ovvero,l algoritmo usato per generare numeri casuali non deve permettere di ricostruire l intera sequenza di numeri a partire dalla conoscenza di una parte di essa o dal seme. Tutti i generatori che soddisfano questo requisito sono detti generatori crittograficamente sicuri (Cryptographically Secure Pseudo-Random Number Generator CSPRNG). 3.1 Middle Square Method Uno dei primi metodi proposti fu il Middle Square Method - MSM. Questo metodo fu inventato da John Von Neumann e descritto in una conferenza nel L algoritmo si basa su 21

22 un idea sostanzialmente semplice: 1) Si stabilisce valore iniziale (seme) x 0 di M cifre 2) Tale valore è elevato al quadrato, aggiungendo degli 0 se necessario 3) L elemento successivo della sequenza in output sarà quello individuato dalle M cifre centrali di tale numero. 4) Il numero individuato farà da nuovo input all algoritmo ed iterando il processo è possibile ottenere una sequenza di numeri pseudo-random di M cifre Esempio MSM: x n = x n2 = x n+1 = x n+1 2 = x n +2 = Sono molte però le problematiche legate a questo tipo di algoritmo: Nel caso in cui le M cifre centrali siano tutte 0, il generatore produrrà solamente numeri ad M cifre nulle. Nel caso in cui almeno la metà delle cifre ottenute fosse composta da 0, tutti successivi output decrescerebbero fino a 0. Particolari valori iniziali potrebbero produrre sempre gli stessi output. Nonostante le carenze, questo metodo risulta comunque molto rapido. 3.2 Linear Congruential Generator La metodologia più utilizzata è quella degli algoritmi a congruenza lineare. Questo tipo di algoritmi permettono, in modo analogo all algoritmo Middle Square, di generare una sequenza di numeri casuali a partire da un seme. In più risolve il problema della comparsa degli zeri introdotto nel Middle Square Method. Il generatore lineare congruenziale - LCG fu introdotto intorno agli anni 50 dal matematico 22

23 D.H. Lemer ed è ancora oggi molto utilizzato. Si basa su un concetto molto semplice da comprendere e da implementare. Il generatore implementa la seguente relazione matematica: x n+1 =(ax n +c)mod m In cui: x 0 è il seme o valore iniziale x n è un valore della sequenza m coefficiente intero strettamente maggiore di 0 chiamato modulo a coefficiente intero strettamente maggiore di 0 chiamato moltiplicatore c e` detto incremento ed è non negativo. Nel caso in cui c= 0 si parla di Park-Miller RNG o RNG moltiplicativo) Il periodo di un LCG può essere al più pari ad e una scelta errata dei valori di e può influire negativamente sulla lunghezza della sequenza ottenuta. E` stato necessario, dunque, definire dei criteri per assegnare dei valori ad a, c, m ed x 0 al fine di garantire periodo massimo. In particolare è stato dimostrato che converrebbe scegliere in parametri i questo modo: 1) c ed m devono essere coprimi (MCD(c,m ) = 1) 2) a 1 è divisibile per tutti i fattori primi di m 3) Se a 1 è multiplo di 4 anche m dovrà essere un multiplo di Esempio LCG: Un esempio può essere mostrato scegliendo i parametri in questo modo: a = 3 c = 6 m = 5 x 0 = 1 L output è raffigurato in Fig. 12 dove si evince che, in questo caso, il periodo è uguale a 4. La relazione che caratterizza il generatore diventa: x i +1 = (3 x i + 6) mod 5 23

24 La sequenza generata sarà dunque: x 1 = (3 x 0 + 6) mod 5 =4 x 2 = (3 x 1 + 6) mod 5=5 x 3 = (3 x 2 + 6) mod 5=0 x 4 = (3 x 3 + 6) mod 5=1 x 5 = (3 x 4 + 6) mod 5=4 x 6 = (3 x 5 + 6) mod 5=3 [Fig. 12. Sequenza generata dal LCG] Alcune librerie di vari compilatori implementano la funzione rand(), basata sul LCG, con parametri differenti. Tra le più importanti troviamo: GNU C Library (glibc) che seleziona: m= 2 32, a= , c= e si considerano i bit ottenuti dal 30 a 0 Java.Util.Random che seleziona: m= 2 48, a= , c=11 e si considerano i bit ottenuti dal 47 a 16 I vantaggi di questo tipo di approccio sono sicuramente la semplicità di realizzazione e la velocità di generazione dei numeri (complessità computazionale molto bassa). Queste caratteristiche gli permettono di essere utilizzati in tutti quei sistemi, con potenzialità di calcolo e memoria limitate, come i sistemi Embedded e spesso nei videogiochi. Tuttavia, si può ottenere una sequenza periodica di periodo al più pari ad m, quindi occorre scegliere m elevato e un valore di a,c e x 0 tali da avere periodo massimo. I valori x i generati sono determinati da questi ultimi quattro parametri rendendo le sequenze in uscita predicibili. Inoltre le sequenze generate risultano correlate, pertanto non si presta a tutte le applicazioni basate su crittografia e simulazione. 24

25 3.3 Legge di Fibonacci Generator Il generatore di Fibonacci ritardato è stato introdotto per cercare di allungare il periodo del generatore. E` basato sulla generalizzazione della successione di Fibonacci: F k =F k 1 +F k 2 Similmente, il generatore è definito dalla relazione: In cui: F k = ( F k p F k p+q ) mod m F k è l n-esimo termine della successione di numeri pseudo-casuali generati p è chiamato lag del generatore e` una qualsiasi operazione (addizione, sottrazione, divisione, moltiplicazione o un operazione logica) m= 2 l è detto modulo Con tale algoritmo si generano numeri random formati da l bit. Nel generatore di Fibonacci, il periodo varia a seconda dell operatore utilizzato. Ad esempio, nel caso di somma o sottrazione, il generatore avrà periodo tale che: T (2 p 1) 2 l 1 Nel caso della moltiplicazione, il generatore avrà periodo tale che: T (2 p 1) 2 l 3 Nel caso dell OR esclusivo, il periodo diventerà: T (2 p 1) Tutti i generatori di Fibonacci hanno numerosi vantaggi rispetto ai generatori lineari congruenziali. Un aspetto di rilievo è il periodo relativamente più lungo rispetto ai LCGs in quanto può essere aumentato scegliendo un valore di sufficientemente grande. E` stato dimostrato che con i generatori basati su addizione, sottrazione e moltiplicazione si ottengono buoni risultati sulla maggior parte dei test statistici anche con valori piccoli di p. Valori tipici della coppia (p,q) sono: (17, 5), (31, 13), (55, 24). E` però raccomandato scegliere valori di p sempre sufficientemente grandi al fine di migliorare la qualità del generatore stesso. Generatori basati su OR Esclusivo sono inefficienti per valori di piccoli, mentre per valori grandi, 25

26 riescono a superare tutti i test statistici. Per questi generatori è consigliato, inoltre, assegnare a p numeri primi di Mersenne. 3.4 Mersenne Twister E` un algoritmo sviluppato da M. Matsumoto e T.Nishimura nel Questo algoritmo viene proposto al fine di porre rimedio alle varie mancanze delle precedenti soluzioni. La prima cosa che bisogna osservare è che il periodo viene aumentato a , tale periodo non e` una casualità` in quanto, il generatore MT, e` stato progettato apposta per ovviare ai problemi introdotti dai generatori con periodo breve. Inoltre e` molto simile al LCG usato nel linguaggio C in termini di velocità di generazione. Il nome di questo metodo deriva dal fatto che la lunghezza del periodo scelto deve essere un numero primo di Mersenne. Un numero primo di Mersenne è un numero primo esprimibile come: M p = 2 p 1 p è un numero intero positivo primo Nonostante sia trascurabile la correlazione tra valori successivi della sequenza, questo algoritmo, non è considerato ottimale in ambito crittografico ma si presta molto bene nei metodi Monte Carlo. In seguito però, sono state introdotte nuove varianti dell algoritmo in grado di lavorare anche in ambito crittografico. Si rimanda, per l implementazione di tale algoritmo, al sito ufficiale [11]. 3.5 Blum Blum Shub Questo algoritmo, facendo parte dei CSPRNGs, possiede proprietà che lo rendono particolarmente adatto in ambito della crittografia. Il Blum Blum Shub generator o anche BBS o generator x 2 mod n, e` definito come: b i = x i mod 2 Dove: 2 x i = x i 1 mod n n = pq è un numero intero chiamato Blum Integer 26

27 p e q sono due numeri primi distinti con p= 3 (mod 4) e q = 3 (mod 4) Step eseguiti dall algoritmo: 1)Vengono scelti due numeri primi casuali molto grandi (p e q) e si calcola il Blum Integer: n=pq 2)Viene scelto un numero casuale, s 0 detto seme, primo con n ed appartenente all intervallo 2 [1, 1]. Si calcola allora x 0 = s 0 mod n Per i che va da 1 a l, con l numero di generazioni da effettuare, si esegue: 2 a. x i = x i 1 mod n b. Si calcola b i Esempio BBS: n = p q = 7 19 = 133 s = 100 x 0 = mod 133 = 25 b 0 =1 x 1 = 25 2 mod 133 = 93 b 0 =0 x 2 = 93 2 mod 133 = 4 b 0 =0 x 3 = 4 2 mod 133 = 16 b 0 =1 x 4 = 16 2 mod 133 = 123 b 0 =1 L'output sarà : [ 1,0,0,1,1 ]. Questo algoritmo è poco efficiente nelle simulazioni in quanto potrebbe essere laborioso il calcolo dei numeri. Inoltre, la sequenza prodotta da questo algoritmo non è bilanciata (le frequenze con cui si verificano gli 0 e gli 1 non sono uguali). Tuttavia, è stato dimostrato che, questa non uniformità non è poi così differente dalle sequenze generate da un TRNG della stessa lunghezza. Per tale motivo si presta molto bene in ambito crittografico 27

28 Capitolo 4: TRNGs VS PRNGs Finora abbiamo analizzato le tecniche di generazione di numeri casuali più diffuse, sia quelle basate su TRNG sia quelle basate su PRNG, cercando di porre in risalto i vantaggi e svantaggi di ogni tecnica. Lo scopo di questo capitolo è di mettere a confronto, anche sulla base di un esempio pratico, le più significative differenze tra le due famiglie di generatori. Si parte dal presupposto che un modo semplice per esaminare un generatore di numeri è, senza effettuare test statistici, mostrare una visualizzazione grafica dei numeri prodotti in quanto risulta più semplice dedurre qualcosa osservando semplicemente un immagine. Questo approccio ovviamente non è esaustivo come l insieme dei test statistici ma consente, rapidamente, di farsi un idea su cosa si sta cercando di dimostrare. Sono state generate, a tal fine, due bitmap: una tramite il tool Bitmap Generator basato su un TRNG del sito web [15] e l altra tramite un algoritmo implementato in C++ (basato dunque su un PRNG) mostrato in Fig.3.1. Il Bitmap Generator si avvale di un TRNG il quale utilizza, come sorgente, il rumore atmosferico. L algoritmo implementato, invece, genera numeri casuali, nell intervallo [0,1], con l ausilio della funzione rand() della libreria <cstdlib> del C++. La funzione rand() è inizializzata da un seme tramite la chiamata della funzione srand(). La bitmap è caratterizzata da uno sfondo bianco e nel caso in cui venga generato un 1 allora si va a colorare di nero un pixel all interno della bitmap. Alla fine dell algoritmo la bitmap è salvata su un file PRNG_bitmap1.bmp. Il programma è stato compilato col MinGW GCC ed eseguito sulla piattaforma Microsoft Windows 10 e processore AMD A8. 28

29 Una volta generate, le due bitmap, sono state messe a confronto Fig. 3.2 e Fig

30 Come si può notare dalle immagini, la bitmap generata con C++/Windows presenta una certa correlazione tra i pixel rispetto a quella generata col Bitmap Generator. Questo dimostra la sostanziale differenza tra le due famiglie di generatori. Ovvero, a partire da un determinato seme, i PRNGs generano sequenze di numeri di bassa qualità e periodiche a differenza dei TRNGs. Inoltre cambiando il seme, ad es. srand(9), la bitmap generata sarà del tutto simile a quella in Fig.3.3 e la correlazione tra i pixel persiste. E` interessante notare che questo algoritmo genera una grande sequenza di numeri in pochissimo tempo (ovviamente la velocità di esecuzione varia sulla base di molti fattori). Nello specifico sono stati generati numeri in s. Sulla base di tutte le osservazioni fatte si deduce allora che i PRNGs sono: Efficienti, perché riescono a produrre moltissimi numeri in tempi ridotti Deterministici, perché se si conosce lo stato iniziale, una certa sequenza di numeri può essere riprodotta in un secondo momento Periodici, perché le sequenze generate potrebbero ripetersi nel tempo. Anche se attualmente, con i moderni generatori, sono stati raggiunti periodi talmente lunghi che possono essere considerati aperiodici in diversi scenari applicativi. D altro canto, i TRNGs sono: Inefficienti, perché, paragonati ai PRNGs, necessitano di molto più tempo per produrre sequenze di numeri casuali Non deterministici, perché una certa sequenza di numeri non può essere riprodotta Aperiodici Queste caratteristiche sono riassunte nella tabella in Fig.12 Fig.12 Confronto tra PRNGs e TRNGs 30

31 Capitolo 5: Conclusioni A questo punto è lecito porsi la seguente domanda: quale generatore, tra tutti quelli osservati, è il migliore? Ancora una volta la risposta a questa domanda è: dipende. La scelta di utilizzare uno specifico RNG consegue dal tipo di scenario applicativo e dai requisiti che bisogna soddisfare. Non è possibile, dunque, dire che una soluzione è migliore rispetto ad un altra. Si può solamente dire che, a partire dai requisiti di progetto che bisogna soddisfare, una soluzione potrebbe essere più adatta rispetto ad un altra. Quindi, avendo analizzato gli aspetti più significativi delle due famiglie di generatori è possibile affermare che: I PRNGs sono adatti in tutte quelle applicazioni che richiedono, in tempi ridotti, grandi sequenze di numeri e una certa periodicità. I TRNGs sono utili in tutte le applicazioni che richiedono una certa qualità di sequenze generate. Sono utilizzati in particolar modo nel campo della crittografia in quanto la robustezza dei sistemi crittografici è determinata dalla loro capacità di generare, tramite un RNG, una keystream non predicibile e non riproducibile. I TRNGs sono però difficili da progettare, da integrare e sono costosi. Per questi motivi, in ambito crittografico sono stati proposti i così detti CSPRNGs i quali, nonostante siano classificati come PRNGs, soddisfano i requisiti di sicurezza. Soluzioni alternative ed innovative sono rappresentate dagli Hybrid Random Number Generator HRNG. Questa soluzione è osservata con grande interesse dagli studiosi in quanto potrebbe risolvere numerosi problemi in termini di qualità di sequenze e velocità di generazione. Infatti si cerca di combinare i TRNGs con i PRNGs tra di loro: si genera un seme con un TRNG, questo seme va ad inizializzare un PRNG in modo da avere un generatore che produce sequenze puramente casuali (grazie al rinnovo periodico del seme col TRNG) generate in modo estremamente rapido (grazie all algoritmo efficiente del PRNG). 31

32 Bibliografia [1] Craig S. Petrie and J. Alvin Connelly, A Noise-Based IC Random Number Generator for Applications in Cryptography, IEEE Transactions on Circuits and Systems I: Fundamental Theory and Applications, VOL. 47, NO. 5, 05/2000 [2] Tommaso Addabbo, Davide De Caro, Ada Fort1, Nicola Petra, Santina Rocchi and Valerio Vignoli, Efficient implementation of pseudochaotic piecewise linear maps with high digitization accuracies, INTERNATIONAL JOURNAL OF CIRCUIT THEORY AND APPLICATIONS, Int. J. Circ. Theor. Appl. 2012; [3] Benjamin Jun and Paul Kocher, The Intel Random Number Generator, Cryptography Research, Inc. White Paper Prepared For Intel Corporation, 22/04/1999 [4] V. Kote, V. Molata, J. Jakovenko1, Improved Structure of True Random Number Generator with Direct Amplification of Analog Noise, 2012 [5] G. Bucci and R. Luzzi, "Design of Testable Random Bit Generators," in Cryptographic Hardware and Embedded Systems CHES 2005, 7th International Workshop, Edinburgh, Scotland, August 29 September 1, 2005, Proceedings, ser. Lecture Notes in Computer Science, J. R. Rao and B. Sunar, Eds., vol pp , Springer, [5] Dries Schellekens, Bart Preneel, and Ingrid Verbauwhede, FPGA Vendor Agnostic True Random Number Generator [6] Hamid Nejati, Ahmad Beirami, and Warsame H. Ali, Discrete-Time Chaotic-Map Truly Random Number Generators: Design, Implementation, and Variability Analysis of the Zigzag Map, 5/06/2012 [7] Wikipedia, [8] Srinivas Aluru1, Lagged Fibonacci Random Number Generators for Distributed Memory Parallel Computers, Journal of Parallel and Distributed Computing 45, [9] Wikipedia, [10] 19/04/2016 [11] Thomas W. Cusick, Properties of the x2 mod N Pseudorandom Number Generator, IEEE Transaction on Information Theory, vol. 41, no. 4, July 1995 [12] Wikipedia, 09/04/2016 [13] Robert McEvoyt, James Curran, Paul Cotter, and Colin Murphyt, Fortuna: Cryptographically Secure Pseudo-Random Numnber Generation In Software And Hardware, 28/06/