Kompakte Notebooks Kompakte Notebooks - Wuala

Know-how | Zufallszahlen
gewinnen Grand Challenge 2005, c’t 23/05,
S. 92
[3]ˇOliver Lau, Krypto-Ass, Schneller verschlüsseln
per Hardware, c’t 11/05, S. 230
[4]ˇCryptography Research, Evaluation of VIA C3
Nehemiah Random Number Generator, Februar 2003
[5]ˇMersenne-Twister: http://de.wikipedia.org/wiki/
Mersenne-Twister
[6]ˇBruce Schneier, Applied Cryptography, Wiley &
Sons 2nd ed. 1996, ISBN 0-471-12845-7
[7]ˇKlaus Schmeh, Dr. Hubert Uebelacker, Zufallstreffer,
Kryptographisch sichere Zufallsgeneratoren,
c’t 14/97, S. 220
[8]ˇVIA Nehemiah RNG Programming Guide:
www.via.com.tw/en/downloads/whitepapers/
initiatives/padlock/rng_prog_guide.pdf
[9]ˇNIST Special Publication 800-22, A Statistical Test
Suite for Random and Pseudorandom Number
Generators: http://csrc.nist.gov/rng/SP800-22b.pdf
[10]ˇClaude E. Shannon, A Mathematical Theory of
Communication, 1948: http://cm.bell-labs.com/
cm/ms/what/shannonday/shannon1948.pdf
Soft-Link 0902172
Tests auf Zufälligkeit
Das wichtigste Instrument zur Beurteilung
der Zufälligkeit einer Zahlenfolge sind statistische
Tests. Im Laufe der Jahre wurden
sie zu Dutzenden ausklamüsert. Zum Verständnis
sind leider häufig profunde Mathematik-Kenntnisse
vonnöten. Um sich ein
bisschen hineinzudenken, genügt es glücklicherweise,
sich mit ein paar der einfacheren
Tests auseinanderzusetzen. Das Folgende
geht davon aus, dass die betrachteten
Zufallszahlenfolgen byteweise organisiert
sind, also alle Werte aus dem ganzzahligen
Bereich zwischen 0 und 255 stammen.
Gleichverteilungstest
Wie jede Augenzahl eines Würfels gleich
häufig oben liegen soll, wenn man nur lange
genug würfelt, so sollen auch Zufallszahlen
möglichst fair sein. Bei byteweiser Organisation
liegt die Wahrscheinlichkeit für das Auftreten
einer jeder Zahl bei exakt 1/256.
Einen Test auf Gleichverteilung kann man
auf verschiedene Arten implementieren. In
der Template-Funktion frequency_test() (test/
frequency.h) geschieht das über die Einteilung
des Wertebereichs in Klassen und das
Zählen der Häufigkeiten, mit wie viel Zufallszahlen
eine Klasse besetzt ist. Die Funktion
liefert aus einem Chi-Quadrat-Anpassungstest
einen p-Wert, der angibt, wie gut die beobachteten
Häufigkeiten mit der erwarteten
Gleichverteilung übereinstimmen. Diese
Methode funktioniert mit Gleitkomma- und
Ganzzahlen gleichermaßen gut.
In der Monobit genannten Implementierung
der NIST (test/monobit.h) werden
stumpf die Häufigkeiten von 0- und 1-Bits in
Blöcken à 20ˇ000 Bit gezählt. Fallen die Häufigkeiten
ins Intervall zwischen 9654 und
10ˇ346, gilt der Test als bestanden. Dieses
Verfahren funktioniert demnach nur mit Zufallszahlen,
die binär organisiert sind.
Entropie
Eine andere Sichtweise auf die Häufigkeitsverteilung
liefert die sogenannte Entropie
[10]. Sie gibt an, wie viel Bits Information
durchschnittlich in jedem Byte einer Zahlenfolge
stecken. Wird zum Beispiel das
obere Nibble eines Bytes gar nicht verwendet,
kann die Entropie nicht über 4 Bit pro
Byte steigen. Kommen sämtliche Werte
exakt gleich häufig vor, hat die Folge eine
Entropie von 8 Bit pro Byte.
Serientest
Eine endlose Wiederholung des Alphabets
ergäbe eine perfekte Gleichverteilung, was
die Häufigkeit einzelner Buchstaben angeht,
aber ein extremes Ungleichgewicht in Bezug
auf Häufigkeit von Buchstabenpaaren (2-
Tupel), -drillingen (3-Tupel) und so weiter.
Der Serientest ermittelt die Häufigkeiten aller
möglichen n-Tupel. Aus Performancegründen
beschränkt sich die Implementierung in
ct-rng-assessor auf Paare und Drillinge. Die
Wahrscheinlichkeit für ein bestimmtes Byte-
Paar beträgt also 1/256 2 , für einen bestimmten
Drilling 1/256 3 . Der Test liefert einen p-
Wert aus dem Chi-Quadrat-Anpassungstest.
Gap-Test
Von einer Zufallszahlenfolge darf man verlangen,
dass es nicht zu lange dauert, bis ein
Wert aus einem bestimmten Intervall erneut
auftaucht. Der Gap-Test misst die Breite dieser
Lücken und merkt sich, wie häufig jede
Lückenbreite vorgekommen ist. Das tut er
insgesamt sechs Mal: für Zahlen aus der unteren
und oberen Hälfte des Wertebereichs
(0–127 respektive 128–255) sowie für jedes
Viertel (0–63, 64–127, 128–191, 192–255).
Die Wahrscheinlichkeit für eine Lücke der
Breite t sinkt exponentiell mit wachsendem
t. Die beobachteten Häufigkeiten lassen sich
also wieder bequem mit Hilfe des Chi-Quadrat-Anpassungstests
mit den erwarteten
vergleichen. Heraus kommt wie üblich ein p-
Wert als Maß der Übereinstimmung.
Poker-Test
Tut man so, als seien die Zufallsbytes Spielkarten,
so sollte eine Hand aus fünf Bytes
mit einer bestimmten Wahrscheinlichkeit
fünf unterschiedliche Zahlen enthalten, mit
einer anderen, sehr viel geringeren Wahrscheinlichkeit
fünf gleiche. Allgemein gesagt:
Dass eine Gruppe aus k Zahlen mit d
möglichen Werten r unterschiedliche enthält,
ermittelt man mit der Formel:
p r
=
d(d – 1) … (d – r + 1)
d k ⋅ S{k, r}
wobei S{k, r} die sogenannte Stirling-Zahl
zweiter Art bezeichnet, die nach folgender
rekursiver Vorschrift berechnet wird: S{n, k}
= S{n – 1, k – 1} + k · S{n – 1, k}. Die Spezialfälle
S{n, n} = 1 und S{n, 1} = 1 stellen die Anfangswerte.
Die Implementierung des Tests findet sich
in der Datei test/poker-knuth.h. Die Funktion
poker_test_knuth() liefert als Ergebnis den
p-Wert des Chi-Quadrat-Tests.
Coupon-Collector’s-Test
Es darf nicht beliebig lange dauern, bis alle
möglichen Zahlen mindestens einmal „gezogen“
wurden, also jede Nummer auf einem
gedachten Kuponbogen abgehakt werden
konnte. Die Anzahl der eingelesenen Bytes
einer beliebig langen Zufallszahlenfolge, die
erforderlich ist, damit jeder Wert zwischen 0
und 255 mindestens einmal aufgetaucht ist,
ermittelt der Coupon-Collector’s-Test und
trägt sie in eine Häufigkeitstabelle ein. Ein Abschnitt
der Länge r hat die Wahrscheinlichkeit
p r = d!
d r ⋅ S{r – 1, d – 1}
wobei r naturgemäß größer oder gleich d
(Anzahl möglicher Werte aus dem Zufallszahlengenerator)
ist. Praktischerweise lässt
man r nicht beliebig groß werden, sondern
begrenzt seinen Wert auf ein frei wählbares t.
Die Wahrscheinlichkeit dafür, dass man
mindestens t Bytes einlesen muss, um den
Kuponbogen voll zu bekommen, liegt bei
p r =
d!
dt – 1 ⋅ S{t – 1, d}
Die Funktion coupon_collector_test() in der Datei
test/couponcollector.h führt das Verfahren vor.
Run-Test
Aufeinanderfolgende Werte einer Zufallszahlenfolge
sollten sich nicht zu lange in
einem bestimmten Intervall aufhalten, zum
Beispiel in der oberen oder unteren Hälfte.
Ebenso wenig ist es wünschenswert, dass
sie über große Bereiche monoton steigen
oder fallen. Die Länge dieser Läufe nimmt
der Run-Test unter die Lupe.
Die von der NIST ursprünglich vorgeschlagene
Implementierung (siehe Datei test/
run-fips-140-1.h) macht es noch ein bisschen
anders: Bei ihr werden in Blöcken à
20ˇ000 Bits Läufe von aufeinanderfolgenden
Nullen oder Einsen mit einer Länge von
maximal fünf gezählt, zusätzlich wird der
längste Lauf ermittelt. Der Test gilt als bestanden,
wenn es keinen Lauf gibt, der eine
Länge von 35 überschreitet.
c
c’t 2009, Heft 2
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.
179