هجوم مولد الأرقام العشوائية

كما هو الحال مع المكونات الأخرى لنظام التشفير، يجب تصميم مولد الأرقام العشوائية البرمجي لمقاومة بعض الهجمات. تتضمن بعض الهجمات المحتملة على مولد الأرقام العشوائية (من ^{[ 3 ]} ):

هجوم مباشر باستخدام التحليل التشفيري

عندما يحصل المهاجم على جزء من سلسلة البتات العشوائية ويمكنه استخدام ذلك لتمييز مخرجات مولد الأرقام العشوائية عن سلسلة عشوائية حقيقية.

الهجمات القائمة على المدخلات

تعديل المدخلات إلى مولد الأرقام العشوائية لمهاجمته، على سبيل المثال عن طريق "تفريغ" الإنتروبيا الموجودة من النظام ووضعها في حالة معروفة.

هجمات توسيع نطاق اختراق الدولة

عندما تُعرف الحالة السرية الداخلية لمولد الأرقام العشوائية في وقت ما، يُمكن استغلالها للتنبؤ بالنتائج المستقبلية أو استعادة النتائج السابقة. قد يحدث هذا عند بدء تشغيل المولد، حيث يكون مستوى العشوائية منخفضًا أو معدومًا (خاصةً إذا تم تشغيل الحاسوب حديثًا واتبع تسلسلًا قياسيًا جدًا من العمليات)، مما قد يُتيح للمهاجم الحصول على تخمين أولي للحالة.

هناك عدد من الهجمات الممكنة على مولدات الأرقام العشوائية للأجهزة ، بما في ذلك محاولة التقاط انبعاثات الترددات الراديوية من الكمبيوتر (الحصول على أوقات مقاطعة القرص الصلب من ضوضاء المحرك، على سبيل المثال)، أو محاولة تغذية إشارات متحكم بها إلى مصدر عشوائي مفترض (مثل إطفاء الأنوار في مصباح الحمم البركانية أو تغذية إشارة قوية ومعروفة إلى بطاقة الصوت).

يمكن إنشاء أرقام عشوائية مُعدّلة باستخدام مولد أرقام شبه عشوائية آمن تشفيرياً، حيث تكون قيمة البذرة معروفة للمهاجم ولكنها مخفية في البرنامج. يمكن أن يكون جزء قصير نسبياً، يتراوح بين 24 و40 بت، من البذرة عشوائياً تماماً لمنع التكرارات الدالة، ولكنه ليس طويلاً بما يكفي لمنع المهاجم من استعادة مفتاح تم إنشاؤه "عشوائياً" مثلاً.

عادةً ما تمر الأرقام العشوائية بعدة طبقات من الأجهزة والبرامج قبل استخدامها. قد تُولّد البتات في جهاز طرفي، ثم تُرسل عبر كابل تسلسلي، وتُجمع في أداة نظام التشغيل، وتُسترجع بواسطة استدعاء نظام . ويمكن استبدال البتات المُعدّلة في أي مرحلة من هذه العملية مع احتمال ضئيل لاكتشافها.

يمكن بناء دائرة إلكترونية لإنتاج بتات مُعدّلة على شريحة متكاملة لا تتجاوز بضعة ملليمترات مربعة. ويمكن تعطيل أكثر مولدات الأرقام العشوائية تطورًا عن طريق وضع شريحة كهذه في أي مكان قبل نقطة تحويل مصدر العشوائية إلى بيانات رقمية، كأن تكون في شريحة مُشغّل الإخراج أو حتى في الكابل الذي يربط مولد الأرقام العشوائية بالحاسوب. قد تتضمن شريحة التعطيل ساعةً لتحديد وقت بدء التشغيل بعد تشغيل الوحدة لأول مرة وإجراء اختبارات القبول، أو قد تحتوي على مستقبل لاسلكي للتحكم في التشغيل والإيقاف. ويمكن للشركة المصنعة تثبيتها بناءً على طلب جهاز الاستخبارات الوطنية، أو إضافتها لاحقًا من قِبل أي شخص لديه إمكانية الوصول المادي. ويمكن استبدال شرائح المعالجات المركزية المزودة بمولدات أرقام عشوائية مدمجة بشرائح متوافقة تحتوي على مولد أرقام عشوائية مُعدّل في برمجياتها الثابتة.

استخدمت الإصدارات الأولى من بروتوكول تشفير طبقة المقابس الآمنة (SSL) من نتسكيب كميات شبه عشوائية مُستمدة من مولد أرقام عشوائية زائفة (PRNG) مُهيأ بثلاث قيم متغيرة: وقت اليوم، ومعرّف العملية، ومعرّف العملية الأصلية. غالبًا ما تكون هذه الكميات قابلة للتنبؤ نسبيًا، وبالتالي تتميز بانخفاض مستوى العشوائية، مما جعل هذا الإصدار من SSL غير آمن. أبلغ فيليب هالام-بيكر ، الباحث آنذاك في فريق الويب في سيرن ، شركة نتسكيب عن المشكلة عام 1994، لكنها لم تُحل قبل الإصدار. اكتشف إيان غولدبرغ وديفيد فاغنر ^{[ 4 ]} المشكلة في الكود البرمجي عام 1995، حيث اضطرا إلى إجراء هندسة عكسية للكود البرمجي لأن نتسكيب رفضت الكشف عن تفاصيل توليد الأرقام العشوائية ( الأمان من خلال التعتيم ). تم إصلاح مولد الأرقام العشوائية هذا في الإصدارات اللاحقة (الإصدار 2 وما بعده) من خلال تهيئة أكثر قوة (أي أكثر عشوائية، وبالتالي أعلى مستوى من العشوائية من وجهة نظر المهاجم).

استخدمت مايكروسوفت خوارزمية غير منشورة لتوليد قيم عشوائية في الإصدارات القديمة من نظام التشغيل ويندوز . وتُتاح هذه القيم العشوائية للمستخدمين عبر أداة CryptGenRandom . في نوفمبر 2007، نشر ليو دورندورف وزملاؤه من الجامعة العبرية في القدس وجامعة حيفا ورقة بحثية بعنوان "تحليل تشفير مولد الأرقام العشوائية لنظام التشغيل ويندوز" . ^{[ 5 ]} كشفت الورقة عن نقاط ضعف خطيرة في منهج مايكروسوفت آنذاك. استندت استنتاجات الورقة إلى تفكيك الشفرة في ويندوز 2000 ، ولكن وفقًا لمايكروسوفت، فقد انطبقت أيضًا على ويندوز إكس بي. ^{[ 6 ]} صرّحت مايكروسوفت بأن المشكلات المذكورة في الورقة قد عولجت في الإصدارات اللاحقة من ويندوز، والتي تستخدم تطبيقًا مختلفًا لمولد الأرقام العشوائية. ^{[ 6 ]}

نشر المعهد الوطني الأمريكي للمعايير والتكنولوجيا مجموعة من "مولدات البتات العشوائية الحتمية" التي يوصي بها في منشوره الخاص NIST 800-90. ^{[ 7 ]} وقد حظي أحد هذه المولدات، Dual_EC_DRBG ، بتفضيل وكالة الأمن القومي الأمريكية . ^{[ 8 ]} يستخدم Dual_EC_DRBG تقنية المنحنى الإهليلجي ويتضمن مجموعة من الثوابت الموصى بها. في أغسطس 2007، أظهر دان شومو ونيلز فيرغسون من مايكروسوفت أنه يمكن بناء هذه الثوابت بطريقة تُنشئ ثغرة أمنية في الخوارزمية. ^{[ 9 ]} في سبتمبر 2013، كتبت صحيفة نيويورك تايمز أن "وكالة الأمن القومي الأمريكية قد أدخلت ثغرة أمنية في معيار 2006 الذي اعتمده المعهد الوطني الأمريكي للمعايير والتكنولوجيا، والذي يُسمى معيار Dual EC DRBG"، ^{[ 10 ]} كاشفةً بذلك أن وكالة الأمن القومي الأمريكية قد نفذت هجومًا ببرمجيات خبيثة ضد الشعب الأمريكي. في ديسمبر/كانون الأول 2013، أفادت وكالة رويترز بأن وثائق نشرها إدوارد سنودن أشارت إلى أن وكالة الأمن القومي الأمريكية دفعت 10 ملايين دولار لشركة RSA Security لجعل خوارزمية Dual_EC_DRBG هي الخوارزمية الافتراضية في برنامج التشفير الخاص بها، مما أثار مخاوف إضافية من احتمال احتواء هذه الخوارزمية على ثغرة أمنية لوكالة الأمن القومي. ^{[ 11 ]} ونظرًا لهذه المخاوف، سحب المعهد الوطني للمعايير والتكنولوجيا (NIST) في عام 2014 خوارزمية Dual EC DRBG من مسودة إرشاداته بشأن مولدات الأرقام العشوائية، موصيًا "المستخدمين الحاليين لخوارزمية Dual_EC_DRBG بالانتقال إلى إحدى الخوارزميات الثلاث المتبقية المعتمدة في أسرع وقت ممكن". ^{[ 12 ]}

كريبتو-1 هو نظام تشفير طورته شركة NXP للاستخدام على رقائق MIFARE . النظام مملوك للشركة، ولم تُنشر خوارزميته في الأصل. عند إجراء هندسة عكسية للرقاقة، اكتشف باحثون من جامعة فرجينيا ونادي Chaos Computer Club ثغرة أمنية في كريبتو-1 تستغل مولد أرقام عشوائية غير مُهيأ بشكل صحيح. ^{[ 13 ]}

في مايو 2008، كشف الباحث الأمني ​​لوتشيانو بيلو عن اكتشافه أن التغييرات التي أُجريت عام 2006 على مُولِّد الأرقام العشوائية في إصدار حزمة OpenSSL المُوزَّع مع نظام Debian Linux وتوزيعات أخرى مبنية على Debian، مثل Ubuntu ، قلَّلت من إجمالي الإنتروبيا لمعرِّف العملية، وجعلت مجموعة متنوعة من مفاتيح الأمان عُرضةً للهجوم. ^{[ 14 ] [ 15 ]} وقد نتج هذا الضعف الأمني ​​عن تغييرات أجراها أحد مطوري Debian على كود OpenSSL استجابةً لتحذيرات المُصرِّف بشأن الوصول إلى ذاكرة غير مُهيَّأة . ^{[ 16 ]} تسبَّب هذا في إعادة توليد واسعة النطاق للمفاتيح على مستوى العالم، وعلى الرغم من الاهتمام الكبير الذي حظيت به هذه المشكلة، يُفترض أن العديد من هذه المفاتيح القديمة لا تزال قيد الاستخدام. تشمل أنواع المفاتيح المتأثرة مفاتيح SSH ، ومفاتيح OpenVPN ، ومفاتيح DNSSEC ، ومواد المفاتيح المستخدمة في شهادات X.509، ومفاتيح الجلسات المستخدمة في اتصالات SSL/TLS . أما المفاتيح المُولَّدة باستخدام GnuPG أو GNUTLS فلا تتأثر، لأن هذه البرامج تستخدم طرقًا مختلفة لتوليد الأرقام العشوائية. المفاتيح التي تُنشئها توزيعات لينكس غير المبنية على دبيان لا تتأثر أيضًا. تمّ إصلاح ثغرة توليد المفاتيح الضعيفة فور الإبلاغ عنها، لكنّ الخدمات التي لا تزال تستخدم مفاتيح مُولّدة بواسطة الشيفرة القديمة تبقى عرضةً لهذه الثغرة. تحتوي العديد من حزم البرامج الآن على فحوصات لقائمة سوداء للمفاتيح الضعيفة في محاولة لمنع استخدام أيٍّ من هذه المفاتيح المتبقية، لكنّ الباحثين ما زالوا يكتشفون تطبيقات للمفاتيح الضعيفة. ^{[ 17 ]}

في ديسمبر 2010، أعلنت مجموعة تُطلق على نفسها اسم fail0verflow استعادة المفتاح الخاص لخوارزمية التوقيع الرقمي للمنحنى الإهليلجي (ECDSA) التي تستخدمها شركة سوني لتوقيع برامج جهاز ألعاب بلاي ستيشن 3. وقد أُتيح هذا الهجوم لأن سوني لم تُولّد قيمة عشوائية جديدة ( nonce) لكل توقيع. ^{[ 18 ]}

في عام ٢٠١٢، أعلن لينسترا وهيوز وأوجييه وبوس وكلاينجونج وواختر عن تحليلٍ يقارن ملايين المفاتيح العامة لخوارزمية RSA التي جُمعت من الإنترنت. وقد تمكنوا من تحليل ٠٫٢٪ من المفاتيح باستخدام خوارزمية إقليدس فقط . ^{[ ١٩ ] [ ٢٠ ]} استغلوا ثغرةً فريدةً في أنظمة التشفير القائمة على تحليل الأعداد الصحيحة . فإذا كان n = pq مفتاحًا عامًا، و n ′ = p′q ′ مفتاحًا عامًا آخر، ثم صدفةً p = p ′ ، فإن حساب القاسم المشترك الأكبر (gcd( n , n ′) = p) يُحلل كلاً من n و n ′، مما يُعرّض كلا المفتاحين للخطر تمامًا. قالت ناديا هينينجر ، وهي جزء من مجموعة أجرت تجربة مماثلة، إن المفاتيح الخاطئة حدثت بالكامل تقريبًا في التطبيقات المدمجة ، وأوضحت أن مشكلة العدد الأولي المشترك التي كشفت عنها المجموعتان ناتجة عن حالات يكون فيها مولد الأرقام العشوائية الزائفة ضعيفًا في البداية ثم يُعاد تهيئته بين توليد العددين الأوليين الأول والثاني. ^{[ 21 ]}

في أغسطس 2013، كُشف عن وجود ثغرات في فئة SecureRandom في لغة جافا ، والتي قد تُسبب تصادمات في قيم k nonce المستخدمة في خوارزمية ECDSA في تطبيقات بيتكوين على نظام أندرويد . عند حدوث ذلك، يُمكن استعادة المفتاح الخاص، مما يسمح بدوره بسرقة عملات بيتكوين من المحفظة التي تحتوي عليه . ^{[ 22 ]}