RAND_bytes 不会从同一个种子中给出相同的结果[重复]

Question

我正在尝试使用 OpenSSL 编写自定义 RSA 密钥对生成算法。我已经使用PKCS5_PBKDF2_HMAC_SHA1 函数来生成 PRNG 种子，所以我使用这个种子作为 RAND_seed 输入。

不幸的是，每次我使用相同的种子调用RAND_bytes 时，我都会获得不同的随机数，但这不是预期的行为，因为正如How can one securely generate an asymmetric key pair from a short passphrase? 的答案所说，随机数生成器是确定性的（相同的种子相同的输出）。

下面是测试用例。我也声明了常量种子，但生成永远不是确定性的。

unsigned int seed = 0x00beef00;
unsigned int rnum[5];
RAND_seed(&seed, sizeof(seed));
RAND_bytes((unsigned char *)&rnum[0], sizeof(rnum));

哪里出错了？

Answer 1

这不是错误。 OpenSSL 随机数生成器使用良好的随机性来源自行进行一些播种。

所以在RAND_seed 中使用相同的种子值并不能保证相同的随机数序列。这是一件好事，因为它降低了它们的可预测性，因此更安全。

来自RAND_seed 的手册页：

    #include <openssl/rand.h>

    void RAND_seed(const void *buf, int num);

    void RAND_add(const void *buf, int num, double entropy);

    int  RAND_status(void);

    int  RAND_event(UINT iMsg, WPARAM wParam, LPARAM lParam);
    void RAND_screen(void);

RAND_add() 将 buf 处的 num 字节混合到 PRNG 状态。因此，如果 buf 的数据对于对手来说是不可预测的，这增加了 状态的不确定性并使 PRNG 输出更少 可预测的。合适的输入来自用户交互（随机键 按下、鼠标移动）和某些硬件事件。 entropy 参数是（的下限）对随机性的估计 包含在 buf 中，以字节为单位。有关来源的详细信息 随机性以及如何估计它们的熵可以在 文学，例如RFC 1750。

RAND_add() 可能会使用敏感数据（例如用户输入）调用 密码。种子值无法从 PRNG 中恢复 输出。

OpenSSL 确保 PRNG 状态对于每个线程都是唯一的。 在提供“/dev/urandom”的系统上，随机设备是 用于透明地播种 PRNG。 但是，在所有其他系统上， 应用程序负责通过调用播种 PRNG RAND_add()、RAND_egd(3) 或 RAND_load_file(3)。

RAND_seed() 等价于RAND_add() num == entropy。

因此，如果您的系统有/dev/urandom，它将被用作 PRNG 的初始种子。

Answer 2

Openssl 的int RAND_bytes(unsigned char *buf, int num); 试图让事情尽可能随机。这显然是您不想要的功能，而是在寻找可重复的伪随机序列

但是Openssl也有

int RAND_pseudo_bytes(unsigned char *buf, int num);

这可能是您正在寻找的，伪部分，为您提供可重复的序列。

https://linux.die.net/man/3/rand_pseudo_bytes

Force openssl's RNGs to return a repeatable byte sequence

顺便说一句，如果您正在使用 RSA，那么可重复的随机序列并不是那么好，因为您要寻找的是两个大素数。做一个大的 PRNG 数字，然后测试素数可能是一个坏主意。其中一半可以被 2 整除！ :)

如果我没记错的话，您需要选择一个好的起始数字，通过与 1 进行 ORing 使其为奇数，然后测试素数，如果不是，则增加 4 并重试。

一旦找到它们，您可能不想再次使用可重复的 PRNG 字节开始搜索。

虽然我很确定这是一个学习项目，但如果你想要的只是来自 openssl 的 RSA 密钥对，请查看

https://stackoverflow.com/a/5246045/6047952