Rastgele sayı üreteçleri, kriptografik işlemler için dışarıdan tahmin edilemeyecek sayılar üreten mekanizmalardır; entropi ise bir sistemin ne kadar öngörülemez veri barındırdığını ifade eden ölçüdür. Bir şifreleme anahtarı, oturum belirteci ya da başlatma vektörü ürettiğinizde, o değerin güvenliği tamamen üretiminde kullanılan rastgeleliğin kalitesine bağlıdır. Zayıf bir kaynak, matematiği kusursuz olan bir algoritmayı bile işe yaramaz hale getirir.

Entropi, bir sistemin öngörülemezliğinin ölçüsüdür; kriptografik gücün asıl kaynağı algoritmanın kendisinde değil, anahtarı üreten bu öngörülemezliktedir.

Gerçek ve Sözde Rastgelelik Ayrımı

İki temel yaklaşım vardır. Donanım tabanlı gerçek rastgele sayı üreteçleri (TRNG), termal gürültü, saat titreşimi veya foton varışları gibi fiziksel olaylardan gözlem toplar; bu olaylar doğaları gereği belirlenemez olduğundan yüksek entropili ham veri sağlar. Sözde rastgele sayı üreteçleri (PRNG) ise deterministik algoritmalardır: kendilerine verilen bir başlangıç değerinden (tohum) matematiksel olarak uzun bir dizi türetirler. Aynı tohumla her zaman aynı diziyi üretmeleri, tohumun gizli ve yüksek entropili olmasını zorunlu kılar.

Modern işletim sistemleri bu ikisini birleştirir. Çekirdek, klavye gecikmeleri, disk erişim süreleri ve donanım gürültü kaynakları gibi olayları bir entropi havuzunda toplar, ardından bu havuzu kriptografik olarak sağlam bir üretece (CSPRNG) tohum olarak verir. Linux’ta getrandom() çağrısı veya /dev/urandom bu tasarımın sonucudur; uygulamalar ham fiziksel gürültüye değil, sürekli beslenen bu güçlü üretece başvurur.

Zayıf Entropi Nasıl Sisteme Zarar Verir?

Tohum tahmin edilebilir olduğunda, saldırgan üretilen tüm diziyi yeniden hesaplayabilir. Geçmişte gömülü cihazların ilk açılışta yeterli entropi toplayamadan anahtar üretmesi, binlerce cihazın aynı ya da çarpanlarını paylaşan RSA anahtarlarına sahip olmasına yol açmıştı. Benzer şekilde, bir oturum belirteci düşük entropiyle üretilirse, saldırgan olası değer aralığını daraltıp kaba kuvvetle geçerli oturumları ele geçirebilir. Bu nedenle Simetrik şifreleme anahtarları ile Asimetrik şifreleme anahtar çiftleri üretilirken kullanılan kaynağın kalitesi, algoritma seçiminden daha belirleyicidir.

Uygulama düzeyinde en sık görülen hata, dil kütüphanelerindeki genel amaçlı rastgele fonksiyonlarını güvenlik amacıyla kullanmaktır. Bir simülasyon için ideal olan hızlı bir PRNG, çıktısının bir kısmı gözlemlendiğinde iç durumu geri çözülebildiği için anahtar üretiminde kesinlikle kullanılmamalıdır. Güvenli üretimin kuralı nettir: yalnızca kriptografik olarak sağlam üreteçlere başvurulur ve tohumlama işletim sistemine bırakılır.

• Fiziksel entropi kaynağı: termal gürültü, saat titreşimi gibi belirlenemez olaylar
• Entropi havuzu: çekirdeğin donanım ve olay verilerini biriktirdiği yapı
• CSPRNG: havuzdan tohumlanıp öngörülemez uzun dizi üreten kriptografik üreteç
• Tüketici: anahtar, belirteç veya nonce üreten uygulama katmanı

Kurumsal Açıdan Doğrulama

Bir kurumun ürettiği anahtarların gerçekten güvenli olup olmadığı, doğrudan gözle görülmez; çünkü zayıf bir üreteç de rasgele görünen çıktılar verir. Bu yüzden entropi kaynaklarının, gömülü cihazların açılış davranışının ve sanal makinelerin klonlanmasıyla oluşabilecek tekrarlı tohum durumlarının denetlenmesi gerekir. Kriptografi altyapısının bu görünmez katmanını değerlendirmek, bir altyapı ve mimari gözden geçirme çalışmasının doğal parçasıdır ve çoğu zaman gözden kaçan en kritik zayıflığı ortaya çıkarır.