Entropiequellen

Entropiequellen sind Prozesse oder Systeme, die unvorhersagbare Informationen liefern und damit die Grundlage für Zufallszahlen bilden. In der Informatik dienen sie vor allem dem Erzeugen sicherer Zufallszahlen, die etwa zur Generierung kryptografischer Schlüssel, zu Nonces oder zur Initialisierung von Protokollen verwendet werden. Die Qualität einer Entropiequelle wird durch die Menge und Unvorhersagbarkeit der gelieferten Entropie bestimmt, gemessen in Bits pro Probe. Wichtige Begriffe sind Shannon-Entropie, die durchschnittliche Unsicherheit, und Min-Entropie, die worst-case-Unvorhersagbarkeit.

Hardware-Entropiequellen nutzen physikalische Prozesse, deren Ergebnisse stark unvorhersehbar sind, zum Beispiel thermisches Rauschen, Rauschsignale in Halbleitern, radioaktiver Zerfall oder Quantenphänomene. Softwarebasierte Quellen verwenden oft Systemereignisse wie Mausbewegungen, Tastatureingaben oder Prozesszeiten. In modernen Systemen werden solche Eingaben mit Hardwarequellen kombiniert und in einem Entropie-Pool gesammelt (im Unix-Umfeld oft als /dev/random oder /dev/urandom bezeichnet). Um aus dem gemessenen Entropieinput zuverlässige Zufallsbits zu erzeugen, erfolgt typischerweise ein Post-Processing (Whitening) mittels Hashfunktionen oder ähnlicher Verfahren.

Die Bewertung von Entropiequellen erfolgt nach Standards und Tests, zum Beispiel NIST SP 800-90A/B/C, sowie statistischen Testreihen. Sicherheitsrelevante Aspekte umfassen Bias-Vermeidung, Resistenz gegen Manipulation und regelmäßige Gesundheitsprüfungen samt reseeding. In der Praxis liefern Entropiequellen Startmaterial für Pseudozufallszahlengeneratoren, die Schlüsselgenerierung, TLS-Randomisierung und Protokoll-Nonces sicherer machen. Neue Entwicklungen umfassen hardwarebasierte Quanten-RNGs, die potenziell höhere Entropie-Raten und Unvorhersagbarkeit bieten.