Generieren von Zufallszahlen

Wichtige Bausteine für eine zuverlässig geschützte Software sind die sogenannten kryptografisch sicheren Zufallszahlengeneratoren (CPRNGs – cryptographically secure pseudo-random number generators). Apple stellt hierfür einen vertrauenswürdigen Software-CPRNG bereit, der in den Kernels von iOS, iPadOS, macOS, tvOS und watchOS ausgeführt wird. Seine Aufgabe ist es, reine Entropie vom System zu aggregieren und sowohl im Kernel als auch im Benutzerbereich (User Space) sichere Zufallszahlen für Nutzer bereitzustellen.

Entropiequellen

Der Kernel-CPRNG wird während des Startvorgangs und der Nutzungsdauer des Geräts von mehreren Entropiequellen versorgt. Hierzu gehören (bedingt durch die Verfügbarkeit):

Der TRNG der Hardware der Secure Enclave
Während des Startvorgangs erfasste zeitbasierte Jitter
Von Hardware-Interrupts erfasste Entropie
Eine Seed-Datei, die für den Fortbestand der Entropie während der Startvorgänge eingesetzt wird
Intel-Zufallsanweisungen – z. B. RDSEED und RDRAND (nur Intel-basierte Mac-Computer)

Kernel-CPRNG

Der Kernel-CPRNG ist ein von Fortuna abgeleitetes Design, das auf eine 256-Bit-Sicherheitsebene abzielt. Er stellt hochwertige Zufallszahlen für Nutzer des Benutzerbereichs (User Space) über die folgenden APIs bereit:

Systemaufruf getentropy(2)
Zufallsgerät (/dev/random)

Der Kernel-CPRNG akzeptiert die vom Benutzer bereitgestellte Entropie über Schreibvorgänge auf dem Zufallsgerät.

Vgl. auchHardwaresicherheit – Übersicht Secure Enclave Kernel-Integritätsschutz Sichere Erweiterung des Kernels in macOS

Anleitung als PDF laden

Hilfreich?

Sicherheit der Apple-Plattformen

Generieren von Zufallszahlen

Entropiequellen

Kernel-CPRNG