[論文レビュー] The Arduino as a Hardware Random-Number Generator

Benedikt Kristinsson|arXiv (Cornell University)|Dec 16, 2012

Chaos-based Image/Signal Encryption参考文献 4被引用数 3

ひとこと要約

本論文は、統計的検定およびシード回復攻撃を用いて、Arduino Duemilanoveを真のハードウェア乱数生成装置（TRNG）として評価する。Arduinoマニュアルでは、未接続のアナログピンが「ある程度ランダムな」値を出力するとされているが、本研究ではノイズが非常に予測可能で、エントロピーが極めて低いため、暗号的用途には不適切であることを示している。著者らは、avr-libc PRNGのシードをアナログ読み取り値で初期化した場合に、平均1.6秒以内でシードを回復可能なプログラムを実装しており、システムが暗号的に弱いことを証明している。

ABSTRACT

Cheap micro-controllers, such as the Arduino or other controllers based on the Atmel AVR CPUs are being deployed in a wide variety of projects, ranging from sensors networks to robotic submarines. In this paper, we investigate the feasibility of using the Arduino as a true random number generator (TRNG). The Arduino Reference Manual recommends using it to seed a pseudo random number generator (PRNG) due to its ability to read random atmospheric noise from its analog pins. This is an enticing application since true bits of entropy are hard to come by. Unfortunately, we show by statistical methods that the atmospheric noise of an Arduino is largely predictable in a variety of settings, and is thus a weak source of entropy. We explore various methods to extract true randomness from the micro-controller and conclude that it should not be used to produce randomness from its analog pins.

研究の動機と目的

• Arduino Duemilanoveを追加のハードウェアなしで真の乱数生成装置（TRNG）として使用可能かどうかを評価すること。
• Arduinoリファレンスマニュアルが未接続のアナログピンが「ある程度ランダムな」値を出力すると主張するのを検証すること。
• Arduinoが生成するシーケンスのランダムネスを評価するための統計的手法を開発・テストすること。
• アナログ読み取り値で初期化されたavr-libc PRNGのシードを、効率的に回復できるプログラムを構築すること。
• Arduinoが普遍的かつ暗号的に安全な乱数源として機能できるかどうかを特定すること。

提案手法

• Pythonで標準的な統計的検定（モノビット、ポーカー、ラン検定）を実装し、Arduino出力のランダムネスを評価した。
• 未接続のピンにおけるArduino Duemilanoveのアナログ読み取り関数から実測データを収集し、出力値の確率分布を構築した。
• avr-libc PRNGのシードとして可能なすべてのアナログ読み取り値（0〜1023）を逐次テストするシード特定アルゴリズムを設計。シミュレートされたシーケンス生成と観測値との一致を確認した。
• 頻繁に観測されたアナログ読み取り値を優先することで、シード特定アルゴリズムの効率を向上させた。
• PRNG出力のスライディングウインドウを維持するための双方向キュー（deque）を用い、生成されたシーケンスとの比較を効率的に行った。
• 5,000のテストシーケンスを用いて性能を評価。各シーケンスは収集データからランダムに選択されたシードで初期化し、平均回復時間を測定した。

実験結果

リサーチクエスチョン

• RQ1 Arduino Duemilanoveは、アナログピンのみを用いて暗号的に安全な乱数を生成できるか？
• RQ2 未接続のピンからのアナログ読み取り出力は真にランダムであるのか、それとも環境的・ハードウェア的要因によって予測可能なのか？
• RQ3 攻撃者が、アナログ読み取り値で初期化されたavr-libc PRNGのシードを効率的に回復できるか？
• RQ4 Arduinoが生成するシーケンスの統計的挙動は、標準的なランダムネス検定に合格するか？
• RQ5 Arduinoの内蔵部品のみを用いて、普遍的かつ低コストなTRNGを構築できるか？

主な発見

• 未接続のArduinoピンからのアナログ読み取り値はランダムではなく、強く予測可能でエントロピーが低い。これは、Arduinoマニュアルの主張と矛盾する。
• 統計的検定では、アナログ読み取り値から生成されたすべてのシーケンスが非ランダムと判定され、ランダムネスの質が低いことが示された。
• シード回復プログラムは、5,000件のテストケースすべてでPRNGシードを正常に回復でき、平均回復時間は標準デスクトップコンピュータで1.6秒であった。
• 確率分布における頻度の高いアナログ読み取り値を優先することで、プログラムの効率が著しく向上した。
• Twoleastsign-RANDアルゴリズムは、特定のハードウェアではすべての統計的検定に合格するが、これは普遍性に欠け、一般のセキュリティを保証しないことを示している。
• 本研究は、Arduino Duemilanoveが十分でなく、予測可能なエントロピーを有するため、暗号的TRNG用途には適さないという結論に至った。