Linux /dev/random меняем шило на мыло?

[Serguei E. Leontiev]

Всем, привет,

Встретилась очередная прикольная статья о ДСЧ в Linux. Русский анонс
<http://www.opennet.ru/opennews/art.shtml?num=38163>, сам текст
<http://eprint.iacr.org/2013/338.pdf>.

Конечно же в этом ДСЧ есть проблемы, начиная с неясного разделения на
random и urandom. В основе статьи - обоснование того, что любая программная
зараза имеющая право поставлять энтропию, может таки обмануть ДСЧ Linux.

Hо, одновременно, авторы строят ДСЧ G, который должен быть устойчив к
воздействию на вход. Однако, у G размер области значений для каждого 2048
бит блока, похоже находится в районе 128 бит. Тем не менее авторы на полном
серьёзе сравнивают производительности ДСЧ Linux и G, как будто бы они
предлагают полноценную замену.

2. Set (U;Ri) = (AES(U)(0);AES(U)(1)) and set [S](1..128) = U.
3. Repeat step 2. 14 times.

Характерно, первый же комментарий в блоге Шнайера - исправления уже
отправили Линусу?

Странно, это уже не первое исследование в духе: а давайте поменяем старое
мыло на новое шило, например, в настройках TLS/SSL Андройд тоже предлагают
исправить аналогичным образом (см. RU.SECURITY).

--
Успехов, Сергей Леонтьев, <http://www.cryptopro.ru> (NewsTap)