Como instalar pandom: um gerador de números aleatórios verdadeiro para Linux

Este tutorial é para versões do kernel linux amd64 / x86_64 maiores ou iguais a 2.6.9. Ele explica como instalar pandom: um gerador de números aleatórios verdadeiro com jitter de tempo mantido por ncomputers.org

Introdução

O gerador de números aleatórios verdadeiro embutido no kernel Linux fornece baixa taxa de transferência em circunstâncias modernas, como por exemplo: computadores pessoais com unidades de estado sólido (SSD) e servidores privados virtuais (VPS).

Esse problema está se tornando popular nas implementações linux, devido à necessidade continuamente crescente de números aleatórios verdadeiros, principalmente para diversos propósitos criptográficos.

Pandom gera cerca de 8 KiB/s de entropia de 64 ubits / 64 bits, é compatível com ambientes físicos e virtuais e assume que nenhum outro processo executado como usuário root escreve em /dev/random.

1 Instalação do pandom

1.1 Ganhar acesso root

Pandom deve ser instalado como root, execute este comando se necessário.

su -

1.2 Instalar dependências de construção

Para baixar e instalar pandom, você precisa: GNU assembler, GNU make, GNU tar e GNU wget (os dois últimos geralmente já estão instalados). Você pode desinstalá-los mais tarde, se desejar.

Sistemas baseados em Arch

pacman -S binutils make

Sistemas baseados em Debian

apt-get install binutils make

Sistemas baseados em Red Hat

dnf install binutils make

yum install binutils make

Sistemas baseados em SUSE

zypper install binutils make

1.3 Baixar e extrair fontes

Estes comandos baixam e extraem as fontes do pandom de ncomputers.org usando wget e tar.

wget http://ncomputers.org/pandom.tar.gz  
tar xf pandom.tar.gz  
cd pandom/amd64-linux

1.4 Testar antes de instalar (recomendado)

Este teste recomendado leva cerca de 8 minutos. Ele verifica o suporte do kernel e gera um arquivo chamado checkme (analisado na próxima seção).

make check

1.5 Determinar sistema init

Antes de instalar pandom, você precisa saber qual software de init seu sistema usa. Se o comando a seguir retornar a palavra running, significa que seu sistema está usando systemd, caso contrário, é provável que seu sistema esteja usando uma implementação init.d (por exemplo: upstart, sysvinit). Pode haver algumas exceções, mais informações nessas respostas do unix.stackexchange.com.

systemctl is-system-running

running

1.6 Instalar pandom

Uma vez que você saiba qual sistema sua implementação linux usa, você pode instalar pandom de acordo.

Sistema init baseado em init.d (por exemplo: upstart, sysvinit)

Instale pandom executando este comando, se seu sistema estiver usando uma implementação init.d (por exemplo: upstart, sysvinit).

make install-init.d

systemd como sistema init

Instale pandom executando este comando, se seu sistema estiver usando systemd.

make install-systemd

2 Análise do arquivo checkme

Antes de usar pandom para propósitos criptográficos, é altamente recomendável analisar o arquivo checkme gerado durante o processo de instalação na seção anterior deste tutorial. Esta tarefa é útil para saber se os números são realmente aleatórios ou não. Esta seção explica como analisar o arquivo checkme usando ncomputers.org/ entropyarray: um script shell que testa a entropia e a correlação serial de sua entrada.

Nota: esta análise pode ser executada em outro computador, como um laptop ou desktop. Por exemplo: se você estiver instalando pandom em um servidor privado virtual (VPS) com recursos limitados, pode optar por copiar o arquivo checkme para seu computador pessoal, a fim de analisá-lo lá.
Você também pode usar o Testador de Entropia Online.

2.1 Ganhar acesso root

Entropyarray deve ser instalado como root, execute este comando se necessário.

su -

2.2 Instalar dependências de construção

Para baixar e instalar entropyarray, você precisa: compilador GNU g++, GNU make, GNU tar e GNU wget (os dois últimos geralmente já estão instalados). Você pode desinstalá-los mais tarde, se desejar.

Sistemas baseados em Arch

pacman -S gcc make

Sistemas baseados em Debian

apt-get install g++ make

Sistemas baseados em Red Hat

dnf install gcc-c++ make

yum install gcc-c++ make

Sistemas baseados em SUSE

zypper install gcc-c++ make

2.3 Baixar e extrair fontes

Estes comandos baixam e extraem as fontes do entropyarray de ncomputers.org usando wget e tar.

wget http://ncomputers.org/rearray.tar.gz  
wget http://ncomputers.org/entropy.tar.gz  
wget http://ncomputers.org/entropyarray.tar.gz  
  
tar xf entropy.tar.gz  
tar xf rearray.tar.gz  
tar xf entropyarray.tar.gz

2.4 Instalar entropyarray

Nota: erros relacionados a -std=c++11 significam que a versão do compilador GNU g++ não suporta o padrão ISO C++ 2011. Você pode tentar compilar ncomputers.org/ entropy e ncomputers.org/ rearray em outro sistema que o suporte (por exemplo: GNU g++ em uma versão mais nova da sua distribuição linux favorita) e, em seguida, instalar os binários compilados usando make install no sistema que você gostaria de executar entropyarray, ou pular esta etapa, apesar de ser altamente recomendável que você analise o arquivo checkme antes de usar pandom para qualquer propósito criptográfico.

cd rearray; make install; cd ..  
cd entropy; make install; cd ..  
cd entropyarray; make install; cd ..

2.5 Analisar o arquivo checkme

Nota: implementações pandom de 64 ubits / 64 bits devem resultar neste teste com entropia acima de 15.977 e frequência max abaixo de 70. Se seus resultados diferirem muito, você pode tentar aumentar a imprevisibilidade de sua implementação pandom, conforme descrito na quinta seção deste tutorial. Caso você tenha pulado a última etapa, pode usar outras ferramentas, como o teste de sequência de números pseudorrandomicos.

entropyarray checkme

entropyarray in /tmp/tmp.mbCopmzqsg  
15.977339  
min:12  
med:32  
max:56  
15.977368  
min:11  
med:32  
max:58  
15.977489  
min:11  
med:32  
max:59  
15.977077  
min:12  
med:32  
max:60  
15.977439  
min:8  
med:32  
max:59  
15.977374  
min:13  
med:32  
max:60  
15.977312  
min:12  
med:32  
max:67

2.6 Desinstalar entropyarray (opcional)

Se você planeja não usar mais o entropyarray, então pode querer desinstalá-lo à vontade.

cd entropyarray; make uninstall; cd ..  
cd entropy; make uninstall; cd ..  
cd rearray; make uninstall; cd ..

3 Instalação usando repositório debian

Se você gostaria de manter o pandom atualizado em seu sistema baseado em debian, pode optar por instalar / reinstalar usando o repositório debian da ncomputers.org.

3.1 Ganhar acesso root

Os pacotes debian abaixo devem ser instalados como root, execute este comando se necessário.

su -

3.2 Instalar keyring

Este pacote debian inclui a chave pública do repositório debian da ncomputers.org.

wget http://ncomputers.org/debian/keyring.deb  
dpkg -i keyring.deb  
rm keyring.deb

3.3 Instalar lista de fontes

Estes pacotes debian incluem a lista de fontes do repositório debian da ncomputers.org de acordo com as últimas distribuições debian (ano 2017).

Nota: Também é possível escrever as linhas comentadas abaixo em /etc/apt/sources.list, em vez de instalar o respectivo pacote debian para sua distribuição debian, mas se essas fontes mudarem no futuro, você precisará atualizá-las manualmente.

Wheezy

#deb http://ncomputers.org/debian wheezy main  
wget http://ncomputers.org/debian/wheezy.deb  
dpkg -i wheezy.deb  
rm wheezy.deb

Jessie

#deb http://ncomputers.org/debian jessie main  
wget http://ncomputers.org/debian/jessie.deb  
dpkg -i jessie.deb  
rm jessie.deb

Stretch

#deb http://ncomputers.org/debian stretch main  
wget http://ncomputers.org/debian/stretch.deb  
dpkg -i stretch.deb  
rm stretch.deb

3.4 Atualizar lista de fontes

Uma vez que o keyring e a lista de fontes estejam instalados.

apt-get update

3.5 Testar pandom

Uma vez testado, você pode desinstalar o pacote abaixo à vontade.

Nota: se você já testou pandom em sua implementação linux, pode pular esta etapa.

apt-get install pandom-test  
pandom-test

generating checkme file, please wait around 8 minutes ...  
entropyarray in /tmp/tmp.5SkiYsYG3h  
15.977366  
min:12  
med:32  
max:57  
15.977367  
min:13  
med:32  
max:57  
15.977328  
min:12  
med:32  
max:61  
15.977431  
min:12  
med:32  
max:59  
15.977437  
min:11  
med:32  
max:57  
15.977298  
min:11  
med:32  
max:59  
15.977196  
min:10  
med:32  
max:57

3.6 Instalar pandom

apt-get install pandom

4 Gerenciando pandom

Após a instalação do pandom, você pode querer gerenciá-lo.

4.1 Teste de desempenho

Pandom oferece cerca de 8 kilobytes por segundo, mas seu desempenho pode variar dependendo do ambiente.

dd if=/dev/random of=/dev/null bs=8 count=512

512+0 records in  
512+0 records out  
4096 bytes (4.1 kB, 4.0 KiB) copied, 0.451253 s, 9.1 kB/s

4.2 Teste de entropia e correlação serial

Além de ncomputers.org/ entropyarray, existem mais testes, por exemplo, a suíte de testes NIST de Ilja Gerhardt.

entropyarray /dev/random 1M

4.3 Serviço do sistema

Pandom é executado como um serviço do sistema.

Sistema init baseado em init.d (por exemplo: upstart, sysvinit)

/etc/init.d/random status  
/etc/init.d/random start  
/etc/init.d/random stop  
/etc/init.d/random restart

systemd como sistema init

systemctl status random  
systemctl start random  
systemctl stop random  
systemctl restart random

5 Aumentando a imprevisibilidade ou desempenho

Se você gostaria de tentar aumentar a imprevisibilidade ou o desempenho de sua implementação pandom, pode tentar adicionar ou remover medições de tempo da CPU.

5.1 Editar arquivos de origem

Nos arquivos de origem test.s e tRNG.s, adicione ou remova blocos de medição à vontade.

#measurement block  
mov $35,%rax  
syscall  
rdtsc  
[...]  
  
#measurement block  
mov $35,%rax  
syscall  
rdtsc  
[...]  

5.2 Testar a imprevisibilidade

Recomendamos sempre testar qualquer implementação personalizada do pandom antes de usá-la para propósitos criptográficos.

make check

5.3 Instalar pandom personalizado

Se você estiver satisfeito com os resultados, então pode instalar sua implementação personalizada do pandom.

make install

Informações adicionais e atualizações: http://ncomputers.org/pandom