第3章 密钥生成技术：随机数生成器与熵源
密钥隔离域的安全性，根基在哪？说白了就在密钥本身。如果密钥本身可以被预测，那后面所有的隔离设计、访问控制、加密算法，都是花架子。
这一章，我们来聊聊最基础也最容易被忽视的问题——随机数生成。我见过不少团队，花大价钱设计了复杂的隔离架构，最后却在随机数生成上栽了跟头。嗯，咱们从根上把它搞清楚。
3.1 随机数生成器的分类
随机数生成器（RNG）主要分两类：
- 真随机数生成器（TRNG）：从物理过程中提取随机性。比如电路的热噪声、时钟抖动、量子效应。这类生成器不可预测，但速度慢。
- 伪随机数生成器（PRNG）：基于确定的算法和一个初始种子（seed），生成看起来随机的序列。速度快，可重复，但种子一旦泄露，所有输出都可被还原。
核心认知：密钥隔离域内的关键密钥，必须由 TRNG 生成或至少由 TRNG 提供种子。PRNG 只适合生成会话密钥或临时随机数。
我在一个防火墙项目中曾遇到过，生产环境里的 PRNG 种子被调试日志泄露了，攻击者直接还原了一整天的会话密钥。从那以后，我对种子的管理就格外小心。
3.2 熵源：随机性的“原材料”
熵（Entropy）是衡量随机性的指标。熵源的质量，直接影响密钥的强度。
常见的熵源包括：
| 熵源类型 | 典型来源 | 熵率 | 适用场景 |
|---|---|---|---|
| 硬件噪声 | 电阻热噪声、二极管雪崩 | 高 | 根密钥生成 |
| 时钟抖动 | 振荡器相位噪声 | 中 | 混合熵源 |
| 用户行为 | 鼠标移动、键盘敲击间隔 | 低 | 启动时补充 |
| 系统事件 | 磁盘 IO 时间、网络包到达时间 | 低 | 持续补充 |
注意：千万不要只依赖单一熵源。尤其是纯软件熵源（如系统事件），在虚拟机或容器环境下熵值极低，容易引发灾难。
3.3 混合熵源与熵评估
实际工程中，我建议采用混合熵源策略。把硬件噪声、时钟抖动、系统事件结合起来，通过“熵池”统一管理。
为什么？单一熵源容易被干扰或耗尽。比如硬件老化、电磁干扰，都可能降低熵输出。混合之后，一个源出了问题，其他源还能兜底。
熵评估是个技术活。常见做法是：
- 采集原始数据：直接从熵源获取比特流。
- 健康检测：检查数据是否存在偏置（0/1比例失衡）或重复模式。
- 估算熵率：使用统计学方法（如卡方检验、自适应比例检验）估算每比特的熵含量。
- 蒸馏提纯：通过哈希函数（如 SHA-256）或提取器，将原始数据压缩成高熵输出。
你想想看，如果熵率估算不准，可能以为生成了128位密钥，实际熵连64位都不到。我曾经在审计一个密码模块时，发现设计者直接用原始的 ADC 采样值做密钥，结果采样值稳定在几个固定区间，有效熵几乎为零。这就是典型的“看起来随机，实则不随机”。
3.4 密钥生成流程
下面这张图，是我在自己项目中总结的密钥生成流程。它清晰地展示了从熵源到最终密钥的完整链路。
流程其实不复杂：
- 熵源层：多个物理/软件熵源并行采集原始数据。
- 健康检测：剔除明显有偏或异常的样本，评估当前熵率。
- 熵池：通过哈希算法混合蒸馏，产生均匀、高熵的随机比特。
- 种子生成与 PRNG：从熵池提取种子，初始化 PRNG 的状态。PRNG 负责后续的高速随机数输出。
- 最终输出：根据用途，从 TRNG 或 PRNG 路径取出密钥材料。
实践技巧：我建议在熵池中保留一个“紧急种子”，在启动时或熵源异常时使用。但紧急种子需要经过高强度的加密保护，并定期更换。
3.5 工程实现中的常见陷阱
说几个我踩过的坑，希望能帮你少走弯路：
- 熵源耗尽：嵌入式设备上，系统熵源可能在开机后几分钟内耗尽。如果没有硬件 TRNG，随机数会逐渐退化为可预测序列。我曾在一个物联网项目中，设备运行两天后生成的密钥几乎都一样。
- 种子重用：PRNG 在系统休眠/唤醒后复用之前的种子。这会导致两次启动后的随机数序列完全一致，相当于所有密钥都是固定的。
- 忽略健康检测：熵源可能因环境变化（如温度、电压）而输出劣化。不加检测直接使用，密钥强度无法保证。
- 错误的熵估计：以为采集了足够多的比特，但实际熵含量很低。这通常发生在使用低速 ADC 或量化精度不足时。
3.6 一个简单的健康检测实现
下面是一个 C 语言风格的健康检测伪代码。它简单地检查连续样本之间是否存在重复模式：
// 简易重复模式检测
bool health_check(uint8_t *samples, size_t len) {
// 检查全0或全1
if (is_all_zeros(samples, len) || is_all_ones(samples, len)) {
return false;
}
// 检查重复窗口
for (size_t i = 0; i < len - REPEAT_WINDOW; i++) {
if (memcmp(samples + i, samples + i + REPEAT_WINDOW, REPEAT_WINDOW) == 0) {
return false; // 发现重复模式
}
}
return true;
}当然，这只是最基本的检测。生产环境中，你需要结合 FIPS 140 或 NIST SP 800-90B 中的统计测试套件，做更全面的熵评估。
回顾一下，随机数生成是密钥隔离域的第一道防线。没有高质量的随机数，后面所有的设计都无从谈起。从熵源的选择、混合、评估，到最终密钥的生成，每一步都需要严谨对待。这不是一个可以“先跑起来再说”的环节，一旦埋下隐患，后续排查的成本会非常高。