Randomisatiebron: waarom echte willekeur zo lastig te maken is
Een randomisatiebron is een systeem dat onvoorspelbare, willekeurige gegevens produceert: reeksen bits of getallen waarvan niemand — ook niet met de snelste computer — van tevoren kan raden wat de volgende waarde zal zijn. Denk aan het opgooien van een dobbelsteen: zolang de worp eerlijk is, kun je niet voorspellen of er een 3 of een 6 bovenkomt. Computers hebben zulke "dobbelstenen" voortdurend nodig, bijvoorbeeld om geheime sleutels voor versleuteling te maken, wachtwoorden te genereren of loterijen eerlijk te laten verlopen.
Het probleem is dat computers van nature juist heel voorspelbaar zijn: dezelfde instructies leiden altijd tot hetzelfde resultaat. Een randomisatiebron is daarom een truc, of eigenlijk een stukje techniek, om toch iets echt onvoorspelbaars het systeem in te krijgen. Dat kan door te meten hoe wild elektronen door een weerstand bewegen, door de chaotische stroming van een lavalamp te filmen, of zelfs door de vreemde eigenschappen van de kwantummechanica te benutten. Zonder goede randomisatiebronnen valt vrijwel alle digitale beveiliging in duigen — en de geschiedenis kent pijnlijke voorbeelden van wat er misgaat als de bron toch een beetje voorspelbaar blijkt te zijn.
Wat is het precies?
Om willekeur te maken, bestaan er grofweg twee benaderingen. De eerste heet pseudo-willekeur: een algoritme dat met een wiskundige formule een lange reeks getallen produceert die er willekeurig uitziet, maar in werkelijkheid volledig bepaald wordt door een startwaarde, de "seed". Ken je die seed, dan kun je de hele reeks reproduceren. Dat is prima voor bijvoorbeeld een computerspel, maar levensgevaarlijk voor cryptografie: wie de seed raadt of steelt, kraakt in één klap alle sleutels die eruit zijn afgeleid.
De tweede benadering is echte willekeur, ook wel entropie genoemd. Hiervoor tapt een apparaat een natuurkundig proces af dat intrinsiek onvoorspelbaar is: thermische ruis in een elektrische weerstand, de precieze timing tussen radioactief verval, atmosferische storing die radio's opvangen, of kwantumfluctuaties van het "vacuüm" zelf. Zo'n apparaat heet een hardware-randomisatiebron of, in het Engels, een true random number generator (TRNG).
Ruwe metingen van zo'n natuurproces zijn zelden perfect willekeurig; ze bevatten vaak een lichte vertekening, bijvoorbeeld iets meer nullen dan enen. Daarom wordt de ruwe data eerst "gewassen" met een wiskundige bewerking, vaak een hashfunctie, die de resterende onregelmatigheden wegpoetst. Besturingssystemen zoals Linux en Windows houden bovendien een verzamelbak bij, een entropiepool, waarin ze binnenkomende willekeur uit muisbewegingen, schijftoegang en hardwarebronnen samenvoegen, om daaruit vervolgens met een cryptografisch veilig algoritme een onuitputtelijke stroom bruikbare willekeur te destilleren.
Wat wil men ermee bereiken?
De belangrijkste drijfveer is beveiliging. Elke vorm van encryptie, van het slotje bij een website tot berichten-apps als Signal, steunt op geheime sleutels die niemand anders kan raden. Is de randomisatiebron zwak, dan is de sleutel dat ook, hoe knap het wiskundige slot er verder ook uitziet. Een goede randomisatiebron is dus de fundering waarop de rest van de cryptografie rust.
Daarnaast speelt eerlijkheid een rol: loterijen, online kansspelen en steekproeftrekkingen moeten aantoonbaar onmanipuleerbaar zijn. Wetenschappers gebruiken willekeur voor simulaties (de zogeheten Monte Carlo-methoden), waarbij duizenden willekeurige scenario's worden doorgerekend om bijvoorbeeld het weer of een deeltjesbotsing te modelleren. En met de opkomst van kwantumcomputers groeit de belangstelling voor kwantumrandomisatiebronnen, omdat die volgens de natuurkunde in theorie een garantie van échte onvoorspelbaarheid bieden, in plaats van "we denken dat het goed genoeg is".
Voorbeelden uit de praktijk
Een bekend en tot de verbeelding sprekend voorbeeld is LavaRand van Cloudflare, een Amerikaans internetbedrijf dat websites beschermt tegen aanvallen. In het hoofdkantoor in San Francisco hangt een muur vol lavalampen; camera's filmen voortdurend de chaotische, onvoorspelbare stroming van de lava en dat beeld wordt gehasht tot bruikbare entropie. Het idee stamt oorspronkelijk uit de jaren negentig (een patent van Silicon Graphics) en werd door Cloudflare rond 2017 nieuw leven ingeblazen als een van meerdere entropiebronnen voor hun beveiligde verbindingen.
De Australian National University (ANU) biedt sinds 2016 een openbare online dienst genaamd QRNG, die willekeurige getallen levert op basis van kwantumfluctuaties in het vacuüm, gemeten met een laser. Iedereen kan via hun website of een programmeerinterface gratis echte kwantumwillekeur opvragen.
Het Zwitserse bedrijf ID Quantique, opgericht in 2001 als spin-off van de Universiteit van Genève, verkoopt commerciële kwantum-randomisatiechips onder de naam Quantis. Die chips zitten onder meer in loterij- en kansspelapparatuur, en de Zuid-Koreaanse telecomprovider SK Telecom bouwde in 2020 zo'n chip in de smartphone Samsung Galaxy A Quantum, wat toen als een van de eerste massamarkt-telefoons met ingebouwde kwantumrandomisatie werd gepresenteerd.
Al sinds 1998 draait Random.org, een dienst van onderzoeker Mads Haahr aan Trinity College Dublin, die atmosferische ruis opvangt via radio-ontvangers en daarmee willekeurige getallen voor het publiek genereert, veelgebruikt voor loting en spelletjes.
Tot slot publiceert het Amerikaanse standaardisatie-instituut NIST sinds ongeveer 2013 een "Randomness Beacon": elke minuut verschijnt een nieuwe, publiek te verifiëren willekeurige waarde. Die is nadrukkelijk niet bedoeld voor geheime sleutels — iedereen kan de waarde immers zien — maar wel om bijvoorbeeld steekproeven of loting achteraf controleerbaar eerlijk te maken.
Hoe ver is de techniek?
Klassieke hardware-randomisatiebronnen zijn allang geen exotische techniek meer. Vrijwel elke moderne computerchip bevat er een: Intel bouwt sinds de Ivy Bridge-generatie processoren uit 2012 een ingebouwde generator in die via de instructie RDRAND thermische ruis omzet in willekeurige bits, later aangevuld met RDSEED voor toegang tot nog ruwere entropie. Deze techniek is volwassen, gestandaardiseerd en overal aanwezig, van smartphones tot servers.
Kwantum-randomisatiebronnen zijn technisch al werkend en commercieel verkrijgbaar, maar staan qua marktomvang nog in de kinderschoenen. Ze zijn duurder en fysiek groter dan gewone chipoplossingen, al wordt er hard gewerkt aan miniaturisatie zodat kwantumgeneratoren ooit op een gewone chip passen. Een lastig punt blijft bovendien de verificatie: hoe bewijs je onomstotelijk dat een stroom bits werkelijk willekeurig is en niet toch een subtiel patroon bevat? Daarvoor bestaan statistische testpakketten en internationale normen, zoals de reeks NIST SP 800-90 (deel A voor de algoritmes die willekeur "uitrekken", deel B voor het beoordelen van ruwe entropiebronnen, deel C voor het combineren van beide), en de Duitse AIS 31-richtlijn.
Het veld is ook geschonden door een berucht schandaal. De standaard Dual_EC_DRBG, in 2006 door NIST goedgekeurd, bleek een wiskundige eigenaardigheid te bevatten die onderzoekers al in 2007 verdacht vonden. Documenten die klokkenluider Edward Snowden in 2013 naar buiten bracht, bevestigden het vermoeden: de Amerikaanse inlichtingendienst NSA had naar verluidt bijgedragen aan het ontwerp en zou daarmee in theorie in staat zijn geweest om versleutelde data te ontcijferen. Het beveiligingsbedrijf RSA Security kreeg, volgens berichtgeving van persbureau Reuters, betaald om de zwakke standaard als standaardinstelling in hun software te gebruiken. NIST trok de standaard in 2014 terug. De affaire liet zien hoe cruciaal — en hoe kwetsbaar voor manipulatie — een randomisatiebron in de praktijk is.
Wie werken eraan?
In de commerciële kwantumhoek is ID Quantique uit Genève een van de langst bestaande spelers, met chips die wereldwijd in bankautomaten, loterijsystemen en telecomapparatuur zitten. In Australië onderzoekt de Australian National University al jaren kwantumwillekeur en biedt die als publieke onderzoeksdienst aan. Het Amerikaanse NIST (National Institute of Standards and Technology) stelt de internationale normen voor randomisatiebronnen op en beheert de publieke Randomness Beacon. Chipfabrikanten als Intel en AMD bouwen hardware-randomisatiebronnen standaard in hun processoren in. Internetbedrijven als Cloudflare experimenteren met opvallende, publiek zichtbare bronnen zoals de lavalampenmuur, mede om te laten zien dat toeval serieus wordt genomen. Ook academische groepen in landen als China, het Verenigd Koninkrijk (waaronder het spin-offbedrijf Quantum Dice) en Zuid-Korea (met telecomreus SK Telecom als investeerder in ID Quantique) doen onderzoek naar kleinere, snellere en goedkopere kwantumrandomisatiechips voor toekomstige consumentenapparaten.