Класс DrbgParameters

Согласно специальной публикации NIST 800-90A, редакция 1, «Рекомендация по генерации случайных чисел с использованием детерминированных генераторов случайных битов» (800-90Ar1),

DRBG основан на механизме DRBG, описанном в этой Рекомендации, и включает источник случайности. Механизм DRBG использует алгоритм (то есть алгоритм DRBG), который формирует последовательность битов из начального значения, определяемого начальным числом, полученным из выходных данных источника случайности.

Спецификация 800-90Ar1 допускает различные варианты реализации DRBG, например:

• источник энтропии,
• механизм DRBG (например, Hash_DRBG),
• алгоритм DRBG (например, SHA-256 для Hash_DRBG и AES-256 для CTR_DRBG. Обратите внимание, что это не алгоритм, используемый в SecureRandom.getInstance(String), который ниже будет называться алгоритмом SecureRandom),
• дополнительные возможности, включая устойчивость к предсказанию и поддержку повторного начального заполнения,
• максимальный уровень стойкости.

Эти варианты задаются в каждой реализации и напрямую не управляются API SecureRandom. Ознакомьтесь с документацией поставщика DRBG, чтобы выбрать подходящую реализацию для конкретной ситуации.

С другой стороны, спецификация 800-90Ar1 предусматривает некоторые настраиваемые параметры, например:

• требуемый уровень стойкости,
• необходимость устойчивости к предсказанию,
• строка персонализации и дополнительные входные данные.

Экземпляр DRBG можно создать с параметрами из объекта DrbgParameters.Instantiation и другими данными (например, nonce, который не управляется этим API). Это соответствует Instantiate_function, определённому в NIST SP 800-90Ar1.

Для экземпляра DRBG можно выполнить повторное начальное заполнение с параметрами из объекта DrbgParameters.Reseed. Это соответствует Reseed_function, определённому в NIST SP 800-90Ar1. Вызов SecureRandom.reseed() эквивалентен вызову SecureRandom.reseed(SecureRandomParameters) с фактическим флагом устойчивости к предсказанию, заданным при создании экземпляра (возвращаемым методом SecureRandom.getParameters()), без дополнительных входных данных.

Экземпляр DRBG генерирует данные с дополнительными параметрами из объекта DrbgParameters.NextBytes. Это соответствует Generate_function, определённому в NIST SP 800-90Ar1. Вызов SecureRandom.nextBytes(byte[]) эквивалентен вызову SecureRandom.nextBytes(byte[], SecureRandomParameters) с фактическим уровнем стойкости и флагом устойчивости к предсказанию, заданными при создании экземпляра (возвращаемыми методом SecureRandom.getParameters()), без дополнительных входных данных.

DRBG следует реализовывать как подкласс SecureRandomSpi. Рекомендуется, чтобы реализация содержала конструктор с одним аргументом, конструктор, принимающий аргумент DrbgParameters.Instantiation. В этом случае эту реализацию можно выбрать любым методом SecureRandom.getInstance(). Если она выбрана методом SecureRandom.getInstance() с параметром SecureRandomParameters, этот параметр передаётся конструктору. Если она выбрана методом SecureRandom.getInstance() без параметра SecureRandomParameters, конструктор вызывается с аргументом null, и реализация должна выбрать собственные параметры. Метод SecureRandom.getParameters() всегда должен возвращать ненулевой объект DrbgParameters.Instantiation, отражающий фактические параметры создания экземпляра DRBG. Вызывающий код может использовать эту информацию, чтобы определить, является ли объект SecureRandom экземпляром DRBG и какие возможности он поддерживает. Обратите внимание, что возвращаемое значение не обязательно совпадает с объектом DrbgParameters.Instantiation, переданным при вызове SecureRandom.getInstance(). Например, запрошенная возможность может быть DrbgParameters.Capability.NONE, а фактическое значение — DrbgParameters.Capability.RESEED_ONLY, если реализация поддерживает повторное начальное заполнение. Реализация должна реализовать метод SecureRandomSpi.engineNextBytes(byte[], SecureRandomParameters), принимающий параметр DrbgParameters.NextBytes. Если результат вызова SecureRandom.getParameters() не имеет для capability значения NONE, реализация должна реализовать SecureRandomSpi.engineReseed(SecureRandomParameters), принимающий параметр DrbgParameters.Reseed.

С другой стороны, если реализация DRBG не содержит конструктора с аргументом DrbgParameters.Instantiation (что не рекомендуется), её можно выбрать только методом SecureRandom.getInstance() без параметра SecureRandomParameters; она не будет выбрана, если вызван метод getInstance с параметром SecureRandomParameters. В этом случае метод SecureRandom.getParameters() должен возвращать null, и реализация не обязана реализовывать ни SecureRandomSpi.engineNextBytes(byte[], SecureRandomParameters), ни SecureRandomSpi.engineReseed(SecureRandomParameters).

DRBG может автоматически выполнять повторное начальное заполнение, если период использования начального числа превышает максимальный срок его действия, определённый механизмом DRBG.

Реализация DRBG должна поддерживать сериализацию и десериализацию, сохраняя конфигурацию и фактические параметры; однако внутреннее состояние не должно сериализоваться, а десериализованный объект должен быть создан заново.

Примеры:

SecureRandom drbg;
byte[] buffer = new byte[32];

// Any DRBG is OK
drbg = SecureRandom.getInstance("DRBG");
drbg.nextBytes(buffer);

SecureRandomParameters params = drbg.getParameters();
if (params instanceof DrbgParameters.Instantiation) {
    DrbgParameters.Instantiation ins = (DrbgParameters.Instantiation) params;
    if (ins.getCapability().supportsReseeding()) {
        drbg.reseed();
    }
}

// The following call requests a weak DRBG instance. It is only
// guaranteed to support 112 bits of security strength.
drbg = SecureRandom.getInstance("DRBG",
        DrbgParameters.instantiation(112, NONE, null));

// Both the next two calls will likely fail, because drbg could be
// instantiated with a smaller strength with no prediction resistance
// support.
drbg.nextBytes(buffer,
        DrbgParameters.nextBytes(256, false, "more".getBytes()));
drbg.nextBytes(buffer,
        DrbgParameters.nextBytes(112, true, "more".getBytes()));

// The following call requests a strong DRBG instance, with a
// personalization string. If it successfully returns an instance,
// that instance is guaranteed to support 256 bits of security strength
// with prediction resistance available.
drbg = SecureRandom.getInstance("DRBG", DrbgParameters.instantiation(
        256, PR_AND_RESEED, "hello".getBytes()));

// Prediction resistance is not requested in this single call,
// but an additional input is used.
drbg.nextBytes(buffer,
        DrbgParameters.nextBytes(-1, false, "more".getBytes()));

// Same for this call.
drbg.reseed(DrbgParameters.reseed(false, "extra".getBytes()));