您可以将内存错误用作加密的随机性来源吗？

#1 楼

否。

正确运行的计算机在地面上的内存错误率非常低；每周检测到一个错误以上的错误（由带有ECC日志记录的计算机报告）是维护的原因[＃]。因此，所提出的方法需要终端上不切实际的延迟来获得任何熵，或者计算机不可靠。对于一口井来说，这主要发生在海拔高度（尤其是在南大西洋异常地区）。另外，如果机器具有ECC，则很难检测到错误（报告ECC错误往往是专有的混乱）；如果不是这样，并且有相当多的错误，那是担心一个人最终会阻止程序按预期运行。
音频或视频输入；更通常是ADC的输出。
相对于CPU时钟高精度测量的事件时间（例如，通过RDTSC指令或API获得的性能计数器）。来源包括：


按键（值赋予额外的熵）
鼠标/指针设备的移动（位置赋予额外的熵）
网络数据包的到达
具有旋转晶体的硬盘中的数据的可用性
具有独立晶体的实时时钟IC中的秒变化（熵率低，但熵非常可靠）



提取熵相对容易：本质上，对可以得到的任何熵进行哈希处理。一件非常困难的事情是要确定一个可靠的下界，即实际上收集了多少熵。要非常保守，不要以为拥有的东西会。事情出乎意料地发生了变化，尤其是当有积极的对手时，就像我们在加密货币中所假设的那样。[＃]关于DRAM的可靠性研究给出了各种各样的估计。但是，我们说的是100FIT par DRAM IC，其系数是100，其中``时间故障''是每109个设备·小时的预期故障数。以最高端104 FIT为例，一台具有4个DIMM且每个均带有18个DRAM IC的计算机（到2017年末，足够使用DDR4主流使用DDR4主流的32 GiB ECC）。服务器的现场经验是，当出现ECC警报的次数多于每周一次时，这是有原因的，通常是内存规格或设置（仅适用于新机器）或特定DIMM的特定IC中的特定位不匹配。边缘（或磨损，对于已经安静哼唱了一段时间的机器）。错误日志的主要优点是可以帮助您识别这种情况，而不是报废整个DIMM，而不是报废整个DIMM。包括将刷新率降低到远低于制造商的规格，和/或使用RowHammer读/写模式。但是，这完全取决于DRAM模型。在操作系统内可靠，便携地执行此操作非常困难； MemTest想要拥有尽可能多的机器是有原因的。

#2 楼

很难想象您可以为您的系统提供大量的RAM，但是却无法负担硬件RNG，例如便宜的模型（价格为0.25美元，或降低到0.01美元，但要付出一些人机工程学费用），在国际上可以买到。其他国家也有。您甚至可能口袋里只有一个。

但是，假设您使用的是ECC RAM，它向操作系统报告错误事件的数量，从而可以轻松地从操作系统中查询。考虑一下以泊松分布的错误事件计数，其速率为每周一次，如@fgrieu建议将其作为速率上限，然后再将其全部清除并购买新的RAM。从一周的错误计数中得出的熵是多少？以比率$ \ lambda $计数$ k $的概率为$$ \ operatorname {泊松}（k; \ lambda）= \ frac {\ lambda ^ ke ^ {-\ lambda}} {k！}。$$泊松分布变量的熵没有很好的封闭形式表达式，但是我们可以使用$$ \ lambda \ cdot（1-\ log \ lambda）+ e ^ {-\ lambda} + sum_ {k = 0} ^ \ infty \ frac {\ lambda ^ k \ log k！} {k！}。$$如果我们修复$ \ lambda = 1 $，这意味着我们测量一周，则简化为$$ 1-\ log 1 + e ^ {-1} \ sum_ {k = 0} ^ \ infty \ frac {\ log k！} {k！} \ approx 1.3 \; \ mathrm {nat} \ approx 1.9 \; \ mathrm {bit} $ $，如果我正确地进行了计算。

也就是说，通过等待大约一周左右的时间来旋转手指，您会得到不到一点点的熵-拇指的本来可以在短得多的时间内翻转硬币时间更大的熵。那就是香农熵，而不是密码学家所使用的最小熵！最小熵恰好是$ 1 \; \ mathrm {nat} \ approx 1.4 \; \ mathrm {bit} $。

读者的练习：假设您可以某种时钟分辨率（例如，天，小时，分钟，秒）来测量到达间隔的时间，而不是最后的计数—可能是事件发生硬件中断，或者每分钟/秒/等轮询一次。那时候的（Shannon，min-）熵是多少？

#3 楼

我假设您实际上是指内存错误，而不是初始开机状态。

它无法正常运行。没有内存错误。我再说一遍，没有内存错误。现代RAM相当不错。就像微处理器一样，它要么起作用要么不起作用。我已经运行MemTest86了很多次。我发现了三种情况：



整夜运行后内存通过失败为零。取出存储卡，用砂纸+螺丝刀擦拭/打磨连接器或锉刀，然后重新测试。接触氧化是PITA。几乎每次都变为1。
内存失败，并带有错误提示。夹住切屑并/或获得退款。

情形3很少发生。这就是为什么大多数计算机（从统计上来说）运行非ECC芯片的原因。另外，英特尔不允许使用消费者ECC，并且大多数台式机都可以正常运行。您的手机，笔记本电脑或平板电脑也没有。而且他们大部分时间都在工作，不是吗？我的非ECC服务器的正常运行时间超过365天。我认为漫长的循环不会找到任何结果。因此，作为竞争策略，这使得AMD对ECC的支持颇有疑问。

下图是标题为“现代系统中的内存错误”的论文的摘录。它只是众多论文中的只有一篇，因此，您将可以使用它：-



总而言之，该图显示了大型计算机的每月错误率。您可以看到每个DRAM芯片的错误率很小。一天之内，他们每个月最多可获得30个FIT /芯片，但是这种速度会随着时间而降低。单个FIT是指单个设备运行10亿小时后发生的单个故障。每天不是30次失败。因此，这仅在他们分析的十亿磅级机器中真正重要。如手机所示。

结果是您不能将错误作为熵源，因为没有任何统计上显着的数量。而且，如果确实找到了某些错误，那就是错误，并且不能依靠它，因此您无法发布代码以将其用于熵提炼。您将不会指出哪台机器有错误或有多少错误。从“重新审视大型生产数据中心中的内存错误：现场新趋势的分析和建模”看来，很难确定一台适合于DRAM熵提取的机器。他们研究了整个Facebook服务器产业超过一年。他们的发现表明：-错误非常集中在特定的个人计算机上。 1％的服务器负责97.8％的错误。修复那些服务器，您几乎没有熵。因此，从另一方面来说，您随机指向的服务器几乎不会产生任何错误的概率为99％。
这取决于计算机的具体工作。工作负载类型最多可影响服务器故障率6.5倍。
错误的大多数（未指定百分比）实际上是由内存控制器而不是DRAM单元引起的。
假设的最终结果是良好的的观点是，错误率与单元和CPU密度之间存在明显的相关性。我们都可以期待将来可靠性会大大降低（并且熵会更多）。

最后，作为练习，您将如何使用内存错误？这是不可能的。 MemTest可以找到它们，因为它是仅在计算机上运行的微型应用程序。遇到随机定位的错误不会使MemTest崩溃。我想错误可能发生在它的程序空间内，但是您永远不会知道它会崩溃而不会报告它。在具有虚拟机和大量IO的多任务操作系统上，如果发生重大错误，整个过程可能会崩溃。我认为您可能不会出现仅在内存映射的方便且可访问区域发生内存错误的情况。

有更好的方法从计算机获取熵。

#4 楼

其他答案详细介绍了这个问题。

但是至少有一篇文章讨论了使用RFID芯片的SRAM存储器内容的想法。上电后获得设备的指纹和一些随机位。

总结是SRAM单元是6个晶体管的对称结构，在两种配置之一中亚稳态， 0或1。上电时，SRAM单元的两侧争夺主导地位。哪一个获胜取决于晶体管之间的微小内在差异以及噪声。这些可以用来导出指纹。在其他单元格中，这些差异是如此之小，以至于噪声占主导地位，并且这些单元格可能会以任一值加电。这些可以用来获取一些熵。

这是从纸上得到的图像。在左侧，以图表形式绘制了0 / 1偏斜。右边是存储区域的可视化表示。黑格是可靠地初始化为0的位；白细胞可靠地初始化为1;灰色单元格可能会初始化为以下两种状态：



本文是“初始SRAM状态作为指纹”和“ RFID标签的真实随机数”的来源Daniel E. Holcomb，Wayne P. Burleson和Kevin Fu。 。由于其对称结构，它也以SRAM为目标。我不确定该技术是否可以推广到DRAM或其他内存类型，但是许多计算设备在某些地方可能会使用SRAM（例如：处理器缓存）。

#5 楼

已经指出，存储器错误太少而无用。但是，还有另一个问题-由于芯片中的缺陷（而不是处于宇宙射线的路径中）导致的内存错误不是很随机。它们是某处数据泄漏的结果。您的密钥将显示出非常非随机的分布，并且攻击它的任何人都可能会知道这一点，并确定优先使用哪个密钥的优先级。或摆动鼠标。

#6 楼

不，正如已经指出的那样，等待内存错误不是一个好主意。首先，您将非常依赖于特定的内存类型。如果有人用错误检查和纠正（ECC）内存替换内存，那么您将已经遇到问题。内存错误的数量将最小化，或者在现代计算机上不存在，并且分配/扫描整个内存将占用大量CPU和内存带宽。内存错误的数量也可能对环境敏感。例如，攻击者可以降低温度，以尝试最大程度地减少由内存错误产生的熵。

有时执行的操作是分配内存并在不清除内存的情况下将其读出，并回读所有可能存在于此类内存中。这必须是一种操作系统功能，因为操作系统可以很好地擦除内存本身。通常，这样做仅是为了向RNG添加一点熵，而不是将其作为主要来源。此外，事实证明这很危险：当静态代码分析工具发现未初始化内存的读取并且开发人员删除了这种熵源时，Debian和Ubuntu Linux发行版立即受到影响-不幸的是，包括所有其他熵源。 >

如果没有良好的True Random Generator，使用较小的时序差异（如果有一个好的计时器，则以纳秒为单位）似乎是收集熵的最佳方法之一。它仍然存在一些问题，例如在无头环境或VM中运行。显然，随着SSD逐渐成为主流，使用HDD的随机源特性已经不再是一个好主意了。

#7 楼

我不确定内存错误，但是我确实使用未知的并行计算执行顺序成功编写了一种改组算法。
通过同时传递每张卡，我会将卡（int）从一个卡片组（列表）移动到另一个卡片组（列表）到不同的线程并让所有线程“竞争”以将它们重新插入到另一个平台中。
不断重复执行几秒钟后，该平台似乎完全被洗净了，即使我当时不曾两次获得相同的结果运行相同的代码。即使在同一台计算机和相同的环境中也是如此。但是我猜想它在很大程度上取决于它执行的环境是否足够随机。