如何简洁、便携、彻底地将mt19937 PRNG种子化？

Question

我似乎看到了许多答案，其中有人建议使用 生成随机数，通常与下面这样的代码一起生成：

std::random_device rd;  
std::mt19937 gen(rd());
std::uniform_int_distribution<> dis(0, 5);
dis(gen);

通常这会取代某种“不神圣的可憎之物”，例如：

srand(time(NULL));
rand()%6;

std::random_device可以（有时）实现为具有固定种子的简单PRNG。因此，它可能在每次运行时产生相同的序列。（链接）这比time(NULL)还要糟糕。

更糟糕的是，复制和粘贴前面的代码段非常容易，尽管它们包含问题。一些解决方案需要获取大型图书馆，但这并不适合所有人。

有鉴于此，我的问题是如何在C++中简洁、可移植性和彻底地将mt19937 PRNG种子化？

null

std::random_device::Entropy()不能很好地指示std::random_device可以执行或不可以执行的操作。

Answer 1

我认为std::random_device的最大缺陷是，如果没有可用的CSPRNG，则允许它进行确定性回退。这本身就是不使用std::random_device种子PRNG的一个很好的理由，因为产生的字节可能是确定性的。不幸的是，它没有提供一个API来发现何时发生这种情况，或者请求失败而不是低质量的随机数。

也就是说，没有完全可移植的解决方案：然而，有一个体面的、最小的方法。您可以在CSPRNG周围使用一个最小的包装器（下面定义为sysrandom)来种子PRNG。

您可以依赖cryptgenrandom，一个CSPRNG。例如，您可以使用以下代码：

bool acquire_context(HCRYPTPROV *ctx)
{
    if (!CryptAcquireContext(ctx, nullptr, nullptr, PROV_RSA_FULL, 0)) {
        return CryptAcquireContext(ctx, nullptr, nullptr, PROV_RSA_FULL, CRYPT_NEWKEYSET);
    }
    return true;
}


size_t sysrandom(void* dst, size_t dstlen)
{
    HCRYPTPROV ctx;
    if (!acquire_context(&ctx)) {
        throw std::runtime_error("Unable to initialize Win32 crypt library.");
    }

    BYTE* buffer = reinterpret_cast<BYTE*>(dst);
    if(!CryptGenRandom(ctx, dstlen, buffer)) {
        throw std::runtime_error("Unable to generate random bytes.");
    }

    if (!CryptReleaseContext(ctx, 0)) {
        throw std::runtime_error("Unable to release Win32 crypt library.");
    }

    return dstlen;
}

size_t sysrandom(void* dst, size_t dstlen)
{
    char* buffer = reinterpret_cast<char*>(dst);
    std::ifstream stream("/dev/urandom", std::ios_base::binary | std::ios_base::in);
    stream.read(buffer, dstlen);

    return dstlen;
}

std::uint_least32_t seed;    
sysrandom(&seed, sizeof(seed));
std::mt19937 gen(seed);

如果您愿意为安全性而牺牲简洁性，getrandom是Linux 3.17及以上版本和最近的Solaris上的一个极好的选择。getrandom的行为与/dev/urandom完全相同，只是如果内核在引导后还没有初始化它的CSPRNG，它就会阻塞。下面的片段检测LinuxGetRandom是否可用，如果不可用，则返回到/dev/urandom。

#if defined(__linux__) || defined(linux) || defined(__linux)
#   // Check the kernel version. `getrandom` is only Linux 3.17 and above.
#   include <linux/version.h>
#   if LINUX_VERSION_CODE >= KERNEL_VERSION(3,17,0)
#       define HAVE_GETRANDOM
#   endif
#endif

// also requires glibc 2.25 for the libc wrapper
#if defined(HAVE_GETRANDOM)
#   include <sys/syscall.h>
#   include <linux/random.h>

size_t sysrandom(void* dst, size_t dstlen)
{
    int bytes = syscall(SYS_getrandom, dst, dstlen, 0);
    if (bytes != dstlen) {
        throw std::runtime_error("Unable to read N bytes from CSPRNG.");
    }

    return dstlen;
}

#elif defined(_WIN32)

// Windows sysrandom here.

#else

// POSIX sysrandom here.

#endif

最后还有一个警告：现代OpenBSD没有/dev/urandom。你应该用getentropy代替。

#if defined(__OpenBSD__)
#   define HAVE_GETENTROPY
#endif

#if defined(HAVE_GETENTROPY)
#   include <unistd.h>

size_t sysrandom(void* dst, size_t dstlen)
{
    int bytes = getentropy(dst, dstlen);
    if (bytes != dstlen) {
        throw std::runtime_error("Unable to read N bytes from CSPRNG.");
    }

    return dstlen;
}

#endif

如果您需要加密安全的随机字节，您可能应该用POSIX的无缓冲的open/read/close替换fstream。这是因为basic_filebuf和file都包含一个内部缓冲区，该缓冲区将通过标准分配器分配（因此不会从内存中擦除）。

size_t sysrandom(void* dst, size_t dstlen)
{
    int fd = open("/dev/urandom", O_RDONLY);
    if (fd == -1) {
        throw std::runtime_error("Unable to open /dev/urandom.");
    }
    if (read(fd, dst, dstlen) != dstlen) {
        close(fd);
        throw std::runtime_error("Unable to read N bytes from CSPRNG.");
    }

    close(fd);
    return dstlen;
}

我还要感谢Peter Cordes提到getrandom，以及OpenBSD缺少/dev/urandom。