趙 巖，陳 嵐

(中國(guó)科學(xué)院微電子研究所，北京100029)

在低壓電力線載波通信的安全認(rèn)證系統(tǒng)中，加密算法的安全性是認(rèn)證協(xié)議能正常運(yùn)行的最基本保障。而作為加密算法的核心，密鑰的質(zhì)量主要依靠隨機(jī)數(shù)的不可預(yù)測(cè)性和不可重復(fù)性。因此，高質(zhì)量的隨機(jī)數(shù)是電力線通信系統(tǒng)安全通信的重要保障。

現(xiàn)在常用的隨機(jī)數(shù)生成法有真隨機(jī)數(shù)生成法和偽隨機(jī)數(shù)生成法。其中，偽隨機(jī)數(shù)生成法是通過(guò)算法來(lái)實(shí)現(xiàn)隨機(jī)數(shù)，它產(chǎn)生隨機(jī)數(shù)的質(zhì)量受算法以及初始種子限制;真隨機(jī)數(shù)生成法又叫硬隨機(jī)數(shù)生成法，其主要是通過(guò)硬件方法根據(jù)自然界中物理現(xiàn)象的隨機(jī)特性來(lái)實(shí)現(xiàn)［1］。

相比于偽隨機(jī)數(shù)，真隨機(jī)數(shù)具有很好的隨機(jī)性、魯棒性和不可預(yù)測(cè)性，因此常被用于對(duì)隨機(jī)數(shù)要求較高的安全系統(tǒng)中。常用的真隨機(jī)數(shù)生成法主要有熱噪聲生成法、振蕩采樣生成法和離散時(shí)間混沌法，這些方法的思想都是通過(guò)對(duì)自然界中某一物理器件的隨機(jī)特性進(jìn)行一系列處理然后得到較為理想的隨機(jī)數(shù)。

本設(shè)計(jì)針對(duì)現(xiàn)階段常用真隨機(jī)生成法的缺陷，提出了一種具有電路設(shè)計(jì)簡(jiǎn)單、隨機(jī)序列隨機(jī)性高等特點(diǎn)的基于信道噪聲的真隨機(jī)數(shù)發(fā)生器。分析了信道中噪聲的隨機(jī)性，詳細(xì)介紹了真隨機(jī)數(shù)發(fā)生器的結(jié)構(gòu)和具體實(shí)現(xiàn)過(guò)程，并對(duì)設(shè)計(jì)進(jìn)行了驗(yàn)證。

1 現(xiàn)階段幾種常用真隨機(jī)數(shù)實(shí)現(xiàn)方法

真隨機(jī)數(shù)的隨機(jī)性主要是利用自然界各種物理現(xiàn)象的隨機(jī)特性，可以是原子核的放射性衰敗、大氣噪聲、熱噪聲等［1］。通過(guò)對(duì)這些物理現(xiàn)象進(jìn)行采樣，然后經(jīng)過(guò)一系列的處理就可以得到相關(guān)性很好的真隨機(jī)數(shù)。

1.1 熱噪聲采樣

熱噪聲采樣法是通過(guò)直接放大電阻兩端的熱噪聲，同時(shí)和基準(zhǔn)電壓進(jìn)行比較來(lái)產(chǎn)生均勻分布的“0”、“1”隨機(jī)序列。

1.2 振蕩采樣

振蕩采樣法主要是利用獨(dú)立振蕩器存在的相位噪聲(理想狀態(tài)MOSFET熱噪聲的副效應(yīng))以及器件中所存在的差異性來(lái)產(chǎn)生隨機(jī)數(shù)。其原理如圖1所示，頻率不同的兩個(gè)振蕩源，快振蕩器作為數(shù)據(jù)輸入端，慢振蕩器作為D觸發(fā)器時(shí)鐘信號(hào)來(lái)采樣快速時(shí)鐘。依靠?jī)蓚€(gè)振蕩器的頻率差和抖動(dòng)可使得采樣具有不確定性，理論上可以在每個(gè)采樣點(diǎn)產(chǎn)生一個(gè)隨機(jī)位，并可通過(guò)選擇兩種振蕩器的頻率比來(lái)增強(qiáng)隨機(jī)性。

圖1 基于振蕩采樣的真隨機(jī)數(shù)發(fā)生器

1.3 離散時(shí)間混沌法

離散時(shí)間混沌法是通過(guò)構(gòu)造一個(gè)混沌系統(tǒng)，利用混沌電路的不可預(yù)測(cè)性以及對(duì)初始條件敏感的依賴性來(lái)產(chǎn)生隨機(jī)數(shù)。比如，根據(jù)Bernoulli變換關(guān)系Xn=［2(Xn－1+e(n))］mod 1.0來(lái)產(chǎn)生隨機(jī)序列。

1.4 現(xiàn)階段常見真隨機(jī)數(shù)發(fā)生器的發(fā)展現(xiàn)狀

通過(guò)對(duì)現(xiàn)在幾種常用的真隨機(jī)數(shù)生成法進(jìn)行調(diào)研分析，發(fā)現(xiàn)這些方法雖然可以通過(guò)對(duì)物理現(xiàn)象采樣來(lái)獲得隨機(jī)數(shù)，但由于熱噪聲采樣法提取電路的魯棒性較差、振蕩采樣法產(chǎn)生的隨機(jī)序列隨機(jī)性不夠以及離散時(shí)間混沌法電路復(fù)雜度較高等弊端，嚴(yán)重影響著生成隨機(jī)數(shù)的質(zhì)量，制約著其在加密安全系統(tǒng)中的廣泛應(yīng)用。

為了能夠獲得高質(zhì)量的真隨機(jī)數(shù)，在現(xiàn)階段的芯片設(shè)計(jì)中，通過(guò)采用兩種真隨機(jī)生成法或者多種真隨機(jī)數(shù)生成法進(jìn)行優(yōu)化組合來(lái)產(chǎn)生真隨機(jī)數(shù)，然后通過(guò)后處理模塊來(lái)消除相關(guān)性，再經(jīng)過(guò)偽隨機(jī)數(shù)發(fā)生器處理后生成真隨機(jī)數(shù)。本設(shè)計(jì)就是基于現(xiàn)階段真隨機(jī)數(shù)生成法，利用電力線噪聲的隨機(jī)性和電力線通信中的加密算法，對(duì)真隨機(jī)數(shù)的整個(gè)生成過(guò)程進(jìn)行優(yōu)化，減少不必要的功耗和芯片面積的浪費(fèi)，同時(shí)保證了生成的真隨機(jī)數(shù)的質(zhì)量。

2 電力線信道噪聲的隨機(jī)特性

電力線上的噪聲源分為人為噪聲源和非人為噪聲源，人為噪聲的來(lái)源主要是各種電器產(chǎn)品的使用，而非人為噪聲的來(lái)源主要是自然現(xiàn)象，比如雷電等［2］。

根據(jù)國(guó)內(nèi)外對(duì)電力線信道噪聲的研究現(xiàn)狀，電力線上的噪聲可以總結(jié)為背景噪聲和脈沖噪聲兩大類。

2.1 背景噪聲

背景噪聲的主要特性是低功率的噪聲源，隨頻率的增大而減小，保持時(shí)間不穩(wěn)定，并且產(chǎn)生的干擾強(qiáng)度受用電器數(shù)量影響。包括有色背景噪聲、窄帶噪聲和異步于工頻的周期脈沖噪聲。其中，有色背景噪聲是由低功率噪聲源引起，在時(shí)域上表現(xiàn)為一個(gè)變化緩慢的隨機(jī)過(guò)程;窄帶噪聲主要由電力線中的駐波或者諧振中短波廣播引起，主要表現(xiàn)為多種正弦條幅信號(hào)的疊加;脈沖是多種衰減正弦波的疊加，是電力線通信的主要干擾源［3］。

ARMA(Auto Regressive Moving Average)模型是常用于背景噪聲建模的參數(shù)模型［4］。該模型用一個(gè)p階差分方程來(lái)進(jìn)行描述

式中:w(n)是零均值、方差為的白噪聲;x(n)是要研究的隨機(jī)序列。

2.2 脈沖噪聲

脈沖噪聲是隨時(shí)間變化而變化，在信道中一般表現(xiàn)為突發(fā)性脈沖噪聲，其具有很強(qiáng)的隨機(jī)性［2］。主要包括同步于工頻的周期脈沖噪聲和異步脈沖噪聲［5］。根據(jù)調(diào)研國(guó)內(nèi)外對(duì)脈沖噪聲的研究進(jìn)展，可以發(fā)現(xiàn)脈沖噪聲具有馬爾科夫特性。馬爾科夫過(guò)程是一種應(yīng)用廣泛的隨機(jī)過(guò)程，其定義如下:若狀態(tài)和時(shí)間參量都是離散的隨機(jī)過(guò)程X(n)，在k時(shí)刻狀態(tài)X(k)已知的條件下，其后k+1時(shí)刻所處的狀態(tài)只與k時(shí)刻的狀態(tài)有關(guān)，而與之前時(shí)刻的狀態(tài)無(wú)關(guān)，則該過(guò)程成為馬爾科夫鏈［6］。

圖2、圖3分別是通過(guò)實(shí)地對(duì)電力線信道噪聲進(jìn)行采樣得到的頻譜波形和時(shí)域波形。由時(shí)域波形可以發(fā)現(xiàn)，電力線噪聲包絡(luò)具有周期性，這主要是由于電力線噪聲在過(guò)零點(diǎn)噪聲值較小，在峰值處噪聲大，使得包絡(luò)整體呈現(xiàn)出50 Hz的周期性，但實(shí)際數(shù)值并沒(méi)有周期性;此外，由于電力線噪聲存在很強(qiáng)的時(shí)域脈沖噪聲和突發(fā)噪聲，因此在頻域波形可以觀察到，電力線噪聲在低頻段噪聲較強(qiáng)，且存在很強(qiáng)的窄帶噪聲和頻域脈沖噪聲。

圖2 電力線信道噪聲的頻譜波形

圖3 電力線信道噪聲時(shí)域波形

3 真隨機(jī)數(shù)發(fā)生法的設(shè)計(jì)實(shí)現(xiàn)

本設(shè)計(jì)主要由噪聲提取模塊、數(shù)字化處理模塊和后處理模塊組成，其整體設(shè)計(jì)流程如圖4所示。在隨機(jī)數(shù)產(chǎn)生工作過(guò)程中，首先從信道噪聲進(jìn)行噪聲采樣，將采到的信道噪聲經(jīng)過(guò)噪聲提取模塊的數(shù)字化處理，獲得噪聲數(shù)據(jù)比特流，再經(jīng)由后處理模塊通過(guò)使用類哈希函數(shù)把隨機(jī)噪聲數(shù)據(jù)比特流做加密處理來(lái)消除隨機(jī)數(shù)的偏差和自相關(guān)性，最后生成分布均勻、相對(duì)獨(dú)立的隨機(jī)序列。

圖4 真隨機(jī)數(shù)實(shí)現(xiàn)流程圖

3.1 噪聲提取

在噪聲的采集上，本設(shè)計(jì)使用了常用的信號(hào)采集方式，即通過(guò)在電力線信道上采集噪聲，經(jīng)過(guò)放大器放大，濾波器濾波，最后由A/D轉(zhuǎn)換模塊將提取的噪聲進(jìn)行數(shù)字化處理，把采集到的噪聲轉(zhuǎn)化為噪聲數(shù)據(jù)比特流。在電力線通信安全認(rèn)證中，由于每一個(gè)隨機(jī)數(shù)都有固定的生命周期，不需要實(shí)時(shí)進(jìn)行更新，因此出于芯片功耗的考慮，在噪聲提取模塊的設(shè)計(jì)中增加一個(gè)噪聲采集的控制模塊，以便能夠精確地控制隨機(jī)數(shù)的生成。圖5是噪聲提取的具體實(shí)現(xiàn)流程圖。

圖5 信道噪聲提取模塊

3.2 后處理模塊

用物理的方法來(lái)產(chǎn)生真隨機(jī)序列，雖然具有不可猜測(cè)、不能重復(fù)的優(yōu)點(diǎn)，但在采樣數(shù)字量化的過(guò)程中容易受到電路中各類噪聲的干擾和環(huán)境溫度的影響，產(chǎn)生的真隨機(jī)數(shù)序列會(huì)出現(xiàn)偏差和自相關(guān)性，因此為了保證產(chǎn)生高質(zhì)量的真隨機(jī)數(shù)序列，需要采用后處理機(jī)制來(lái)對(duì)產(chǎn)生的隨機(jī)序列進(jìn)行校正。

現(xiàn)在常用的后處理算法主要有馮·諾依曼校正法、多級(jí)級(jí)聯(lián)的異或鏈法、哈希函數(shù)［7］等?；诒驹O(shè)計(jì)是應(yīng)用于電力線載波安全通信中，其安全認(rèn)證功能模塊中已包含類哈希函數(shù)的加密模塊EAX［8－9］，所以使用類哈希函數(shù)作為后處理算法，其具體實(shí)現(xiàn)如圖6所示。

圖6 使用EAX加密算法的后處理模塊

哈希函數(shù)作為后處理算法不僅能夠消除隨機(jī)數(shù)的偏差，保證隨機(jī)數(shù)的獨(dú)立性和魯棒性，而且還具有一些其他方法不具備的優(yōu)點(diǎn)［7］:

1)在真隨機(jī)數(shù)生成系統(tǒng)出現(xiàn)錯(cuò)誤時(shí)，哈希函數(shù)的非線性能夠使得該后處理模塊可以作為偽隨機(jī)數(shù)發(fā)生源用來(lái)產(chǎn)生相對(duì)可靠的偽隨機(jī)數(shù)。

2)哈希函數(shù)的非線性能夠很好地彌補(bǔ)物理采樣機(jī)制中的缺陷。

3)哈希函數(shù)廣泛應(yīng)用于信息安全認(rèn)證系統(tǒng)中，使用其作為后處理算法可以節(jié)省硬件資源，減少芯片面積的使用，提高資源的利用率，降低芯片成本。

3.2.1 EAX 算法和實(shí)現(xiàn)

EAX算法是一種應(yīng)用于解決驗(yàn)證加密的類哈希函數(shù)算法。它通過(guò)對(duì)一系列明文M進(jìn)行各種加密處理，使用多種密鑰將明文轉(zhuǎn)化成相對(duì)應(yīng)的密文，并且會(huì)產(chǎn)生一個(gè)用于保護(hù)信息隱秘性和明文驗(yàn)證的標(biāo)記符T。圖7是EAX算法的具體實(shí)現(xiàn):

1)使用OMAC算法分別對(duì)時(shí)間戳N、數(shù)據(jù)頭H進(jìn)行加密，得到相應(yīng)的密文N，H;

2)使用CTR算法對(duì)明文M進(jìn)行加密，得到密文C;

3)對(duì)密文C用OMAC算法進(jìn)行加密，得到密文C;

4)將3種密文N，H，C按位進(jìn)行異或運(yùn)算，最后得到需要的隨機(jī)數(shù)T。

圖7 EAX算法實(shí)現(xiàn)［2］

圖7中，N代表的是時(shí)間戳，M代表的是明文，H代表的是數(shù)據(jù)頭。CTR，OMAC為兩種加密算法。

CTR算法［10］通過(guò)分別對(duì)一系列輸入數(shù)據(jù)塊進(jìn)行加密，得到相應(yīng)系列的密文值，將得到的密文值再與明文異或得到最終的密文。在CTR算法中，最后的數(shù)據(jù)塊按照其位長(zhǎng)的不同，需進(jìn)行不同的操作:若數(shù)據(jù)塊位長(zhǎng)小于或者等于系統(tǒng)設(shè)定位長(zhǎng)，則將其全部進(jìn)行異或，否則只將系統(tǒng)設(shè)定的位長(zhǎng)進(jìn)行異或，其他位被舍棄。

OMAC算法［11］即 one－key CBC MAC 算法，也是一種通過(guò)對(duì)數(shù)據(jù)塊加密來(lái)對(duì)數(shù)據(jù)進(jìn)行驗(yàn)證的加密算法。每個(gè)數(shù)據(jù)塊與前一個(gè)加密模塊的密文塊進(jìn)行異或后，進(jìn)行再次加密。在最后數(shù)據(jù)塊處理過(guò)程中，根據(jù)其位長(zhǎng)的不同，在異或操作中做不同的移位運(yùn)算。在整個(gè)加密過(guò)程中，只用一個(gè)密鑰來(lái)進(jìn)行加密。

在本設(shè)計(jì)中，為了能夠保證隨機(jī)數(shù)經(jīng)后處理后的隨機(jī)性，特對(duì)參數(shù)做以下設(shè)定:

1)設(shè)定0x0000F0F0作為Nonce的初始量，在每次調(diào)用EAX模塊后Nonce自加1;

2)設(shè)定ID‖Time作為H的例化，其中ID是每一個(gè)設(shè)備自帶的14 byte隨機(jī)數(shù)，Time為調(diào)用EAX模塊時(shí)的8 byte時(shí)間常數(shù)，精確到毫秒;

3)設(shè)定Nonce‖Time作為調(diào)用EAX模塊時(shí)使用的密鑰。

后處理模塊在獲得經(jīng)過(guò)數(shù)字化的噪聲數(shù)據(jù)后，按照EAX算法的具體實(shí)現(xiàn)過(guò)程，對(duì)時(shí)間戳Nonce做OMAC加密，對(duì)噪聲數(shù)據(jù)M依次做CTR加密和OMAC加密，對(duì)數(shù)據(jù)頭H做OMAC加密，最后將得到的三種密文根據(jù)位數(shù)的要求做異或運(yùn)算，最終得到經(jīng)過(guò)后處理模塊加密處理的隨機(jī)數(shù)T。

4 實(shí)驗(yàn)結(jié)果

為了驗(yàn)證真隨機(jī)數(shù)設(shè)計(jì)的可靠性和隨機(jī)性，本設(shè)計(jì)遵循FIPS140－2標(biāo)準(zhǔn)［12］中對(duì)隨機(jī)數(shù)測(cè)試的要求，采集了20 000 bit隨機(jī)數(shù)作為測(cè)試量，依次進(jìn)行了頻數(shù)檢測(cè)、撲克檢測(cè)、游程檢測(cè)和長(zhǎng)游程檢測(cè)四種常用的隨機(jī)數(shù)檢測(cè)，檢測(cè)的結(jié)果如表1所示。

表1 真隨機(jī)數(shù)檢測(cè)結(jié)果

從表1的檢測(cè)結(jié)果可以看出，本設(shè)計(jì)產(chǎn)生的真隨機(jī)數(shù)在頻數(shù)檢測(cè)、撲克檢測(cè)、游程檢測(cè)、長(zhǎng)游程檢測(cè)中的測(cè)試結(jié)果均在FIPS140－2標(biāo)準(zhǔn)規(guī)定的置信區(qū)間內(nèi)，符合FIPS140－2標(biāo)準(zhǔn)對(duì)真隨機(jī)數(shù)的要求。

通過(guò)對(duì)生成的真隨機(jī)數(shù)的測(cè)試結(jié)果表明，本設(shè)計(jì)通過(guò)采用以電力線信道上的噪聲作為隨機(jī)源，經(jīng)數(shù)字處理后再由EAX加密作后處理的方式可以產(chǎn)生隨機(jī)性很好的真隨機(jī)數(shù)。并且由于本設(shè)計(jì)不需要額外在芯片硬件上完成異或鏈電路，同時(shí)不需要通過(guò)軟件來(lái)搭建偽隨機(jī)數(shù)發(fā)生器，這樣可以減少在真隨機(jī)數(shù)生成過(guò)程中不必要的資源浪費(fèi)，提高了工作效率。

5 結(jié)束語(yǔ)

本設(shè)計(jì)針對(duì)現(xiàn)階段常用真隨機(jī)數(shù)發(fā)生器生成方法的弊端，提出了一種具有電路設(shè)計(jì)簡(jiǎn)潔、產(chǎn)生隨機(jī)序列隨機(jī)性高等特點(diǎn)的基于電力線信道噪聲的真隨機(jī)數(shù)生成器設(shè)計(jì)，該方法的隨機(jī)源是電力線信道噪聲，經(jīng)過(guò)噪聲提取模塊數(shù)字化處理，再由后處理模塊使用EAX加密算法消除生成隨機(jī)數(shù)的偏差和自相關(guān)性，最后獲得具有很好隨機(jī)性、獨(dú)立性和魯棒性的隨機(jī)數(shù)。本設(shè)計(jì)具有電路設(shè)計(jì)簡(jiǎn)單、占用芯片面積小、受電路噪聲影響較小，產(chǎn)生的隨機(jī)序列隨機(jī)性好、功耗相對(duì)較低的特點(diǎn)，能夠彌補(bǔ)常用真隨機(jī)發(fā)生器的不足，通過(guò)測(cè)試表明，使用本設(shè)計(jì)方法可以產(chǎn)生隨機(jī)性很好的高質(zhì)量真隨機(jī)數(shù)序列。

［1］ EASTLAKE D，SCHILLER J，CROCKER S.Randomness requirements for security［EB/OL］.［2013 －06 －10］.http://www.hjp.at/doc/rfc/rfc4086.html.

［2］張秀秀.低壓電力線信道噪聲特性分析［J］.山西電子技術(shù)，2009(5):57－59.

［3］林虹，林東.PLC信道噪聲建模及噪聲發(fā)生器的設(shè)計(jì)［J］.電力系統(tǒng)通信，2011(7):61－65.

［4］范劍青，姚琦偉.非線性時(shí)間序列:建模、預(yù)備及應(yīng)用［M］.北京:高等教育出版社，2005.

［5］翟明岳，曾慶安.低壓電力線通信信道的馬爾柯夫特性研究［J］.中國(guó)電機(jī)工程學(xué)報(bào)，2007，27(22):116－121.

［6］郭昊坤，吳軍基，陸嫻，等.電力線通信信道噪聲模型研究現(xiàn)狀［J］.電力系統(tǒng)通信，2011(8):1－3.

［7］ SUNAR B.True random number generators for cryptography［EB/OL］.［2013－06－10］.http://link.springer.com/chapter/10.1007/978－0－387－71817－0_4#page－1.

［8］ BERSANIF，TSCHOFENIG H.The EAP－PSK protocol:a pre－shared key extensible authentication protocol(EAP) method［EB/OL］.［2013－06－10］.http://tools.ietf.org/html/rfc4764.

［9］ BELLAREM，ROGAWAY P，WAGNER D.The EAX mode of operation［EB/OL］.［2013－06－10］.http://link.springer.com/chapter/10.1007/978－3－540－25937－4_25#page－1.

［10］ Special Publication(SP)800－38B，National institute of standards and technology，recommendation for block cipher modes of operation:the CMACmode for authentication［S］.2005.

［11］ IWATA T，KUROSAWA K.FSE 03，Springer－Verlag LNCS 2887，OMAC:one－key CBCMAC［S］.2003.

［12］ NIST FIPS140－2，Security requirements for cryptographic modules［S］.2001.