In pratica vengono utilizzati generatori pseudocasuali teoricamente sani?

Per quanto ne so, la maggior parte delle implementazioni della generazione di numeri pseudocasuali in pratica utilizza metodi come i registri di feedback a spostamento lineare (LSFR) o questi algoritmi "Mersenne Twister". Mentre superano molti test statistici (euristici), non ci sono garanzie teoriche che sembrino pseudocasuali, per esempio, tutti i test statistici calcolabili in modo efficiente. Eppure questi metodi sono usati indiscriminatamente in tutti i tipi di applicazioni, che vanno dai protocolli crittografici al calcolo scientifico al settore bancario (probabilmente). Trovo un po 'preoccupante che non abbiamo quasi nessuna garanzia sul fatto che queste applicazioni funzionino come previsto (perché qualsiasi tipo di analisi avrebbe probabilmente assunto la vera casualità come input).

D'altra parte, la teoria della complessità e la crittografia forniscono una teoria molto ricca di pseudo-casualità, e abbiamo persino costruzioni candidate di generatori pseudocasuali che potrebbero ingannare QUALSIASI test statistico efficiente che potresti realizzare, usando le funzioni candidate one-way.

La mia domanda è: questa teoria è diventata pratica? Spero che per importanti usi della casualità, come la crittografia o il calcolo scientifico, vengano usati teoricamente PRG.

A parte questo, ho potuto trovare alcune analisi limitate di quanto bene gli algoritmi popolari come quicksort funzionano quando si usano gli LSFR come fonte di casualità, e apparentemente funzionano bene. Vedi "Algoritmi randomizzati e numeri pseudocasuali" di Karloff e Raghavan .

La nozione di generatori pseudocasuali "teoricamente sani" non è davvero ben definita. Dopotutto, nessun generatore pseudocasuale ha una prova di sicurezza. Non so che possiamo dire che un generatore pseudocasuale basato sulla durezza del factoring di interi di grandi dimensioni sia "più sicuro" di, per esempio, l'uso di AES come generatore pseudocasuale. (In effetti, si ha la sensazione che sia meno sicuro, dal momento che conosciamo algoritmi di factoring quantistico ma non algoritmi quantistici per rompere AES.)

Quello che abbiamo prove matematiche per sono vari risultati di composizione, dicendo che se componi cifrature a blocchi o funzioni di hash in certi modi puoi ottenere generatori pseudocasuali o funzione pseudocasuale. Alcuni di questi risultati sono ampiamente utilizzati in pratica, ad esempio HMAC . Ma è vero che i risultati che ottengono un PRG e iniziano solo supponendo che il componente di base sia una semplice funzione a senso unico non sono abbastanza efficienti da usare per le applicazioni (e questo è almeno in parte inerente). Quindi, in genere dobbiamo assumere una funzione PRG / stream cipher / block-cipher / hash come una primitiva di base e iniziare a costruire altre cose da essa. Il problema non riguarda in realtà l'analisi asintotica poiché essenzialmente tutte le riduzioni crittografiche (tranne forse per il PRG universale di Levin) possono essere concretizzate e quindi dare garanzie concrete sotto ipotesi concrete.

Ma anche se non si basano su funzioni a senso unico, c'è un senso in cui costruzioni come AES sono "teoricamente valide" perché: (1) Ci sono congetture formali sulla loro sicurezza. (2) C'è del lavoro per cercare di confutare queste congetture e anche derivarne implicazioni.

E in effetti, le persone sono consapevoli del fatto che per molte applicazioni non sarebbe intelligente usare PRG come LSFR che non soddisfano (1) e (2) sopra.

Sembra che tu confonda la teoria con la pratica. Un generatore pseudocasuale teoricamente valido non è adatto all'uso pratico per diversi motivi:

• Probabilmente è molto inefficiente.
• La prova di sicurezza è solo asintotica, e quindi per il particolare parametro di sicurezza utilizzato, il generatore pseudocasuale può essere facile da interrompere.
• Tutte le prove di sicurezza sono condizionate, quindi in un certo senso non soddisfano nemmeno il concetto di sicurezza teorica.

Al contrario, i generatori pseudocasuali effettivi sono veloci e hanno gusti diversi a seconda del loro utilizzo. Per un uso non crittografico, quasi qualsiasi cosa diversa da un semplice LFSR farà il lavoro - non in modo dimostrabile, ma in pratica (che è più importante per le persone che usano le cose nella realtà).

Per uso crittografico, le persone cercano di essere più intelligenti. A questo punto la tua critica ha un senso: non possiamo sapere che un particolare generatore pseudocasuale utilizzato è "sicuro", e in effetti alcuni vecchi sono stati rotti, ad esempio RC4 come usato in WEP. Tuttavia, per le ragioni sopra esposte, l'uso di un generatore pseudocasuale teoricamente (condizionatamente) sano non è purtroppo una soluzione realistica. Invece, la comunità crittografica si affida alla "peer review" - altri ricercatori che cercano di "rompere" il sistema (la loro definizione di quando si rompe un codice è molto ampia).

Infine, nelle applicazioni in cui il denaro può essere investito e la sicurezza è abbastanza importante - dicono i codici nucleari - le persone usano il rumore generato fisicamente (passato attraverso un estrattore di casualità), anche se anche questo non è al di là delle critiche teoriche.

Quando i ricercatori scrivono proposte di sovvenzione o presentazioni a documenti, spesso affermano che la loro ricerca riguarda e informa la pratica. Che ci credano o sia solo un servizio labiale non lo so (e potrebbe dipendere dal ricercatore), ma dovresti essere consapevole che la connessione è molto esagerata negli ambienti accademici, per ovvie ragioni.

Una cosa che ci limita come ricercatori matematici è il nostro attaccamento dogmatico alla prova formale. Citi l'analisi di algoritmi randomizzati alimentati da semplici generatori pseudocasuali. Questo tipo di analisi non può essere esteso ai problemi del mondo reale, poiché sono semplicemente troppo complicati. Eppure, in pratica, le persone risolvono continuamente anche problemi NP-difficili, con metodi informati.

I problemi del mondo reale sono meglio compresi con un occhio più scientifico e sperimentale. Sono meglio risolti dal punto di vista ingegneristico. Ispirano la ricerca teorica e occasionalmente ne sono informati. Come diceva Dijsktra, l'informatica (teorica) non riguarda più i computer, non più.