Sayı Üretici

Rastgele sayı üretici (RNG), önceden üretilmiş sayılara bakarak herhangi bir desen veya kural tahmin edilemeyen, tamamen bağımsız sayılar elde etme sürecini sağlayan araçtır. Bu sayılar, özel bir algoritma veya donanımsal bir cihaz tarafından üretilebilir.

Rastgele Sayı Üreticilerinin Kullanımı

Rastgele sayı üretimi, bilgisayar oyunlarından günlük dijital uygulamalara kadar birçok farklı alanda kritik bir rol oynar. Örneğin sistemler, bir web sitesinde ziyaretçilere rastgele bir reklam banner'ı veya farklı reklam üniteleri göstermek için rastgele sayı oluşturucu algoritmaları kullanır. Kriptografi dünyasında ise bu sayılar, kırılması zor benzersiz şifreler ve güvenlik anahtarları oluşturmak için vazgeçilmezdir.

Rastgele sayı üreticileri; güvenlik doğrulama adımları (CAPTCHA) için harf ve rakam dizileri oluşturmak, verileri şifrelemek, parolaları güvenle saklamak amacıyla kriptografik tuz (salt) değerleri üretmek, güçlü parolalar yaratmak, çevrimiçi kumarhanelerde kartların dağıtılma sırasını belirlemek, algoritmik karar verme süreçleri, istatistiksel örnekleme ve simülasyonlar gibi geniş bir yelpazede kullanılır.

Video oyunlarında rastgele sayı üretici algoritmalarına sıklıkla rastlanır. Bir oyunda aynı seviyeyi tekrar tekrar oynasanız bile, deneyiminiz hiçbir zaman tam olarak aynı olmaz. Konumlar ve temel görevler sabit kalsa da; düşmanların ortaya çıkma sıklığı, belirdikleri noktalar, anlık hava durumu değişiklikleri veya karşınıza çıkan engellerin türü sürekli değişebilir. Bu dinamik yapı, oyunların çok daha heyecan verici ve sürükleyici olmasını sağlar.

Rastgele ve Rastgele Olmayan Diziler Arasındaki Fark

Şöyle bir sayı dizisi hayal edin: 1, 2, 3, 4, 5. Sizce bu rastgele midir?

Matematiksel olarak rastgele bir değişken, bir deneyin veya sürecin sonucunda belirli değerlerden herhangi birini alabilen değişkendir. En önemli özelliği ise, bir sonraki değerin ortaya çıkmadan önce kesin bir doğrulukla tahmin edilememesidir.

Diyelim ki yukarıdaki sayılar, standart bir klavyenin üst sırasındaki tuşlara sırayla basılarak elde edildi. Bu durumda bu kombinasyonun rastgele olmadığı açıkça ortaya çıkar; çünkü 5'ten sonra 6 sayısının geleceği yüksek bir olasılıkla tahmin edilebilir.

Bir sayı dizisinin gerçekten rastgele kabul edilebilmesi için, semboller veya sayılar arasında hiçbir mantıksal bağımlılık olmaması gerekir.

Başarılı bir rastgele sayı üreticisi için en temel koşul, sistemin üretebileceği herhangi bir sayının kesinlikle eşit gerçekleşme olasılığına sahip olmasıdır. Bu durum, rastgelelik faktörünün tam bağımsız olduğunu; üretilen sayının, kendinden önce veya sonra gelen sayılardan hiçbir şekilde etkilenmediğini gösterir.

Örneğin, altı yüzlü hilesiz bir zarı ilk kez attığınızda, 1 ile 6 arasındaki herhangi bir sayının gelme olasılığı tamamen aynıdır. Zarı ister ikinci, ister yüzüncü, isterseniz de bininci kez atın, sonuç ne olursa olsun daha önce elde ettiğiniz sonuçlar, zarı bir sonraki atışınızda aynı sayıyı elde etme şansınızı değiştirmez.

Pi sayısının rakam dizilimi kendini tekrar etmeyen, sonsuz bir yapıya sahiptir ve birçok kişiye tamamen rastgele gibi görünebilir. Diyelim ki varsayımsal bir rastgele sayı üreticimiz, nereden başladığını gizleyerek Pi'nin ikili (bit) dizilimine dayanarak sayılar üretiyor. Böyle bir üretici birçok bağlamda öngörülemez olabilir ve rastgelelik için uygulanan belirli istatistiksel testleri başarıyla geçebilir. Ancak, kriptografik güvenlik amaçları için Pi sayısına güvenmek büyük riskler taşır. Kötü niyetli bir saldırgan, kullanılan Pi segmentinin (bölümünün) yerini tespit ederse, dizinin hem önceki hem de sonraki kısımlarını kolayca tahmin edebilir ve böylece tüm sistemin güvenliğini tehlikeye atabilir.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), donanım veya yazılım tabanlı üreticiler tarafından oluşturulan bitlerin rastgelelik kalitesini ölçmek amacıyla "Kriptografik Uygulamalar için Rastgele ve Sözde Rastgele Sayı Üreticilerine Yönelik İstatistiksel Test Paketi"ni önermiştir. Bu paket, sistemlerin rastgelelik seviyesini bilimsel olarak kanıtlamak için tasarlanmış 15 farklı istatistiksel test içerir.

Rastgele Sayı Üreticilerinin Türleri

Temel olarak iki tür rastgele sayı üreticisi (RNG) bulunmaktadır: Gerçek Rastgele Sayı Üreticileri (TRNG) ve Sözde Rastgele Sayı Üreticileri (PRNG). TRNG'ler, sayıları üretmek için öngörülemez fiziksel olayları temel alırken; PRNG'ler matematiksel algoritmalar kullanır.

Gerçek rastgele sayı üretici (TRNG) algoritması, donanımsal cihazlar aracılığıyla entropi olarak bilinen küçük çaplı fiziksel süreçlerden yararlanarak rastgele sayılar üretir. Bu bağlamda entropi, saf ve filtrelenmemiş kaos anlamına gelir.

Gerçek rastgele sayı üreticileri genellikle aşağıdaki gibi fiziksel olaylardan beslenir:

• radyoaktif bozunma,
• termal gürültü,
• elektromanyetik gürültü,
• kuantum mekaniği dalgalanmaları ve diğerleri.

Gerçek bir RNG donanımı, dünya genelinde yüksek güvenlik gerektiren gelişmiş sistemlerde ve kritik şifreleme yöntemlerinde yaygın olarak kullanılmaktadır.

Rastgele sayı üreticileri, bu tarz entropi kaynaklarından yararlanarak kaos biriktirir ve sürecin başlaması için üreticiye gereken güvenli başlangıç değerini (tohum / seed) elde eder.

Sözde rastgele sayı üretici (PRNG) algoritması ise aşırı güvenlik endişesi taşımayan alanlarda tercih edilir. Buradaki rastgelelik, döngüsel tekrarları önlemeye ve süreci son kullanıcı için daha dinamik hale getirmeye yarar. Sözde rastgele sayı üreticilerinin teknolojisini uygulamak hem çok daha ucuz hem de daha hızlıdır; çünkü karmaşık bir donanıma ihtiyaç duymazlar ve herhangi bir programlama koduna kolayca entegre edilebilirler. Süreç, saf kaos yerine belirli bir algoritmaya dayandığından tamamen rastgele olmasa da, oyunlar ve gündelik yazılımlar için oldukça uygundur.

PRNG, diziyi başlatmak için tek bir başlangıç değeri (tohum) kullanır. Gerçek rastgele sayı üreticilerinde ise durum farklıdır; sürekli olarak çeşitli entropi kaynaklarından yüksek kaliteli, anlık ve öngörülemez yeni değerler sağlanarak her zaman gerçek anlamda rastgele bir sayı üretilir.

Sözde rastgele sayı üretiminin bazı büyük dezavantajları vardır. Eğitimsiz bir göz için sonuçlar rastgele gibi görünür ve işe yararlar. Ancak, belirli bir PRNG dizisi için başlangıç değerini ve kullanılan algoritmayı biliyorsanız, bir sonraki sayıların ne olacağını kesin olarak tahmin edebilirsiniz.

Hız koşusu (speedrun) yapan video oyunu meraklıları, "PRNG manipülasyonu" adını verdikleri bu zafiyeti sıkça kendi avantajlarına kullanırlar. Oyundaki rastgeleliği kendi lehlerine tahmin edilebilir hale getirerek seviyeleri mümkün olan en kısa sürede tamamlarlar. Neyse ki oyunlarda yaşanan bu durum, herhangi bir hayati güvenlik sorununa yol açmaz.

Ancak, rastgele sayıları tahmin etmenin devasa krizlere neden olabileceği durumlar da vardır. Özellikle güvenlik anahtarları oluştururken bir PRNG kullanmak büyük bir risktir.

Örneğin bir saldırgan, TLS sertifikalarında RSA şifreleme anahtarları oluşturmak için kullanılan başlangıç değerini kırmayı başarırsa, ilgili ağ trafiğinin şifresini tamamen çözebilir. Bu, internet üzerinden gönderilen parolaların ve diğer kişisel hassas bilgilerin doğrudan saldırganın eline geçebileceği anlamına gelir.

İşte tam da bu durumlarda, rastgele sayıları elde etmenin çok daha güvenli bir yolu olan, yani Gerçek Bir Rastgele Sayı Üreticisi donanımına (TRNG) ihtiyaç duyulur.

Google'ın Üreticisi

Google'ın, JavaScript tabanlı çalışan kendi dahili bir rastgele sayı üreticisi bulunmaktadır. Bu araç, arkadaşlarla veya ailenizle kutu oyunları oynarken, kura çekerken veya hızlıca bir sayı belirlemeniz gerektiğinde oldukça kullanışlıdır. Google arama çubuğuna basitçe "rastgele sayı üretici" yazdığınızda bu pratik aracı bulabilir ve anında kullanabilirsiniz.

Doğrusal Kongrüansiyel Yöntem

Sözde rastgele sayı üreticileri (PRNG) için en köklü ve popüler algoritmaların başında Doğrusal Kongrüansiyel Yöntem (Linear Congruential Generator - LCG) gelir. Bu yöntem, algoritma sadeliği nedeniyle basit uygulamalarda sıkça kullanılsa da hiçbir kriptografik güvenliğe sahip değildir. Derrick Henry Lehmer, bu yöntemi 1949 yılında literatüre kazandırmıştır.

Bu yöntemle bir rastgele sayı dizisi üretimi gerçekleştirmek için dört temel sayı (parametre) seçmemiz gerekir:

m > 0, modül

0 ≤ a ≤ m, çarpan

0 ≤ c ≤ m, artış

0 ≤ X₀ ≤ m, başlangıç sayısı (tohum)

Rastgele sayı dizisinin kendisi, aşağıdaki formül kullanılarak adım adım üretilir:

Xₙ₊₁ = (aXₙ + c) mod m

Bu algoritmada elde edilecek dizinin kalitesinin, tamamen seçilen parametrelere bağlı olduğunu belirtmek son derece önemlidir.

Örneğin, aşağıdaki parametre seti için:

X₀ = 3, a = 4, c = 5, m = 6

Oldukça kısa ve hemen kendini tekrarlayan bir dizi elde ederiz:

3, 5, 1, 3, 5, 1

Bu sonuç, istatistiksel olarak rastgele görünmez.

Ancak parametreleri bilinçli bir şekilde değiştirdiğimizde:

X₀ = 2, a = 85, c = 507, m = 1356

Sonuçların dağılımı anında çok daha öngörülemez bir yapıya bürünür. Başarılı sonuçlar almak için bu algoritmada kullanılacak sayılar özel bir dikkatle seçilmelidir.

2, 677, 1100, 443, 194, 725, 1112, 107, 110, 365, 344, 1271, 62, 353, 680, 1355, 422, 1121, 872, 47, 434, 785, 788, 1043, 1022, 593, 740, 1031, 2, 677, 1100, 443, 194, 725, 1112, 107, 110, 365...

Doğrusal kongrüansiyel yöntem, istatistiksel açıdan başarılı bir sözde rastgele sayı dizisi üretse de, kriptografik olarak güvenli (CSPRNG) değildir. Doğrusal kongrüansiyel yönteme dayalı üreticiler matematiksel olarak tersine mühendislikle tahmin edilebilir yapıdadır, bu nedenle onları asla kriptografi uygulamalarında kullanamazsınız.

Bu yönteme dayanan üreticilerin kırılganlığı ilk olarak 1977'de Jim Reeds, ardından 1982'de Joan Boyar tarafından kanıtlanmıştır. Boyar ayrıca, ikinci ve üçüncü dereceden üreticileri de kırmayı başararak uyumlu (kongrüansiyel) yöntemlerin bilgi güvenliği alanında kullanışsız olduğunu literatüre kazandırmıştır. Buna rağmen, hız ve verimliliklerinden dolayı simülasyon modelleri veya kriptografik olmayan uygulamalar için hala oldukça popülerdirler. Sistem yükü yaratmadan verimli çalışırlar ve çoğu deneysel istatistik testinde kabul edilebilir performans sergilerler.

Modern Donanım Rastgele Sayı Üreticileri

QRBG121

Bu cihazdaki rastgelelik kaynağı, yarı iletkenlerde gerçekleşen foton yayılımının kuantum fiziksel sürecine ve ardından bu fotonların tek tek algılanmasına dayanır. Süreç boyunca fotonlar birbirlerinden tamamen bağımsız ve rastgele aralıklarla algılanır. Sensörler, algılanan bu fotonların zamanlama verilerini işleyerek öngörülemez bitler üretir.

Lav Lambaları

Siber güvenlik devi Cloudflare'ın San Francisco ofisinde, "lav lambaları" (lava lamps) kullanılarak tasarlanmış bir rastgele sayı üreticisi duvarı bulunmaktadır. Bu lambalar, şeffaf yağ ve yarı saydam parafin (mum) ile doludur. Parafin normalde yağdan biraz daha ağırdır, ancak lamba tabanından ısındığında hafifleyerek rastgele baloncuklar oluşturur ve yukarı doğru yükselir.

Sıvıların içindeki bu tamamen kaotik hareket, saniye saniye anlık görüntüler çeken birkaç kamera tarafından izlenir. Bu görüntülerdeki pikseller sayısal verilere dönüştürülür ve elde edilen öngörülemez entropi, dünyadaki web trafiğinin büyük bir bölümünü koruyan şifreleme anahtarlarının üretiminde kullanılır.

Cloudflare'ın diğer iki ofisi de rastgele değerler elde etmek için farklı fiziksel yöntemlerden yararlanır. Londra ofisinde üç adet kaotik sarkacın öngörülemez hareketlerini kaydeden bir kamera bulunurken; Singapur ofisinde küçük bir uranyum parçasının radyoaktif bozunmasını ölçen bir Geiger sayacı aktif olarak çalışmaktadır. Uranyum örneğindeki radyoaktif ışıma, her bir atomik bozunma eyleminin doğası gereği mükemmel bir rastgelelik barındırdığı için kusursuz bir "veri kaynağı" oluşturur.

HotBits

HotBits, iyonlaştırıcı radyasyonu hassas bir şekilde kaydeden bir Geiger sayacı ile üretilen "gerçek" rastgele sayıları dileyen herkesle paylaşan bir platformdur. Sitede yer alan istek formunu doldurarak ihtiyacınız olan rastgele bayt miktarını ve verileri alma yönteminizi belirtebilirsiniz. Sistem, ürettiği gerçek rastgele sayıları müşteriye ilettiği an kalıcı olarak kendi sunucularından silerek tam güvenlik sağlar.

Vakum Kuantum Dalgalanmaları

Adının kökenine ("vacuus" - boş) rağmen, fizik biliminde vakum tamamen boş kabul edilemez. Heisenberg'in belirsizlik ilkesine göre, vakum ortamında dahi sanal parçacıklar durmaksızın doğar ve yok olurlar.

Kanadalı fizikçiler, vakum içindeki bu mikroskobik dalgalanmalara dayanarak son derece hızlı ve yapısal olarak oldukça basit bir rastgele sayı üreticisi tasarladılar. Bu sistem; yüksek frekansta radyasyon yayan darbeli bir lazer, yüksek kırılma indeksine sahip kristal bir ortam (elmas) ve hassas bir sensörden (detektör) oluşur. Elmasın içinden geçen her lazer darbesi, fotonların yolunda karşılaştığı kuantum vakum alanı dalgalanmalarına bağlı olarak sensörde farklı ve benzersiz özellikler gösterir.

Saçılan radyasyonun spektrumunda belirgin çizgiler ortaya çıkar. Vakum dalgalanmalarının evrendeki en öngörülemez olaylardan biri olması nedeniyle, bu çizgiler her ölçümde tahmin edilemez şekillerde farklılık göstererek mükemmel bir entropi kaynağı sağlar.

Karbon Nanotüp Üretici

Bu yenilikçi teknoloji, donanımsal kompaktlık ile termal gürültünün doğal rastgeleliğini birleştirir.

Araştırmacılar, yarı iletken karbon nanotüpler barındıran özel mürekkepler kullanarak statik rastgele erişimli bellek (SRAM) hücresinden oluşan ince bir rastgele sayı üreticisi inşa ettiler. Bu bellek hücresi, sıcaklık kaynaklı termal gürültü dalgalanmalarını işleyerek rastgele bitler üretmektedir.

Karbon nanotüp tabanlı bu üreticiler, esnek plastik zeminler üzerine yazıcı ile basılabilecek kadar esnektir. Bu sayede küçük boyutlu elektronik cihazlara, giyilebilir sensörlere, tek kullanımlık akıllı etiketlere ve akıllı tekstil ürünlerine kolaylıkla entegre edilebilirler.

Zarlar ve Elektronik Frontier Vakfı (EFF)

Dijital haklar savunucusu EFF (Elektronik Frontier Vakfı), tamamen fiziksel bir rastgele sayı üreticisi (zarlar) kullanarak yüksek güvenlikli parolalar oluşturmanın pratik bir yolunu geliştirmiştir.

Bu yöntem zarlar üzerine kuruludur. Örneğin elinize beş adet zar alır ve hepsini aynı anda atarsınız. Çıkan sonuçları soldan sağa doğru bir kağıda yazarsınız. Diyelim ki sonuç: 63131 oldu. Ardından EFF'nin web sitesindeki uzun kelime listesini açıp, 63131 sayısına karşılık gelen kelimeyi bulursunuz. Bu kelimenin "turbofan" olduğunu varsayalım.

Bu işlemi birkaç kez, örneğin beş kez tekrarladığınızda, tamamen rastgele kelimelerden oluşan güçlü bir "parola cümlesi (passphrase)" elde edebilirsiniz. Sonuç: "turbofan arındırma uygunsuz deneme budama" gibi bir ifade olabilir. Klasik ve karmaşık karakterlerden oluşan parolalara kıyasla çok daha yüksek güvenlik sunan bu tür ifadeleri, mnemonik (hafıza teknikleri) kurallarını kullanarak ezberlemek insan beyni için oldukça kolaydır.

Bir Nokia Akıllı Telefonundan Kuantum Rastgele Sayı Üretici

2014 yılında Cenevre Üniversitesi araştırmacıları, yalnızca eski bir Nokia N9 akıllı telefonun kamerasını kullanarak başarılı bir Kuantum Rastgele Sayı Üreticisi (QRNG) cihazı yaratmayı başardılar.

Araştırmacılar, telefon kamerasını her piksele çarpan foton sayısını sayacak şekilde modifiye ettiler. Işık kaynağı olarak sıradan ve standart bir LED kullanıldı. Kameranın 8 Megapiksellik sensöründeki her bir piksel, çok kısa bir süre içinde yaklaşık 400 foton tespit etti. Tüm piksellerdeki toplam foton sayısı dalgalanmaları, mükemmel kalitede bir rastgele sayı dizisine dönüştürülerek akıllı telefon kamerasından yüksek standartlı entropi elde edildi.