Deterministic Random Bit Generators (DRBGs) are essential tools in modern cryptography for generating secure and unpredictable random numbers. The ISO DRBG standards provide guidelines for designing and implementing DRBGs, including four algorithms: $\mathsf{HASH}\text{-}\mathsf{DRBG}$, $\mathsf{HMAC}\text{-}\mathsf{DRBG}$, $\mathsf{CTR}\text{-}\mathsf{DRBG}$, and $\mathsf{OFB}\text{-}\mathsf{DRBG}$. While security analyses have been conducted for the former three algorithms, there is a lack of specific security analysis for the $\mathsf{OFB}$-$\mathsf{DRBG}$ algorithm. We prove its security in the robustness security framework that has been used to analyze $\mathsf{CTR}\text{-}\mathsf{DRBG}$ by Hoang and Shen at Crypto 2020.
More precisely, we proves that $\mathsf{OFB}$-$\mathsf{DRBG}$ provides $O(\min\left\{ \frac{\lambda}{3}, \frac{n}{2} \right\})$-bit security, including ideal cipher queries, where $\lambda$ and $n$ denote the lower bound of min-entropy and the size of the underlying block cipher, respectively. The proof strategy is to transform the robustness game of $\mathsf{OFB}$-$\mathsf{DRBG}$ into an indistinguishability game and then apply the H-coefficient technique to upper bound the distinguishing advantage.
결정론적 의사 난수 발생기(DRBG)는 안전하고 예측하기 어려운 난수를 생성하기 위한 현대 암호화의 필수 도구이다. ISO의 결정론적 의사 난수 발생기 국제 표준에는 $\mathsf{HASH}\text{-}\mathsf{DRBG}$, $\mathsf{HMAC}\text{-}\mathsf{DRBG}$, $\mathsf{CTR}\text{-}\mathsf{DRBG}$와 $\mathsf{OFB}$-$\mathsf{DRBG}$ 등을 포함하여 결정론적 의사 난수 발생기의 설계 및 구현을 위한 지침을 제공한다. 앞선 세 개의 알고리즘에 대한 안전성 분석이 수행되었으나, $\mathsf{OFB}$-$\mathsf{DRBG}$알고리즘에 대한 안전성 분석은 충분히 이루어지지 않았다. 그렇기에, 우리는 Crypto 2020에서 Hoang과 Shen이 $\mathsf{CTR}\text{-}\mathsf{DRBG}$를 분석하는 데 사용한 강건성 안전성 분석 프레임워크에서 $\mathsf{OFB}$-$\mathsf{DRBG}$의 안전성을 분석했다.
본 연구의 결과로,$\mathsf{OFB}$-$\mathsf{DRBG}$가 $O(\min\left\{ \frac{\lambda}{3}, \frac{n}{2} \right\})$-만큼의 비트 안전성을 제공한다는 것을 증명했다. 이는 이상적인 블록 암호 질의를 포함하며, $\lambda$ 및 $n$은 각각 최소 엔트로피의 하한과 사용한 블록 암호의 출력 크기를 나타낸다. 주요히 사용한 증명 전략은 $\mathsf{OFB}$-$\mathsf{DRBG}$의 강건성 게임을 구별 불가능성 게임으로 변환한 다음, H-Coefficient 기법을 적용하여 구별 어드밴티지의 상한을 구하는 것이다.
