Deterministic RNG

NIST SP 800-90A は初期化、生成、再シードを持つ状態付き DRBG を説明します。再現性の条件は同じ機構、状態、入力列です。元の seed が同じでも、新鮮なエントロピーや異なる追加入力により出力が変わる場合があります。 [NIST SP 800-90A Rev. 1 — State, inputs and reseeding]

RFC 4086 は通常のシミュレーション用生成器が攻撃者に耐えない場合があると警告します。暗号学的に強い列は、出力の一部が分かっても予測困難であるべきです。長い周期や統計検定の合格だけでは証明できません。 [RFC 4086 — Pseudorandom sequences and unpredictability]

libsodium randombytes_buf_deterministic() は同じ seed に同じ列を返し、テストに役立ちます。公開されたテスト用 seed は他者にも再現できます。したがって実際のウォレット用の秘密情報にはなりません。 [libsodium — Deterministic output and VM snapshots]

BIP32 は一つの seed から鍵の木を作り、導出パスも特定の枝を決めます。同じ seed とパスを復元すれば同じ鍵を得られます。さらに導出したアドレス自体が元の秘密へ独立したエントロピーを加えるわけではありません。 [BIP32 — Hierarchical deterministic key derivation]

BIP39 は mnemonic と passphrase から PBKDF2 で seed を導出します。同じ単語でも passphrase が違えば結果は異なります。復元可能性は単語一覧だけでなく、完全な入力と後続の鍵導出に依存します。 [BIP39 — Mnemonic and passphrase to seed]

RFC 6979 は秘密鍵とメッセージから署名値 k を決定論的に生成します。同文書は鍵ペア生成時の乱数の必要性を明確に残しています。この署名段階から新たな乱数入力を除いても、強い初期秘密は必要です。 [RFC 6979 — Deterministic signing and initial key generation]

libsodium は仮想マシンのスナップショット復元で生成器の出力が繰り返される可能性を警告します。これは意図的な BIP32 鍵復元とは別です。ウォレットの同一性の復元と、新たに要求した値の偶発的な反復を区別してください。 [libsodium — Deterministic output and VM snapshots] [BIP32 — Hierarchical deterministic key derivation]

アルゴリズム、バージョン、入力、再シードの動作、期待するテストベクトルを記録します。ベクトルとの一致はその例の確認であり、実機のエントロピー品質の証明ではありません。NIST SP 800-90A は機構と入力エントロピーの要件を分けます。 [NIST SP 800-90A Rev. 1 — State, inputs and reseeding]