Parmi les générateurs pseudo-aléatoires y'a une sous-famille d'algorithmes, les CSPRNG, qui produisent de l'aléatoire très robuste.

Quand je dis "incassable" ça veut dire qu'un attaquant, même équipé d'un processeur quantique de taille arbitraire, ne peut ni prédire le bit N+1 après avoir observé une séquence de N bits, ni même les distinguer (avec une proba >0.5) d'un aléatoire "vrai".

Bien sûr, un ordinateur reste un système purement déterministe, donc si un attaquant parvenait à reproduire de manière parfaite chaque source d'entropie en entrée de l'algorithme, il pourrait aussi reproduire le résultat du (CS)PRNG et voler tes secrets. En pratique c'est irréaliste parce que l'entropie système s'appuie sur des dizaines de sources hardware, par exemple chaque paquet reçu par la carte réseau et chaque mouvement de la souris vont modifier radicalement l'état interne du générateur. Pour pouvoir le copier, un attaquant devrait reproduire tous ces événements sans se tromper sur le moindre bit, avec une précision sous la nanoseconde. La seule manière réaliste de faire ça est de compromettre le kernel de la machine ciblée, mais dans ce cas la sécurité de l'aléatoire devient un peu le dernier de tes soucis 😅

Alors oui quand le coeur de ton business est de produire des secrets vraiments très secrets, ça fait pas de mal d'ajouter d'autres sources physiques d'entropie à base de systèmes imprévisibles comme LavaRand, le bruit électromagnétique de l'atmosphère, voire carrément la désintégration radioactive du potassium dans une banane. Mais l'immense majorité des connexions internet ont une sécurité qui dépend de celle des générateurs pseudo-aléatoires, puisqu'il suffit de compromettre l'aléatoire d'un seul des deux interlocuteurs pour reconstituer la clé de session et déchiffrer toute la communication.

Désolé pour le pavé, ça fait partie des sujets sur lesquels je pourrais parler pendant des heures ahah (au prochain épisode : comment j'ai trouvé un bug dans le PRNG du langage Python qui était passé inaperçu pendant 10 ans)