난수 통계 검사를 통과해도 다음 값을 예측할 수 없다는 뜻은 아니다

0과 1이 같은 횟수로 나타나는 것은 빈도에 관한 관측일 뿐, 다음 비트를 공격자가 예측할 수 없다는 증거가 아닙니다. 010101… 같은 고정 주기는 0과 1을 균형 있게 포함하지만 다음 값은 앞선 값에서 알 수 있습니다.

NIST SP 800-22 문서는 통계 시험이 생성기를 절대 인증하지 못하고 암호분석을 대신하지 않는다고 설명합니다. 엔트로피 원천의 설계·모델·검증은 별도 자료에서 다루며, 이 글은 통계 균형을 보안성으로 바꾸지 않는 판단만 연습합니다.

빈도 균형과 예측 어려움은 다른 질문입니다

동전 던지기 결과에서 앞면과 뒷면이 절반씩 나왔다는 관찰은 빈도에 관한 정보입니다. 암호용 난수에서 묻는 예측 불가능성은 공격자가 지금까지의 정보와 생성 방식에 접근했을 때 다음 출력이나 내부 상태를 추정할 수 있는지에 관한 질문입니다. 둘은 관련이 있을 수 있지만 한쪽을 검사해 다른 쪽을 증명하지 못합니다. 생성기가 완전히 결정적인 규칙으로 균형 비트를 내면 표면적 통계는 그럴듯해 보여도 비밀을 모르는 공격자가 다음 값을 쉽게 맞힐 수 있습니다.

01010101010101010101010101010101
0의 개수: 16
1의 개수: 16
다음 비트 예측: 앞선 비트와 번갈아 나옴

위의 교육용 32비트 문자열에는 0과 1이 각각 16개 있습니다. 단순 빈도 기준만 본다면 한쪽 값으로 쏠리지 않았습니다. 하지만 실제 생성 규칙이 0과 1을 번갈아 출력하는 것이라면 첫 비트를 아는 순간 이후 값을 맞힐 수 있습니다. 이 예시는 NIST의 통계 시험 모음 전체에 반드시 통과한다고 주장하지 않습니다. 한 가지 빈도 특성만으로는 암호학적 안전성을 결론낼 수 없다는 점을 보여 줍니다.

생성기를 평가할 때 질문을 순서대로 좁힙니다

1. 어떤 값을 어떤 목적에 쓸지 확인합니다. 암호 키 재료는 일반 시뮬레이션보다 강한 조건이 필요할 수 있습니다.
2. 통계검사가 보는 표본과 가설을 읽고, 검사한 길이·반복 횟수·생성 설정을 기록합니다.
3. 잡음 원천의 생성 모델, 예측 가능성을 낮추는 설계, 건강성 검사 근거를 따로 살핍니다.
4. 생성기 설계 분석과 구현·운영환경 시험 결과를 확인합니다.
5. 남은 가정, 초기화 실패, 상태 복구, 키·시드 노출 가능성을 별도 위험으로 기록합니다.

NIST SP 800-90B는 난수 비트 생성에 쓰이는 엔트로피 원천의 설계 원칙, 요구사항, 검증 시험을 다룹니다. 원천 평가는 출력의 0·1 비율만 세는 일이 아닙니다. 이 문서의 공식 페이지는 2025년 errata 두 건을 향후 개정에 반영할 계획이라고 안내하므로 세부 구현 요구사항은 여기서 재현하지 않습니다. 통계 시험 문서 SP 800-22의 2010년 갱신판은 2008년판을 대체하며, 2022년 NIST의 개정 결정은 그 후속판을 대상으로 한 별도 공지입니다. 철회된 구판과 대체판을 상태 모순으로 해석하지 않습니다. 2010년판의 초록은 통계 시험이 암호분석을 대신하지 못한다고 설명하고, 2022년 공지는 암호용 난수 생성기 평가에 이 시험을 사용하는 것을 배제하도록 용도를 명확히 할 계획을 밝힙니다.

회상 연습: 빈도 통과의 의미를 제한합니다

교육용 문제입니다. 검사 결과에서 0과 1이 각각 50회 관측되었습니다. 이 결과만으로 다음 값이 예측 불가능하다고 결론낼 수 있나요? 왜 그런가요?

아닙니다. 결과는 관측한 표본의 빈도 균형만 말합니다. 공개된 고정 주기처럼 다음 값을 알려 주는 생성 규칙이 있을 수 있고, 통계 시험만으로 암호분석을 대체할 수 없습니다. 원천·생성기 설계·상태 보호 근거를 별도로 확인해야 합니다.