Ein Computer erzeugt Zufallszahlen entweder mit einer entsprechenden Hardwarelösung oder über „zufällige“ Ereignisse wie Interrupts z.B. weil der Mauszeiger sich bewegt hat.

Zufallszahlen werden verbraucht, wenn z.B. Kryptographie-Schlüssel erzeugt werden. Inzwischen verbraucht aber auch jeder Prozeßstart Eintropien, weil aus /dev/random gelesen wird und so Entropien verbraucht werden.

Speziell auf virtuellen Maschinen steht oft nicht genügend Entropie bereit, um beim Thema Kryptographie z.B. effizient Schlüssel in kurzer Zeit zu generieren.

Nachfolgender Befehl gibt die aktuell verfügbaren Entropien aus:

# cat /proc/sys/kernel/random/entropy_avail
183

HINWEIS - Ein Wert zwischen 0 und 200 ist bedenklich!

Abhilfe kann hier der Dienst/Daemon haveged (HArdware Volatile Entropy Gathering and Expansion Daemon) schaffen, de er dieses Problem löst, indem er Zufallszahlen tatsächlich unvorhersehbar, zufällig produziert und nicht vorhersehbar zufällig wie unter /dev/urandom.

haveged läuft als Dienst/Daemon und überwacht die verfügbare Anzahl von Zufalls-Bits. Wird ein eingestellter Schwellwert unterschritten, erzeugt haveged neue Zufalls-Bits. Der Zugewinn durch die höhere Entropie überwiegt bei weitem die Last, die haveged zusätzlich auf das System bringt.

Ab hier werden zur Ausführung nachfolgender Befehle root-Rechte benötigt. Um der Benutzer root zu werden, melden Sie sich bitte als root-Benutzer am System an, oder wechseln mit nachfolgendem Befehl zum Benutzer root:

$ su -
Password:

Nachfolgend soll das Drittanbieter-Repository EPEL, wie unter nachfolgendem internen Link dargestellt, eingebunden werden:

• EPEL CentOS 7

Nachfolgendes rpm-Paket ist zur Installation erforderlich:

• haveged - ist im epel-Repository des Drittanbieters EPEL enthalten

Die Installation von haveged, kann durch ausführen des nachfolgenden Befehls durchgeführt werden:

# yum install haveged
Loaded plugins: changelog, priorities
base                                                     | 3.6 kB     00:00     
epel                                                     | 4.3 kB     00:00     
extras                                                   | 3.4 kB     00:00     
icinga-stable-release                                    | 2.5 kB     00:00     
updates                                                  | 3.4 kB     00:00     
125 packages excluded due to repository priority protections
Resolving Dependencies
--> Running transaction check
---> Package haveged.x86_64 0:1.9.1-1.el7 will be installed
--> Finished Dependency Resolution

Changes in packages about to be updated:


Dependencies Resolved

================================================================================
 Package           Arch             Version                Repository      Size
================================================================================
Installing:
 haveged           x86_64           1.9.1-1.el7            epel            61 k

Transaction Summary
================================================================================
Install  1 Package

Total download size: 61 k
Installed size: 181 k
Is this ok [y/d/N]: y
Downloading packages:
haveged-1.9.1-1.el7.x86_64.rpm                             |  61 kB   00:00     
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
  Installing : haveged-1.9.1-1.el7.x86_64                                   1/1 
  Verifying  : haveged-1.9.1-1.el7.x86_64                                   1/1 

Installed:
  haveged.x86_64 0:1.9.1-1.el7                                                  

Complete!

Die Installation von haveged, kann durch ausführen des nachfolgenden Befehls durchgeführt werden:

# rpm -qil haveged
Name        : haveged
Version     : 1.9.1
Release     : 1.el7
Architecture: x86_64
Install Date: Thu 10 Nov 2016 04:25:21 PM CET
Group       : System Environment/Daemons
Size        : 185694
License     : GPLv3+
Signature   : RSA/SHA256, Thu 20 Feb 2014 04:41:19 AM CET, Key ID 6a2faea2352c64e5
Source RPM  : haveged-1.9.1-1.el7.src.rpm
Build Date  : Thu 20 Feb 2014 01:12:49 AM CET
Build Host  : buildvm-25.phx2.fedoraproject.org
Relocations : (not relocatable)
Packager    : Fedora Project
Vendor      : Fedora Project
URL         : http://www.irisa.fr/caps/projects/hipsor/
Summary     : A Linux entropy source using the HAVEGE algorithm
Description :
A Linux entropy source using the HAVEGE algorithm

Haveged is a user space entropy daemon which is not dependent upon the
standard mechanisms for harvesting randomness for the system entropy
pool. This is important in systems with high entropy needs or limited
user interaction (e.g. headless servers).

Haveged uses HAVEGE (HArdware Volatile Entropy Gathering and Expansion)
to maintain a 1M pool of random bytes used to fill /dev/random
whenever the supply of random bits in /dev/random falls below the low
water mark of the device. The principle inputs to haveged are the
sizes of the processor instruction and data caches used to setup the
HAVEGE collector. The haveged default is a 4kb data cache and a 16kb
instruction cache. On machines with a cpuid instruction, haveged will
attempt to select appropriate values from internal tables.
/usr/lib/systemd/system/haveged.service
/usr/lib64/libhavege.so.1
/usr/lib64/libhavege.so.1.1.0
/usr/sbin/haveged
/usr/share/doc/haveged
/usr/share/doc/haveged/AUTHORS
/usr/share/doc/haveged/COPYING
/usr/share/doc/haveged/ChangeLog
/usr/share/doc/haveged/README
/usr/share/doc/haveged/havege_sample.c
/usr/share/man/man8/haveged.8.gz

Um den haveged der als Dienst/Deamon als Hintergrundprozess läuft, auch nach einem Neustart des Servers zur Verfügung zu haben, soll der Dienst/Daemon mit dem Server mit gestartet werden, was mit nachfolgendem Befehl realisiert werden kann:

# systemctl enable haveged
Created symlink from /etc/systemd/system/multi-user.target.wants/haveged.service to /usr/lib/systemd/system
/haveged.service.

Eine Überprüfung, ob beim Neustart des Server der haveged-Dienst/Deamon wirklich mit gestartet wird, kann mit nachfolgendem Befehl erfolgen und sollte eine Anzeige, wie ebenfalls nachfolgend dargestellt ausgeben:

# systemctl list-unit-files --type=service | grep -e haveged
haveged.service                             enabled

bzw.

# systemctl is-enabled haveged
enabled

Um den haveged zu starten kann nachfolgender Befehl angewandt werden:

# systemctl start haveged

Eine Überprüfung ob der Start des haveged erfolgreich war kann mit nachfolgendem Befehl durchgeführt werden, welcher eine Ausgabe in etwa wie nachfolgende erzeugen sollte:

# systemctl status haveged
● haveged.service - Entropy Daemon based on the HAVEGE algorithm
   Loaded: loaded (/usr/lib/systemd/system/haveged.service; enabled; vendor preset: disabled)
   Active: active (running) since Thu 2016-11-10 16:27:25 CET; 5s ago
     Docs: man:haveged(8)
           http://www.issihosts.com/haveged/
 Main PID: 4400 (haveged)
   CGroup: /system.slice/haveged.service
           └─4400 /usr/sbin/haveged -w 1024 -v 1 --Foreground

Nov 10 16:27:25 server20.idmz.tachtler.net systemd[1]: Started Entropy Daemon...
Nov 10 16:27:25 server20.idmz.tachtler.net systemd[1]: Starting Entropy Daemo...
Nov 10 16:27:26 server20.idmz.tachtler.net haveged[4400]: haveged: ver: 1.9.1...
Nov 10 16:27:26 server20.idmz.tachtler.net haveged[4400]: haveged: cpu: (VC);...
Nov 10 16:27:26 server20.idmz.tachtler.net haveged[4400]: haveged: tot tests(...
Nov 10 16:27:26 server20.idmz.tachtler.net haveged[4400]: haveged: fills: 0, ...
Hint: Some lines were ellipsized, use -l to show in full.

bzw. mit nachfolgendem Befehl, ob der Dienst/Daemon in der Prozessliste erscheint:

# ps aux | grep haveged
root      4400  0.8  0.3  12288  3860 ?        Ss   16:27   0:00 /usr/sbin/haveged -w 1024 -v 1 --Foreground
root      4492  0.0  0.0 112648   932 pts/0    R+   16:28   0:00 grep --color=auto haveged

Vor der Installation von haveged konnte folgendes Ergebnis bei der Ermittlung der Entropien erzielt werden.

Nachfolgender Befehl gibt die aktuell verfügbaren Entropien VOR der Instalaltion von haveged aus:

# cat /proc/sys/kernel/random/entropy_avail
183

HINWEIS - Ein Wert zwischen 0 und 200 ist bedenklich!

Nachfolgender Befehl gibt die aktuell verfügbaren Entropien NACH der Instalaltion von haveged aus:

# cat /proc/sys/kernel/random/entropy_avail
2263