BIP85

Anna má hlavní zálohu bezpečně uloženou a chce si zřídit samostatnou peněženku pro drobné platby. Peněženka je aplikace nebo zařízení pro přijímání a odesílání bitcoinů. S BIP85 může vytvořit jinou obnovovací frázi a do telefonu vložit pouze ji. Soukromý klíč je tajný číselný údaj, kterým peněženka vytváří digitální podpis pro schválení útraty. Technicky se začíná rozšířeným soukromým kořenem BIP 32, výchozím bodem stromu klíčů. Ten mohl vzniknout z obnovovacích slov podle BIP 39: slova s případnou passphrase nejprve vytvoří seed, tajný vstup pro výpočet kořene. Tyto názvy popisují různé kroky, ne tutéž věc. BIP85 z kořene vypočítá nová tajná data; neumí z něj zpětně získat původní slova. [1] [2] [3] [5]

Anna si musí poznamenat také volby použité při odvození. Derivation Path je přesný zápis těchto kroků. Příklad m/83696968'/39'/0'/12'/0' označuje BIP85, aplikaci BIP 39, anglický slovník, 12 slov a index 0. Aplikace zde znamená určený způsob zpracování výsledku, nikoli konkrétní mobilní program. Index 1 vytvoří jiného potomka, tedy jinou odvozenou frázi; není to číslo platební adresy uvnitř telefonu. Český slovník má kód 8', bez ohledu na jazyk této stránky. Změna slovníku nebo počtu slov změní cestu a výsledek. Nejde o překlad stejných obnovovacích slov. [1]

Mezivýsledku se říká entropie: v tomto případě data vypočtená z tajného základu, která bez jeho znalosti nemají být předvídatelná. Pro 12 slov se použije prvních 128 bitů výsledku, pro 24 slov prvních 256 bitů. BIP 39 k nim přidá kontrolní součet, pomůcku pro zachycení některých chyb v zápisu, a převede je na slova. Z těch se pak vytváří seed nové peněženky a její klíče. BIP85 tímto samo neurčuje typ adres, jejich cestu ani způsob hledání starých plateb. A delší výsledek nezachrání snadno uhodnutelný původní základ: odvozování do něj nepřidává novou nezávislou náhodnost. [1] [3]

Passphrase je volitelné dodatečné tajemství používané s obnovovacími slovy podle BIP 39. Není to PIN zařízení ani heslo k otevření aplikace. Pokud ji Anna používala u hlavní fráze, potřebuje ji i při obnově stejného vstupního kořene pro BIP85. Jiná rodičovská passphrase znamená jiné potomky. Druhá, samostatná passphrase může být nastavena až k odvozeným slovům v telefonu. Ta mění seed cílové peněženky, nikoli již vytvořená slova. BIP85 tuto cílovou passphrase nezálohuje. Obnovit slova bez ní tedy ještě neznamená obnovit původní peněženku. [3] [4]

Při správné konstrukci a dostatečně silném výchozím tajemství nelze z odvozené fráze v praxi dopočítat hlavní kořen ani tajemství ostatních odvozených peněženek. Únik slov z telefonu proto sám neodhalí hlavní zálohu. Opačný směr ovšem funguje: kdo získá hlavní soukromý kořen a zná potřebné volby, může potomky znovu vytvořit. Případná další cílová passphrase zůstává samostatným tajemstvím. Ztráta hlavního základu zase ohrožuje potomky bez vlastní použitelné zálohy. BIP85 tedy soustřeďuje část odpovědnosti do jednoho místa. Neopravuje kompromitovaný hlavní kořen a samotný export potomka nezabezpečí napadený telefon. [1] [4]

Všechny kroky odvození jsou hardened, tedy vyžadují soukromou část rodičovského klíče. Pouhý xpub, rozšířený veřejný klíč určený k odvozování veřejných klíčů, nestačí. Získaný soukromý klíč k má 32 bajtů. BIP85 ho ještě zpracuje funkcí HMAC-SHA512: kryptografickým výpočtem, který přijímá zprávu a klíč. Zprávou je zde k a klíčem pevný text bip-entropy-from-k; výstup má 64 bajtů. Utajení tedy nezajišťuje tento veřejně známý text, ale soukromý vstup k. Převod odděluje výsledný materiál od odvozeného klíče. Není to doporučení používat tentýž mezilehlý klíč zároveň k podpisům plateb. [1] [2]

Aplikace XPRV umí vytvořit nový rozšířený soukromý klíč. U příkladu m/83696968'/32'/0' tvoří prvních 32 bajtů chain code, doplňující data pro další odvozování, a druhých 32 bajtů soukromý klíč. Jde o opačné pořadí než při běžném vytváření kořene BIP 32. Pokud výsledné číslo klíče není platné, program musí vyvolat chybu a uživatel zvolit další index; nesmí ho potichu považovat za použitelný klíč. HEX je zápis dat šestnáctkovými znaky, WIF je formát soukromého klíče a další aplikace vytvářejí hesla. Každá má vlastní pravidla. Stejně vypadající řetězec proto není důkazem stejného obsahu ani kompatibility. [1] [2]

Dokumentace COLDCARD popisuje odvození a export BIP 39, WIF, XPRV i HEX. Podpora BIP85 ale neznamená podporu všech jeho aplikací v každé verzi zařízení. Zaznamenejte formát, slovník, délku a index spolu s údajem, ze které hlavní peněženky jste vyšli; případné passphrase chraňte jako samostatná tajemství. Před spoléháním na postup ověřte, že lze znovu získat stejná odvozená slova a odpovídající adresy cílové peněženky. Veřejné testovací vektory, tedy známé vstupy s očekávanými výsledky, pomáhají ověřit program, ne vaši soukromou zálohu. BIP85 může správu usnadnit, ale další složitost má smysl jen tehdy, když rozumíte vlastnímu postupu obnovy. [4] [1]