Kryptografická entropie vyjadřuje nejistotu o hodnotách, z nichž vzniká tajný klíč či stav generátoru. Posuzuje se rozdělení možných vstupů a informace dostupné protivníkovi. Dlouhý výstup může pocházet z malého předvídatelného prostoru; bezpečnost proto začíná u zdroje, pokračuje zpracováním a zahrnuje ochranu stavu.
RFC 4086 rozlišuje obtížnou odhadnutelnost od pouhé statistické nepravidelnosti. Čas spuštění nebo sériové číslo může útočník znát či vyzkoušet v malém rozsahu. Jejich dlouhé zakódování neznamená stejně velký prostor tajemství. Jediný zobrazený klíč neprozradí, jak kvalitně byl vytvořen. [RFC 4086 — Unpredictability and source limitations]
DRBG z tajného počátečního stavu vytváří další výstupy podle algoritmu. To je užitečná kryptografická konstrukce, ale další bajty nejsou automaticky nová fyzikální entropie. Stejný úplný stav a stejné vstupy vedou ke stejnému pokračování. Síla generátoru závisí také na inicializaci a správném použití. [NIST SP 800-90A Rev. 1 — Deterministic generation and reseeding]
NIST SP 800-90B požaduje popis zdroje šumu, jeho závislostí a testů zdraví. Ty kontrolují surový šum při startu i průběžně, před následným zpracováním. Změna prostředí nebo zaseknutý zdroj může předpoklady porušit; selhání musí být oznámeno aplikaci, nikoli vydáváno za dobrá data. [NIST SP 800-90B — Entropy source design and health tests]
Zpracování označované jako conditioning může omezit vychýlení a soustředit dostupnou nejistotu do kratšího výstupu. Zcela známé vstupy však hash nezmění v tajemství. U více zdrojů nelze prostě sečíst jejich odhady, pokud jsou závislé; složitější míchání samo nedokazuje nezávislost ani kvalitu. [NIST SP 800-90B — Entropy source design and health tests] [RFC 4086 — Unpredictability and source limitations]
Kdo získá stav DRBG, může podle konstrukce předvídat jeho další výstupy. Pro obnovení odolnosti proti takové predikci je nutné doplnění dostatečné čerstvé entropie neznámé útočníkovi. Pouhé pokračování algoritmu nebo přidání známého času tuto jistotu nedává. Obnova generátoru navíc nezneplatní už uniklý klíč. [NIST SP 800-90A Rev. 1 — Deterministic generation and reseeding]
BIP39 převádí 128 bitů vstupu a 4 bity kontrolního součtu na 12 slov; u 256 bitů vstupu přidá 8 bitů a vytvoří 24 slov. Kontrolní součet je odvozený, nepřidává entropii. Tyto délky neprokazují kvalitu vstupu a delší seznam nenapraví předvídatelný způsob generování. [BIP39 — Entropy, checksum and mnemonic encoding]
NIST SP 800-22 výslovně neztotožňuje úspěch statistické sady s kryptografickou bezpečností. Test může zachytit určitou odchylku, ale nenahrazuje rozbor algoritmu ani důkaz, že protivník nezná vstup. Výsledek testu nad hotovým souborem není certifikát bezpečnosti peněženky. [NIST SP 800-22 Rev. 1a — Limits of statistical testing]
NIST SP 800-90C spojuje zdroje entropie a DRBG do konstrukcí generátorů. Při hodnocení peněženky proto hledejte konkrétní implementaci, získání a odhad entropie, reakci na chyby a ochranu stavu. Odkaz na standard nebo název čipu sám neprokazuje, že konkrétní vydání tyto požadavky splňuje. [NIST SP 800-90B — Entropy source design and health tests] [NIST SP 800-90C — Complete random bit generator constructions]
Pro nejúplnější obraz čtěte toto heslo společně s Entropy Bit, CSPRNG, Dice Roll Entropy, Privátní klíč. Opačným směrem na něj odkazují také Dice Roll Entropy, Entropy Bit, Brute Force Search Space, Random Number Generator.