Bit entropie je jednotka, kterou popisujeme nejistotu při hádání tajné hodnoty. Pokud jsou dvě možnosti stejně pravděpodobné a útočník neví, která nastala, jde o jeden bit entropie. Čtyři stejně pravděpodobné možnosti znamenají dva bity, šestnáct možností čtyři bity. Není to totéž co počet bitů, které zabírá soubor nebo klíč v paměti.
U férové mince mají obě strany stejnou šanci. Jeden utajený hod má dvě možnosti; dva nezávislé hody čtyři; čtyři hody šestnáct. Každý další nezávislý hod zdvojnásobí počet možných posloupností a přidá jeden bit entropie. Právě tento vztah vyjadřuje vzorec H = log2(N): při N stejně pravděpodobných možnostech dostaneme počet bitů. U 16 možností jsou to 4 bity. Podmínka stejné pravděpodobnosti je důležitá, jak si ukážeme níže. [1] [2]
Teď si místo dalších hodů vezměte jediný výsledek a zapište ho 256krát. Řetězec bude dlouhý 256 bitů, ale pořád existují jen dvě možnosti: samé nuly nebo samé jedničky. Skutečné tajemství má stále jen 1 bit entropie. Opakování nevytvořilo nové nezávislé volby. Stejný problém může nastat méně nápadně, když spolu jednotlivá měření souvisejí. Odhad entropie jednoho vzorku proto nelze bez ověření nezávislosti jednoduše násobit počtem vzorků. [1]
Stejnou hodnotu můžete zapsat běžnými číslicemi, slovy nebo hexadecimálně. Hexadecimální zápis používá číslice a písmena A až F; jde jen o jiný způsob zápisu čísla, ne o nové tajemství. Ani hash, tedy otisk dat vypočítaný určitou funkcí, sám nepřidá další neznámé možnosti. Pokud vznikl z malého okruhu vstupů, může útočník tyto vstupy postupně zkoušet a porovnávat jejich otisky. Zná-li vstup přesně, vypočítá stejný výsledek. Proto záleží především na tom, jak tajná hodnota vznikla, ne na tom, jak složitě vypadá. [1] [2]
U BIP39 představuje 12 slov zápis 128 bitů vstupu a 4 bitů kontrolního součtu, celkem 132 bitů. U 24 slov je to 256 plus 8, celkem 264 bitů. Kontrolní bity se dopočítají; nejsou dalšími nezávislými tajnými volbami. Těchto 128 či 256 bitů navíc předpokládá kvalitní způsob vytvoření vstupu. Když si slova vyberete sami podle oblíbeného příběhu, jejich počet takovou entropii nezaručuje. [3]
Představte si 128 nezávislých tajných bitů, z nichž každý vznikl jako férový hod mincí. Pokud zveřejníte 32 konkrétních bitů, v tomto modelu jich zbývá neznámých 96. Není to obecné pravidlo pro každý únik: záleží, jakou informaci prozradíte a jak hodnoty souvisejí. Seed je tajný výchozí údaj, ze kterého peněženka odvozuje klíče. Kdo zná celý seed, nemusí ho vůbec hádat. Pro něj je nejistota nulová, i když byl seed původně vytvořen dokonale. [1] [2]
Dosud byly všechny možnosti stejně pravděpodobné. U vychýleného zdroje ale útočník nejspíš zkusí nejběžnější výsledek jako první. Min-entropie měří právě výhodu takového prvního tipu: Hmin = -log2(pmax), kde pmax je pravděpodobnost nejčastějšího výsledku. Pokud je to 3/4, vychází asi 0,415 bitu. Existuje i Shannonova entropie, která popisuje průměrnou informační hodnotu. Nejde o stejnou míru ani o přesný průměrný počet pokusů potřebných k prolomení tajemství. [1] [2]
Útočník nemusí jen hádat původní vstup; může se snažit využít matematické vlastnosti algoritmu. Proto se odlišují bity entropie, délka klíče a bezpečnostní síla. U kryptografie s eliptickými křivkami (ECC) závisí bezpečnost na obtížnosti určité matematické úlohy. NIST SP 800-57 například v klasickém srovnání přiřazuje ECC s velikostí klíče 256 až 383 bitů bezpečnostní sílu 128 bitů. Nejde o posouzení konkrétní peněženky ani o tvrzení, že každý 256bitový klíč poskytuje 256bitovou bezpečnost. [4]
U podobného tvrzení se ptejte: jaká míra entropie se používá, z jakého zdroje odhad pochází a co může znát útočník? NIST SP 800-90B posuzuje zdroj a jeho vzorky včetně závislostí a chování po restartu. Výsledek měření jednoho souboru není záruka pro každé zařízení a všechny budoucí podmínky. Samotná min-entropie také nedává přesný čas útoku. Číslo je užitečné tehdy, když známe jeho předpoklady. [1]
Pro nejúplnější obraz čtěte toto heslo společně s Cryptographic Entropy, Brute Force Search Space, Seed Phrase, Private Key. Opačným směrem na něj odkazují také Dice Roll Entropy, Cryptographic Entropy, Brute Force Search Space.