BIP85

Anna bewahrt ihr Hauptbackup sicher auf und möchte eine getrennte Wallet für kleine Zahlungen. Eine Wallet ist eine Anwendung oder ein Gerät zum Empfangen und Senden von Bitcoin. BIP85 kann dafür andere Wiederherstellungswörter erzeugen; nur diese importiert sie ins Handy. Ein privater Schlüssel ist ein geheimer Zahlenwert, mit dem die Wallet eine digitale Signatur zur Freigabe einer Ausgabe erstellt. Technisch beginnt das Verfahren mit einer erweiterten privaten BIP 32-Wurzel, dem Ausgangspunkt eines Schlüsselbaums. Diese kann aus BIP 39-Wörtern stammen: Die Wörter und eine mögliche Passphrase ergeben zunächst den Seed, die geheime Eingabe zur Berechnung der Wurzel. Die Begriffe bezeichnen unterschiedliche Schritte. BIP85 berechnet aus der Wurzel neues geheimes Material; die ursprünglichen Wörter lassen sich damit nicht rückwärts zurückgewinnen. [1] [2] [3] [5]

Anna muss auch die gewählten Einstellungen festhalten. Derivation Path bezeichnet die genaue Folge der Ableitungsschritte. Das Beispiel m/83696968'/39'/0'/12'/0' wählt BIP85, die Anwendung BIP 39, die englische Wortliste, 12 Wörter und Index 0. Anwendung bedeutet hier eine festgelegte Verarbeitung des Ergebnisses, keine bestimmte Handy-App. Index 1 erzeugt einen anderen Ableger, also eine andere Wortfolge; er ist nicht die Nummer einer Zahlungsadresse im Handy. Die tschechische Wortliste hat den Code 8', unabhängig von der Sprache dieser Seite. Eine andere Wortliste oder Wortzahl ändert den Pfad und das Ergebnis. Es werden nicht dieselben Wiederherstellungswörter übersetzt. [1]

Das Zwischenmaterial heißt Entropie: Hier sind es aus einer geheimen Grundlage berechnete Daten, die ohne Kenntnis dieser Grundlage nicht vorhersagbar sein sollen. Für 12 Wörter werden die ersten 128 Ausgabebits verwendet, für 24 Wörter die ersten 256 Bits. BIP 39 ergänzt eine Prüfsumme, die manche Übertragungsfehler erkennen hilft, und wandelt die Daten in Wörter um. Daraus entstehen anschließend Seed und Schlüssel der neuen Wallet. BIP85 selbst legt weder Adresstyp und Adresspfad noch die Suche nach früheren Zahlungen fest. Eine längere Ausgabe rettet auch kein leicht erratbares Ausgangsgeheimnis: Die Ableitung fügt keine neue unabhängige Zufälligkeit hinzu. [1] [3]

Eine Passphrase ist ein optionales zusätzliches Geheimnis für BIP 39-Wörter. Sie ist weder die Geräte-PIN noch das Passwort zum Öffnen einer App. Hat Anna sie für die Hauptphrase verwendet, braucht sie sie auch zur Wiederherstellung derselben Eingangswurzel für BIP85. Eine andere übergeordnete Passphrase erzeugt andere Ableger. Eine zweite, getrennte Passphrase kann erst mit den abgeleiteten Wörtern in der Handy-Wallet verwendet werden. Sie verändert den Seed der Zielwallet, nicht die bereits erzeugten Wörter. BIP85 sichert diese Ziel-Passphrase nicht. Die Wörter ohne sie wiederherzustellen stellt daher noch nicht die ursprüngliche Wallet wieder her. [3] [4]

Bei korrekter Konstruktion und hinreichend starkem Ausgangsgeheimnis lassen sich aus einer abgeleiteten Phrase praktisch weder die Hauptwurzel noch die Geheimnisse anderer abgeleiteter Wallets berechnen. Bekannt gewordene Handy-Wörter verraten daher für sich genommen nicht das Hauptbackup. Umgekehrt funktioniert es jedoch: Wer die private Hauptwurzel und die nötigen Einstellungen besitzt, kann die Ableger erneut erzeugen. Eine zusätzliche Ziel-Passphrase bleibt ein eigenes Geheimnis. Der Verlust der Hauptgrundlage gefährdet wiederum Ableger ohne eigenes verwendbares Backup. BIP85 bündelt damit einen Teil der Verantwortung an einer Stelle. Es repariert keine kompromittierte Hauptwurzel; der Export eines Ablegers sichert auch kein infiziertes Handy ab. [1] [4]

Alle Ableitungsschritte sind hardened: Sie benötigen den privaten Teil des übergeordneten Schlüssels. Ein xpub, ein erweiterter öffentlicher Schlüssel zur Ableitung öffentlicher Schlüssel, reicht nicht aus. Der gewonnene private Schlüssel k umfasst 32 Bytes. BIP85 verarbeitet ihn anschließend mit HMAC-SHA512, einer kryptografischen Berechnung mit Nachricht und Schlüssel als Eingaben. Hier ist k die Nachricht und der feste Text bip-entropy-from-k der Schlüssel; die Ausgabe umfasst 64 Bytes. Die Geheimhaltung beruht also auf der privaten Eingabe k, nicht auf dem öffentlich bekannten Text. Die Umwandlung trennt das Ergebnis vom abgeleiteten Schlüssel. Sie empfiehlt nicht, denselben Zwischenschlüssel zusätzlich zum Signieren von Zahlungen einzusetzen. [1] [2]

Die Anwendung XPRV erzeugt einen neuen erweiterten privaten Schlüssel. Bei m/83696968'/32'/0' bilden die ersten 32 Bytes den chain code, zusätzliche Daten für weitere Ableitungen, und die zweiten 32 Bytes den privaten Schlüssel. Das ist die umgekehrte Reihenfolge gegenüber der üblichen Erzeugung einer BIP 32-Wurzel. Ergibt sich keine gültige Schlüsselzahl, muss das Programm einen Fehler melden und der Nutzer den nächsten Index wählen; der Wert darf nicht stillschweigend akzeptiert werden. HEX stellt Daten mit hexadezimalen Zeichen dar, WIF ist ein Format für private Schlüssel und andere Anwendungen erzeugen Passwörter. Jede hat eigene Regeln. Ähnlich aussehende Zeichenfolgen beweisen weder gleichen Inhalt noch Kompatibilität. [1] [2]

Die COLDCARD-Dokumentation beschreibt Ableitung und Export von BIP 39, WIF, XPRV und HEX. BIP85-Unterstützung bedeutet nicht, dass jede Geräteversion alle Anwendungen unterstützt. Halten Sie Format, Wortliste, Länge und Index sowie die verwendete Hauptwallet fest; schützen Sie mögliche Passphrases als getrennte Geheimnisse. Prüfen Sie vor dem Verlass auf das Verfahren, ob es dieselben abgeleiteten Wörter und die zugehörigen Adressen der Zielwallet reproduziert. Öffentliche Testvektoren, bekannte Eingaben mit erwarteten Ergebnissen, prüfen die Software, nicht Ihr privates Backup. BIP85 kann die Verwaltung vereinfachen. Die zusätzliche Komplexität lohnt sich aber nur, wenn Sie Ihren eigenen Wiederherstellungsweg verstehen. [4] [1]