Dice Roll Entropy

Ein idealer fairer sechsseitiger Würfel liefert log2(6) ≈ 2,585 Bit je unabhängigem Wurf. Fünfzig Würfe ergeben etwa 129,25 Bit Eingabeentropie, 99 etwa 255,91 und 100 etwa 258,50. COLDCARD nennt 99 Würfe für ein praktisches 256-Bit-Ziel; die genaue Summe liegt knapp unter 256. Die Anzahl beweist weder die Qualität echter Würfel noch garantiert sie perfekt gleichverteilte Hash-Ausgaben. [COLDCARD — Verifying Seed Mixing] [RFC 4086 — Randomness Requirements for Security]

Für einen Wurf lässt sich konservativ min-entropy Hmin=−log2(pmax) verwenden; pmax bezeichnet die Wahrscheinlichkeit der häufigsten Seite. Hat eine Seite Wahrscheinlichkeit 1/2, ist es nur 1 Bit statt 2,585. Das Addieren über Würfe setzt entsprechende Unabhängigkeit voraus; das Wiederholen des vorherigen Ergebnisses liefert keine neue unabhängige Information. Wer die ganze Folge kennt, erhält daraus keine geheime Zufälligkeit. [NIST SP 800-90B — Entropy Sources for Random Bit Generation]

Als Lehrbeispiel codieren wir zwei faire unabhängige Würfe als x=6*(d1−1)+(d2−1), also 0 bis 35. x mod32 bevorzugt 0 bis 3, weil jeder dieser Werte zwei Urbilder hat. Rejection Sampling verwirft stattdessen 32 bis 35 und wiederholt das Paar; akzeptierte Werte 0 bis 31 liefern fünf gleichverteilte Bits. Das erklärt einen Umwandlungsfehler und ersetzt keinen geprüften Wallet-Generator. [RFC 4086 — Randomness Requirements for Security]

Im Modus Dice Rolls Only berechnet COLDCARD laut Dokumentation SHA-256 über die ASCII-Ziffernfolge. Der öffentliche Test 123456 ohne abschließendes newline ergibt 8d969eef6ecad3c29a3a629280e686cf0c3f5d5a86aff3ca12020c923adc6c92. Sechs ideale zufällige Würfe hätten nur etwa 15,51 Bit; diese veröffentlichte Folge ist überhaupt nicht geheim. Eine 256-Bit-Ausgabe ergänzt keine fehlende Entropie; eine andere Codierung kann ein anderes Ergebnis liefern. [COLDCARD — Verifying Seed Mixing] [RFC 4086 — Randomness Requirements for Security]

Die am 6. September 2026 überarbeitete COLDCARD-Dokumentation unterscheidet Dice Rolls Only ohne Hardwarezufall von der Standarderzeugung, die den Gerätewert mit physischen Würfel- oder Münzwürfen mischt. verify_seed_mix.py prüft den zweiten Modus, rolls.py und rolls12.py den ersten. Aus Würfen allein ist keine Übereinstimmung prüfbar, wenn auch der Gerätewert eingeht; Verfahren und Firmwareversion müssen genau passen. [COLDCARD — Verifying Seed Mixing]

BIP39 ergänzt 128 Eingabebits um vier Checksum-Bits und teilt 132 Bits in 12 Gruppen zu 11 Bit; 256 Eingabebits plus acht Prüfbits ergeben 24 Wörter. Die Checksum ist abgeleitet und ergänzt keinen Zufall. Anschließend erzeugt PBKDF2-HMAC-SHA512 aus Phrase und Passphrase einen 512-Bit-Seed, doch die Länge 512 stärkt keine schwachen Würfe. Wortformat, Eingabeentropie und abgeleiteter Seed sind verschiedene Ebenen. [BIP 39 — Mnemonic code for generating deterministic keys]

Das Wiederholen eines öffentlichen Testvektors prüft Codierung, Hash und Umwandlung, nicht die Fairness des Würfels oder jedes Geräts. Auch eine statistisch ansprechend wirkende kurze Folge beweist keine kryptografische Unvorhersehbarkeit. NIST SP800-90B unterscheidet Quellenmodell, min-entropy-Schätzung und Gesundheitstests; eine private Wurfzählung ist keine Zertifizierung nach diesem Standard. Erfundenen Zahlen oder wiederholten Mustern fehlt der Ersatz für physischen Zufall. [RFC 4086 — Randomness Requirements for Security] [NIST SP 800-90B — Entropy Sources for Random Bit Generation]

Bei ausschließlich würfelbasierter Erzeugung können die vollständige Folge oder der endgültige Hash die Wallet rekonstruieren; beim Mischen sind auch Geräteeingaben sensibel. Prüfen Sie mit einem einmaligen Testsatz, dessen Wallet niemals Guthaben erhält, und verwenden Sie frische geheime Eingaben für die echte Wallet. Fotos, Zwischenablage und Logs können Geheimnisse speichern. Sichern Sie Seed Phrase und gegebenenfalls Passphrase gemäß dem gewählten Format und prüfen Sie die Wiederherstellung. [COLDCARD — Verifying Seed Mixing] [BIP 39 — Mnemonic code for generating deterministic keys]