Ein Entropiebit ist eine Einheit für die Ungewissheit beim Erraten eines geheimen Werts. Sind zwei Ergebnisse gleich wahrscheinlich und weiß ein Angreifer nicht, welches eingetreten ist, entspricht das einem Bit Entropie. Vier gleich wahrscheinliche Möglichkeiten ergeben zwei Bits, sechzehn ergeben vier Bits. Das ist etwas anderes als die Zahl der Bits, die eine Datei oder ein Schlüssel im Speicher belegt.
Bei einer fairen Münze sind beide Seiten gleich wahrscheinlich. Ein geheimer Wurf hat zwei Möglichkeiten, zwei unabhängige Würfe haben vier, vier Würfe haben sechzehn. Jeder weitere unabhängige Wurf verdoppelt die Zahl möglicher Folgen und fügt ein Bit Entropie hinzu. Genau diesen Zusammenhang beschreibt H = log2(N): Bei N gleich wahrscheinlichen Möglichkeiten ergibt sich die Zahl der Bits. Für 16 Möglichkeiten sind es 4 Bits. Die gleiche Wahrscheinlichkeit ist eine wichtige Voraussetzung, auf die wir unten zurückkommen. [1] [2]
Nehmen Sie nun statt weiterer Würfe ein einziges Ergebnis und schreiben Sie es 256-mal auf. Die Folge ist 256 Bits lang, hat aber weiterhin nur zwei mögliche Formen: nur Nullen oder nur Einsen. Das eigentliche Geheimnis hat nach wie vor nur 1 Bit Entropie. Durch Wiederholung sind keine neuen unabhängigen Entscheidungen entstanden. Weniger offensichtlich kann dasselbe passieren, wenn Messungen zusammenhängen. Ohne Prüfung der Unabhängigkeit darf man die geschätzte Entropie einer Probe deshalb nicht einfach mit der Probenzahl multiplizieren. [1]
Denselben Wert können Sie mit gewöhnlichen Ziffern, als Wörter oder in hexadezimaler Form schreiben. Die Hexadezimalschreibweise verwendet Ziffern und die Buchstaben A bis F. Sie stellt eine Zahl nur anders dar und schafft kein neues Geheimnis. Auch ein Hash, also ein durch eine bestimmte Funktion berechneter Fingerabdruck von Daten, fügt für sich genommen keine unbekannten Möglichkeiten hinzu. Stammt er aus einer kleinen Menge möglicher Eingaben, kann ein Angreifer diese ausprobieren und ihre Fingerabdrücke vergleichen. Kennt er die genaue Eingabe, berechnet er dasselbe Ergebnis. Entscheidend ist deshalb, wie der geheime Wert entstanden ist, nicht wie kompliziert er aussieht. [1] [2]
Bei BIP39 stehen 12 Wörter für 128 Eingabebits und 4 Prüfsummenbits, zusammen 132 Bits. Bei 24 Wörtern sind es 256 plus 8, insgesamt 264 Bits. Die Prüfbits werden berechnet und sind keine zusätzlichen unabhängigen geheimen Entscheidungen. Die 128 beziehungsweise 256 Bits setzen außerdem eine gute Erzeugung der Eingabe voraus. Wer Wörter selbst anhand einer Lieblingsgeschichte auswählt, erhält diese Entropie nicht allein durch ihre Anzahl. [3]
Stellen Sie sich 128 unabhängige geheime Bits vor, von denen jedes wie ein fairer Münzwurf entstanden ist. Werden 32 bestimmte Bits offengelegt, bleiben in diesem Modell 96 unbekannt. Das ist keine allgemeine Regel für jedes Datenleck: Es hängt davon ab, welche Information bekannt wird und wie die Werte zusammenhängen. Der Seed ist der geheime Ausgangswert, aus dem eine Wallet ihre Schlüssel ableitet. Wer den gesamten Seed kennt, muss ihn gar nicht mehr erraten. Seine Ungewissheit ist null, selbst wenn der Seed ursprünglich perfekt erzeugt wurde. [1] [2]
Bisher waren alle Ergebnisse gleich wahrscheinlich. Bei einer verzerrten Quelle wird ein Angreifer vermutlich zuerst das häufigste Ergebnis versuchen. Die Min-Entropie misst den Vorteil dieses ersten Versuchs: Hmin = -log2(pmax), wobei pmax die Wahrscheinlichkeit des häufigsten Ergebnisses ist. Bei 3/4 ergibt das etwa 0,415 Bits. Daneben gibt es die Shannon-Entropie, die den durchschnittlichen Informationsgehalt beschreibt. Das sind unterschiedliche Maße; keines ist die genaue durchschnittliche Zahl nötiger Rateversuche. [1] [2]
Ein Angreifer muss nicht nur die ursprüngliche Eingabe erraten. Er kann auch versuchen, mathematische Eigenschaften des Algorithmus auszunutzen. Deshalb unterscheidet man Entropiebits, Schlüssellänge und Sicherheitsstärke. Bei der Elliptische-Kurven-Kryptografie (ECC) hängt die Sicherheit von der Schwierigkeit eines bestimmten mathematischen Problems ab. NIST SP 800-57 ordnet etwa ECC-Schlüssellängen von 256 bis 383 Bits im klassischen Vergleich eine Sicherheitsstärke von 128 Bits zu. Das bewertet keine bestimmte Wallet und bedeutet nicht, dass jeder 256-Bit-Schlüssel eine Sicherheit von 256 Bits bietet. [4]
Fragen Sie, welches Entropiemaß verwendet wird, aus welcher Quelle die Schätzung stammt und was ein Angreifer wissen könnte. NIST SP 800-90B bewertet eine Quelle und ihre Proben einschließlich Abhängigkeiten und Verhalten nach Neustarts. Die Messung einer einzigen Datei ist keine Garantie für jedes Gerät und alle künftigen Bedingungen. Auch die Min-Entropie allein liefert keine genaue Angriffsdauer. Eine Zahl ist nützlich, wenn ihre Voraussetzungen bekannt sind. [1]
Für ein möglichst vollständiges Bild lies diesen Eintrag zusammen mit Cryptographic Entropy, Brute Force Search Space, Seed Phrase, Private Key. Auf diesen Eintrag verweisen außerdem Dice Roll Entropy, Cryptographic Entropy, Brute Force Search Space.