Brute Force Search Space

暗号化バックアップのパスワード推測は、秘密鍵や弱い生成器の入力を探すこととは異なります。候補には具体的な正当性検証が必要です。生成時の入力集合がずっと小さければ、全鍵の名目上の個数では攻撃を説明できません。 [RFC 4086 — Secret distributions and guessing] [RFC 8018 — Salt, derivation cost and offline search]

等確率の N 候補、正解一つ、重複なしの検証では、平均検証数は E = (N+1)/2 です。16 通りなら平均 8.5 回、毎秒 2 回で一定なら平均 4.25 秒です。小さな教材モデルであり、ウォレット復旧の測定ではありません。 [RFC 4086 — Secret distributions and guessing]

人のパスワードや故障した生成器の分布は大きく偏る場合があります。攻撃者が確率の高い候補から試すなら一様モデルの平均は適用できません。最小エントロピーは最良の最初の推測を表し、それだけでは全体の平均作業量や成功時間を保証しません。 [RFC 4086 — Secret distributions and guessing] [NIST SP 800-90B — Min-entropy and guessing cost]

PBKDF2 は計算の反復により推測一回の作業を増やします。公開ソルトは導出を分け、事前計算表の再利用を制限しますが、追加の秘密エントロピーではありません。速度の推定には正確なアルゴリズム、パラメーター、ハードウェアが必要で、結果の鍵長だけでは足りません。 [RFC 8018 — Salt, derivation cost and offline search]

BIP39 は PBKDF2、HMAC-SHA512、2048 回の反復で 512 ビットの seed を作ります。どの passphrase も有効な seed を作るため、単語のチェックサムは正しい passphrase を確認しません。権限のある復旧でも対象ウォレットを区別する既知の文脈が必要です。派生長は入力パスワードの秘密量ではありません。 [BIP39 — Passphrase derivation and valid seeds]

SEC 2 は secp256k1 のパラメーターを規定します。公開鍵が既知なら離散対数問題となり、全鍵を列挙するだけの問題ではありません。NIST SP 800-57 も ECC サイズと古典的安全性強度を区別します。256 ビット列の個数だけの見積もりは他の数学的経路を見落とします。 [SEC 2 v2 — secp256k1 parameters] [NIST SP 800-57 Part 1 Rev. 5 — Security strength and key protection]

複数のプロセッサーは独立試行を分担できますが、実際の高速化はアルゴリズム、メモリー、付随コスト次第です。採掘 hashrate は PBKDF2 や ECC 演算速度の代わりになりません。ログインサービスの回数制限自体は、コピーされた暗号化バックアップへのオフライン試行を制限しません。 [RFC 8018 — Salt, derivation cost and offline search] [NIST SP 800-57 Part 1 Rev. 5 — Security strength and key protection]

seed 漏えい、マルウェア、実装欠陥は空間を探索し尽くさずに秘密を明かす場合があります。巨大な理論候補数はウォレット全体の安全を保証しません。時間の主張では仮定する攻撃、利用可能な情報、鍵保護を分けて考えます。このモデルは復旧や特定機器の耐性を約束しません。 [NIST SP 800-57 Part 1 Rev. 5 — Security strength and key protection]