Entropy Bit は不確実性の対数尺度の単位です。16 通りから一様に選ぶと 4 ビットになります。非一様分布では尺度ごとに値が異なり、最小エントロピーは最も確率の高い結果を扱います。符号化、鍵長、安全性強度は同じではありません。
N 通りが等確率なら H = log2(N) です。独立した公平なビットを一つ加えると可能性は倍になり、等確率の 16 値は 4 ビットになります。この換算には一様性が必要です。値の一覧だけでは各確率は分かりません。 [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]
最小エントロピーは Hmin = -log2(pmax) です。ある結果の確率が 3/4 なら符号長にかかわらず約 0.415 ビットです。攻撃者はその値から試せます。Shannon エントロピーは平均情報量であり、同じ尺度でも正確な平均試行回数でもありません。 [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]
一つのランダムビットを 256 回繰り返しても、全体の列は二通りだけで、エントロピーは 1 ビットです。256 個の独立ビットではありません。NIST SP 800-90B は独立標本と依存標本を区別します。モデルなしで標本ごとの推定値を任意の依存列の長さに掛けることはできません。 [NIST SP 800-90B — Min-entropy and dependent samples]
同じ秘密を十六進数や単語へ符号化しても分布は変わりません。Hash も既知の入力を未知にはできません。長い出力は小さな元の入力空間を修復しないため、入力の取得方法と敵対者が知り得た情報を評価します。 [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]
BIP39 の 12 単語は入力 128 ビットと検査 4 ビット、合計 132 ビットを表します。24 単語では 256 と 8、合計 264 です。検査ビットは導出値であり独立したエントロピーではありません。手で選んだ単語は、これらの入力長が前提とする品質にも届かない場合があります。 [BIP39 — Input entropy and checksum lengths]
128 個の独立した公平な秘密ビットというモデルで、指定した 32 ビットを公開すると不確実性は 96 ビット残ります。このモデル限定の条件付き計算であり、あらゆる漏えいの規則ではありません。seed 全体を知れば、元の生成が良好でも推測の不確実性はゼロです。 [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]
NIST SP 800-57 は鍵長と安全性強度を区別します。例えば古典的比較では 256 から 383 ビットの ECC に 128 ビットの強度を対応させます。特定のウォレットを認証するものではなく、256 ビットの長さだけで同じ安全性を意味しません。入力の推測と暗号解析は異なる経路です。 [NIST SP 800-57 Part 1 Rev. 5 — Key length and security strength]
NIST SP 800-90B は源、標本、仮定から、依存性や再起動も含めてエントロピーを推定します。ビット数の主張では尺度名と推定条件を求めます。一つのファイルの値は全機器や将来の動作を保証せず、最小エントロピーだけでは正確な攻撃時間も決まりません。 [NIST SP 800-90B — Min-entropy and dependent samples]
理解を深めるには、この項目とあわせて次もお読みください Cryptographic Entropy, Brute Force Search Space, Seed Phrase, 秘密鍵. 次の項目からも参照されています Dice Roll Entropy, Cryptographic Entropy, Brute Force Search Space.