Entropy Bit

公平なコインでは、表と裏が同じ確率で出ます。結果を秘密にした一回のコイン投げには二通り、独立した二回なら四通り、四回なら十六通りの結果があります。独立した試行を一回増やすごとに、可能な並びは倍になり、エントロピーが 1 ビット増えます。これが H = log2(N) の意味です。等確率の可能性が N 個あるとき、そのビット数を求められます。16 通りなら 4 ビットです。確率が等しいという条件は重要で、後で改めて説明します。 [1] [2]

次に、もう一度投げる代わりに、一回の結果を 256 回書き写してみましょう。列は 256 ビットになりますが、可能性は依然として、すべて 0 か、すべて 1 の二通りです。実際の秘密にはまだ 1 ビットのエントロピーしかありません。繰り返しは新しい独立した選択を生みません。測定同士が関連している場合も、目立たない形で同じ問題が起こります。そのため、独立性を確認せず、サンプル一つの推定エントロピーをサンプル数で単純に掛けることはできません。 [1]

同じ値を通常の数字、単語、十六進表記で表すことができます。十六進表記は数字と A から F までの文字を使いますが、数の書き方を変えているだけで、新しい秘密を作るわけではありません。ハッシュは、ある関数でデータから計算した指紋のような値です。これも、それ自体で未知の可能性を増やすものではありません。入力候補が少なければ、攻撃者は候補を順に試して、その指紋を比較できます。正確な入力を知っていれば、同じ結果を計算できます。大切なのは、値がどのように作られたかであって、見た目の複雑さではありません。 [1] [2]

BIP39 の 12 語は、入力 128 ビットとチェックサム 4 ビット、合計 132 ビットを表します。24 語では 256 と 8 を合わせた 264 ビットです。チェックサムのビットは計算されるもので、新たな独立した秘密の選択ではありません。また、128 や 256 ビットのエントロピーは、適切な方法で入力を作ることを前提とします。好きな物語から自分で単語を選んでも、その数だけではこうしたエントロピーは保証されません。 [3]

それぞれを公平なコイン投げのように生成した、独立した秘密のビットが 128 個あるとします。そのうち指定した 32 ビットを公開すれば、このモデルでは 96 ビットが未知のまま残ります。ただし、あらゆる漏えいに使える一般則ではありません。何を明かし、値同士にどんな関係があるかで変わります。seed は、ウォレットが鍵を導出するための秘密の出発点となる値です。seed 全体を知る人は、もう推測する必要がありません。最初に完璧に生成されていても、その人にとって不確実性はゼロです。 [1] [2]

ここまでは、すべての結果が同じ確率でした。偏った供給源なら、攻撃者は最も出やすい結果から試すでしょう。最小エントロピーは、その最初の推測の有利さを表します。式は Hmin = -log2(pmax) で、pmax は最も起こりやすい結果の確率です。3/4 なら約 0.415 ビットです。平均的な情報量を表すシャノンエントロピーもあります。これらは異なる尺度で、どちらも秘密を解くまでの正確な平均試行回数ではありません。 [1] [2]

攻撃者は元の入力を推測するだけでなく、アルゴリズムの数学的性質を利用することもできます。そこで、エントロピーのビット数、鍵の長さ、安全性の強さを区別します。楕円曲線暗号（ECC）の安全性は、ある数学的な問題を解く難しさに依存しています。例えば NIST SP 800-57 の古典的な計算を前提とする比較では、256～383 ビットの ECC 鍵を 128 ビットの安全性に対応させています。特定のウォレットの評価でも、すべての 256 ビット鍵が 256 ビットの安全性を持つという主張でもありません。 [4]

どのエントロピー尺度を使い、どの供給源から推定し、攻撃者が何を知り得るのかを確認しましょう。NIST SP 800-90B は、依存関係や再起動後の動作も含めて供給源とサンプルを評価します。一つのファイルの測定は、あらゆる機器や将来の条件を保証しません。最小エントロピーだけから正確な攻撃時間も分かりません。前提が分かってこそ、数字が役立ちます。 [1]