Brute Force Search Space

암호화된 백업의 암호 추측은 개인 키나 취약한 생성기의 입력을 찾는 것과 다릅니다. 후보마다 구체적인 정답 검사가 필요합니다. 생성에 훨씬 작은 입력 집합이 쓰였다면 모든 키의 명목상 개수는 공격을 설명하지 못합니다. [RFC 4086 — Secret distributions and guessing] [RFC 8018 — Salt, derivation cost and offline search]

동일 확률의 N개 후보, 정답 하나, 중복 없는 검사에서 평균은 E = (N+1)/2개의 검증 후보입니다. 16개 가능성이면 평균 8.5회이며 초당 2회로 일정하면 평균 4.25초입니다. 작은 교육용 모델이지 지갑 복구 측정값이 아닙니다. [RFC 4086 — Secret distributions and guessing]

사람의 암호나 결함 있는 생성기는 매우 불균등한 분포를 가질 수 있습니다. 공격자가 가능성 높은 후보를 먼저 시도하면 균등 모델의 평균은 적용되지 않습니다. 최소 엔트로피는 최선의 첫 추측을 나타내며, 이것만으로 전체 평균 작업량이나 성공 시간을 보장하지는 않습니다. [RFC 4086 — Secret distributions and guessing] [NIST SP 800-90B — Min-entropy and guessing cost]

PBKDF2는 반복 계산으로 추측당 작업량을 늘립니다. 공개 솔트는 파생을 분리하고 사전 계산표 재사용을 제한하며, 추가 비밀 엔트로피가 아닙니다. 속도 추정에는 정확한 알고리즘, 매개변수, 하드웨어가 필요하고 결과 키 길이만으로는 부족합니다. [RFC 8018 — Salt, derivation cost and offline search]

BIP39는 PBKDF2와 HMAC-SHA512, 2048회 반복으로 512비트 seed를 만듭니다. 모든 passphrase가 유효한 seed를 만들므로 단어 체크섬은 올바른 passphrase를 확인하지 않습니다. 권한 있는 복구에도 목표 지갑을 구분할 알려진 맥락이 필요합니다. 파생 길이는 입력 암호의 비밀량이 아닙니다. [BIP39 — Passphrase derivation and valid seeds]

SEC 2는 secp256k1 매개변수를 규정합니다. 공개 키를 알면 이산 로그 문제가 생기며 단순한 전체 키 목록의 문제가 아닙니다. NIST SP 800-57도 ECC 크기와 고전적 보안 강도를 구분합니다. 256비트 문자열 수만 세는 추정은 다른 수학적 경로를 놓칩니다. [SEC 2 v2 — secp256k1 parameters] [NIST SP 800-57 Part 1 Rev. 5 — Security strength and key protection]

더 많은 프로세서가 독립 시도를 나눌 수 있지만 실제 가속은 알고리즘, 메모리, 부가 비용에 달려 있습니다. 채굴 hashrate를 PBKDF2 처리량이나 ECC 연산 속도로 대입할 수는 없습니다. 로그인 서비스의 횟수 제한 자체가 복사된 암호화 백업의 오프라인 시도까지 제한하지는 않습니다. [RFC 8018 — Salt, derivation cost and offline search] [NIST SP 800-57 Part 1 Rev. 5 — Security strength and key protection]

seed 유출, 악성코드, 구현 결함은 공간을 소진하지 않고 비밀을 드러낼 수 있습니다. 큰 이론적 후보 수가 지갑 전체 보안을 보장하지는 않습니다. 시간 주장에는 가정된 공격, 이용 가능한 정보, 키 보호를 구분해야 하며, 이 모델은 복구나 특정 장치의 내성을 약속하지 않습니다. [NIST SP 800-57 Part 1 Rev. 5 — Security strength and key protection]