Entropy Bit

동일한 확률의 N개 가능성에서는 H = log2(N)입니다. 독립적이고 공정한 비트를 하나 더하면 가능성이 두 배가 되며, 같은 확률의 16개 값은 4비트입니다. 이 환산은 균등성을 전제로 합니다. 값 목록만으로 확률은 알 수 없습니다. [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]

최소 엔트로피는 Hmin = -log2(pmax)입니다. 한 결과의 확률이 3/4이면 인코딩 길이와 관계없이 약 0.415비트입니다. 공격자는 그 값을 먼저 시도할 수 있습니다. Shannon 엔트로피는 평균 정보량이며 같은 척도도, 정확한 평균 시도 횟수도 아닙니다. [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]

무작위 비트 하나를 256번 반복해도 전체 문자열은 두 가지뿐이므로 엔트로피는 1비트입니다. 독립 비트 256개가 아닙니다. NIST SP 800-90B는 독립 표본과 종속 표본을 구분합니다. 모델 없이 표본당 추정치에 임의로 종속된 수열의 길이를 곱할 수 없습니다. [NIST SP 800-90B — Min-entropy and dependent samples]

같은 비밀을 16진수나 단어로 인코딩해도 분포는 변하지 않습니다. Hash도 알려진 입력을 미지의 값으로 만들지 못합니다. 긴 출력은 작은 원래 입력 공간을 고치지 못하므로 입력 수집과 공격자가 알 수 있었던 정보를 평가해야 합니다. [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]

BIP39의 12개 단어는 입력 128비트와 검사 4비트, 총 132비트를 담습니다. 24개 단어는 256과 8을 합친 264비트입니다. 검사 비트는 파생값이며 독립 엔트로피가 아닙니다. 사람이 고른 단어는 이러한 입력 길이가 전제하는 품질에도 못 미칠 수 있습니다. [BIP39 — Input entropy and checksum lengths]

독립적이고 공정한 비밀 비트 128개의 모델에서 특정 32비트를 공개하면 96비트의 불확실성이 남습니다. 이 모델의 조건부 계산이지 모든 유출에 적용되는 규칙은 아닙니다. 전체 seed를 알면 원래 생성 품질이 좋았더라도 추측의 불확실성은 없습니다. [NIST SP 800-90B — Min-entropy and dependent samples] [RFC 4086 — Entropy measures and guessing]

NIST SP 800-57은 키 길이와 보안 강도를 구분합니다. 예를 들어 고전적 비교에서 256부터 383비트의 ECC에 128비트 강도를 부여합니다. 특정 지갑을 인증하거나 길이만으로 256비트 보안을 뜻하지는 않습니다. 입력 추측과 암호 분석은 서로 다른 경로입니다. [NIST SP 800-57 Part 1 Rev. 5 — Key length and security strength]

NIST SP 800-90B는 의존성과 재시작을 포함한 원천, 표본, 가정으로 엔트로피를 추정합니다. 비트 수 주장에는 척도 이름과 추정 조건이 필요합니다. 한 파일의 값은 모든 장치나 이후 동작을 보장하지 않으며, 최소 엔트로피만으로 정확한 공격 시간도 정해지지 않습니다. [NIST SP 800-90B — Min-entropy and dependent samples]