Криптографическая энтропия выражает неопределённость значений, из которых создают секретный ключ или состояние генератора. Оценивают распределение возможных входов и информацию противника. Длинный результат может происходить из малого предсказуемого пространства; безопасность охватывает источник, обработку и защиту состояния.
RFC 4086 отличает трудность угадывания от простой статистической нерегулярности. Атакующий может знать время запуска или серийный номер либо перебрать небольшой диапазон. Длинное кодирование не создаёт столь же большого пространства секретов. Один показанный ключ не раскрывает качество его создания. [RFC 4086 — Unpredictability and source limitations]
DRBG алгоритмически создаёт следующие результаты из секретного начального состояния. Это полезная криптографическая конструкция, но дополнительные байты не становятся автоматически свежей физической энтропией. Одинаковые полное состояние и входы дают одинаковое продолжение. Стойкость зависит также от инициализации и правильного использования. [NIST SP 800-90A Rev. 1 — Deterministic generation and reseeding]
NIST SP 800-90B требует описания источника шума, зависимостей и проверок исправности. Они проверяют сырой шум при запуске и непрерывно, до дальнейшей обработки. Изменение среды или застрявший источник могут нарушить предположения; о сбое нужно сообщить приложению, а не выдавать результат за хорошие данные. [NIST SP 800-90B — Entropy source design and health tests]
Обработка conditioning может уменьшить смещение распределения и сосредоточить имеющуюся неопределённость в более коротком результате. Hash не превращает полностью известные входы в секрет. Оценки зависимых источников нельзя просто складывать; более сложное смешивание не доказывает независимость или качество. [NIST SP 800-90B — Entropy source design and health tests] [RFC 4086 — Unpredictability and source limitations]
Получив состояние DRBG, атакующий в зависимости от конструкции может предсказывать следующие результаты. Восстановление стойкости к такому прогнозу требует достаточной свежей энтропии, неизвестной атакующему. Продолжение алгоритма или добавление известного времени этого не гарантирует. Восстановление генератора также не аннулирует уже утекший ключ. [NIST SP 800-90A Rev. 1 — Deterministic generation and reseeding]
BIP39 кодирует 128 входных битов и 4 проверочных бита в 12 слов; для 256 битов добавляет 8 и создаёт 24 слова. Сумма является производной и не добавляет энтропию. Эти длины не доказывают качество входа; более длинный список не исправляет предсказуемую генерацию. [BIP39 — Entropy, checksum and mnemonic encoding]
NIST SP 800-22 прямо различает прохождение статистической серии и криптографическую безопасность. Тест может выявить определённое отклонение, но не заменяет анализ алгоритма и не доказывает, что противник не знает вход. Проверка готового файла не сертифицирует безопасность кошелька. [NIST SP 800-22 Rev. 1a — Limits of statistical testing]
NIST SP 800-90C объединяет источники энтропии и механизмы DRBG в конструкции генераторов. Оценивайте конкретную реализацию кошелька, получение и оценку энтропии, обработку ошибок и защиту состояния. Ссылка на стандарт или название чипа не доказывает соответствие конкретного выпуска требованиям. [NIST SP 800-90B — Entropy source design and health tests] [NIST SP 800-90C — Complete random bit generator constructions]
Для полной картины прочитайте эту статью вместе с Entropy Bit, CSPRNG, Dice Roll Entropy, Приватный ключ. На эту статью также ссылаются Dice Roll Entropy, Entropy Bit, Brute Force Search Space, Random Number Generator.