Під час виведення BIP39 seed словна фраза є входом PBKDF2-HMAC-SHA512, а рядок mnemonic, з’єднаний із passphrase, утворює сіль. Це не PIN пристрою і не додаткове обов’язкове слово зі словника; без passphrase використовується порожній рядок.
Словна фраза та сіль mnemonic + passphrase обробляються як UTF-8 з нормалізацією NFKD. PBKDF2-HMAC-SHA512 виконує 2048 ітерацій і повертає seed із 512 бітів, тобто 64 байтів. Довжина виходу не означає 512 бітів початкової таємної випадковості. [BIP39 — Mnemonic generation and seed conversion]
Регістр літер і пробіли можуть змінити результат. Водночас різні записи Unicode можуть після NFKD дати однаковий вхід: наприклад, é та e з наступним комбінувальним акутом. Тому твердження, що кожен інакше записаний текст обов’язково дає інший гаманець, неточне. [BIP39 — Mnemonic generation and seed conversion]
BIP39 не містить checksum passphrase. Описка може вивести дійсний seed і показати інший, зазвичай порожній гаманець; це не означає видалення початкових коштів. Застосунок може вимагати повторного введення або порівнювати відомі дані. PIN, який лише розблоковує пристрій, не замінює passphrase. [BIP39 — Mnemonic generation and seed conversion] [Trezor — What is a passphrase]
Маючи словну копію, зловмисник може перевіряти кандидати passphrase офлайн і порівнювати виведені дані з відомим гаманцем. Достатньо непередбачувана passphrase, яка не витекла, може ускладнити атаку. Коротка цитата, повторно використаний пароль або самі 2048 ітерацій не гарантують захисту. [BIP39 — Mnemonic generation and seed conversion]
Якщо зміна passphrase виводить інший seed, це не змінює умови підписання наявних виходів. Перехід до нового гаманця тому потребує справжньої транзакції. Так само порожній баланс сам собою не доводить втрату: спочатку перевірте правильність входу й параметри відновлення. [Trezor — What is a passphrase] [BIP380 — Output Script Descriptors]
Безпечно збережіть копію passphrase і перевірте відновлення надійним способом. Зберігання окремо від слів зменшує спільний витік, але має дозволяти уповноважене відновлення й успадкування. Повернути сильну забуту passphrase без копії може бути неможливо. Крім слів і passphrase, можуть знадобитися шляхи виведення та описи скриптів; Output Descriptor допомагає зберегти ці дані. [Trezor — What is a passphrase] [BIP380 — Output Script Descriptors]
Інша passphrase може слугувати для окремого гаманця або гаманця-приманки. Це не гарантує, що зловмисник повірить показаному балансу, і не усуває слідів платежів та копій. Розділення гаманців, стійкість до вгадування та безпека під примусом — різні властивості. [BIP39 — Mnemonic generation and seed conversion]
Регістр літер може змінити гаманець
Ті самі мнемонічні слова з passphrase «alpha» та «Alpha» дають різні seed за BIP 39. Це короткі приклади, а не безпечні паролі. Специфікація не має контрольної суми passphrase; помилка може відкрити інший, зазвичай порожній гаманець. Застосунок може додати власну перевірку.
Для повної картини прочитайте також BIP 39, PBKDF2, BIP39 checksum, Самостійне зберігання. На цю статтю також посилаються Seed Phrase, BIP 39, Cold Storage, BIP85.
01Чи є passphrase тим самим, що мнемонічні слова або PIN?+
Ні. Слова та необов’язкова passphrase — два входи для отримання seed за BIP 39, обидва з нормалізацією NFKD. Якщо passphrase використовувалася, самих слів недостатньо. PIN пристрою її не замінює. Для повного відновлення також можуть знадобитися шляхи деривації та дані скрипту.
02Чи захищає passphrase розкриті мнемонічні слова?+
Достатньо непередбачувана passphrase, яка не витекла разом зі словами, може ускладнити отримання правильного seed. Однак зі словами зловмисник може перебирати варіанти офлайн; коротка або передбачувана passphrase не є надійним захистом. Втрата сильної passphrase без резервної копії може означати невідновну втрату доступу.