Біт ентропії — одиниця для опису невизначеності під час вгадування таємного значення. Якщо два результати однаково ймовірні й зловмисник не знає, який випав, це один біт ентропії. Чотири рівноймовірні можливості — два біти, шістнадцять — чотири біти. Це не те саме, що кількість бітів, яку файл або ключ займає в пам’яті.
У чесної монети обидві сторони мають однакову ймовірність. Один таємний підкид має два можливі результати, два незалежні підкиди — чотири, чотири підкиди — шістнадцять. Кожен наступний незалежний підкид подвоює кількість можливих послідовностей і додає біт ентропії. Саме цей зв’язок описує H = log2(N): для N рівноймовірних можливостей отримуємо кількість бітів. При 16 можливостях це 4 біти. Однакова ймовірність — важлива умова, до якої ми ще повернемося. [1] [2]
Тепер замість нових підкидів візьміть один результат і запишіть його 256 разів. Рядок матиме 256 бітів, але залишаться лише два варіанти: самі нулі або самі одиниці. Справжній секрет усе ще має лише 1 біт ентропії. Повторення не створило нових незалежних виборів. Менш помітно та сама проблема виникає, коли вимірювання пов’язані. Тому без перевірки незалежності не можна просто помножити оцінку ентропії одного зразка на кількість зразків. [1]
Те саме значення можна записати звичайними цифрами, словами або в шістнадцятковій формі. Шістнадцятковий запис використовує цифри й літери від A до F. Це лише інший спосіб записати число, а не новий секрет. Хеш — відбиток даних, обчислений певною функцією, — теж сам по собі не додає невідомих можливостей. Якщо він отриманий із невеликого набору можливих входів, зловмисник може перебирати їх і порівнювати відбитки. Знаючи точний вхід, він обчислить такий самий результат. Тому головне — як виникло таємне значення, а не наскільки складним воно виглядає. [1] [2]
У BIP39 12 слів кодують 128 бітів входу та 4 біти контрольної суми, разом 132 біти. Для 24 слів це 256 плюс 8, разом 264 біти. Контрольні біти обчислюються; це не додаткові незалежні таємні вибори. Ці 128 чи 256 бітів також передбачають якісний спосіб створення входу. Якщо самостійно вибрати слова з улюбленої історії, їхня кількість не гарантує такої ентропії. [3]
Уявіть 128 незалежних таємних бітів, кожен отриманий як підкид чесної монети. Якщо оприлюднити 32 конкретні біти, у цій моделі залишиться 96 невідомих. Це не загальне правило для будь-якого витоку: усе залежить від розкритої інформації та зв’язків між значеннями. Seed — це таємне початкове значення, з якого гаманець виводить ключі. Хто знає весь seed, не мусить його вгадувати. Для нього невизначеність нульова, навіть якщо seed спочатку згенерували ідеально. [1] [2]
Досі всі результати були рівноймовірними. Але для зміщеного джерела зловмисник, імовірно, спершу перевірить найчастіший результат. Мін-ентропія вимірює перевагу цієї першої спроби: Hmin = -log2(pmax), де pmax — імовірність найчастішого результату. Якщо вона дорівнює 3/4, виходить приблизно 0,415 біта. Є й ентропія Шеннона, що описує середню кількість інформації. Це різні міри, і жодна не є точною середньою кількістю спроб для розкриття секрету. [1] [2]
Зловмисник може не лише вгадувати початковий вхід, а й використовувати математичні властивості алгоритму. Тому розрізняють біти ентропії, довжину ключа та криптографічну стійкість. У криптографії на еліптичних кривих (ECC) безпека залежить від складності певної математичної задачі. Наприклад, NIST SP 800-57 у класичному порівнянні відносить ключі ECC завдовжки від 256 до 383 бітів до стійкості 128 бітів. Це не оцінка конкретного гаманця й не твердження, що кожен 256-бітний ключ забезпечує 256-бітну стійкість. [4]
Запитайте, яку міру ентропії використано, з якого джерела походить оцінка та що може знати зловмисник. NIST SP 800-90B оцінює джерело та його зразки, зокрема залежності й поведінку після перезапуску. Вимірювання одного файла не гарантує такого самого результату для всіх пристроїв і майбутніх умов. Сама мін-ентропія також не визначає точний час атаки. Число корисне, коли зрозумілі його припущення. [1]
Для повної картини прочитайте також Cryptographic Entropy, Brute Force Search Space, Seed Phrase, Private Key. На цю статтю також посилаються Dice Roll Entropy, Cryptographic Entropy, Brute Force Search Space.