Blockchain/Niveau II · Mechanik/2.1 Kryptographie/Lektion 7
Seed-Phrasen (BIP39)
Zwölf Wörter, eine Prüfsumme und der 512-Bit-Seed, der alles kontrolliert
MaterialienDie englische Wortliste von BIP39 (github.com/bitcoin/bips)Ein Notizbuch
Neugier
- Warum wird eine zufällige Bitfolge zu zwölf englischen Wörtern anstatt in Hexadezimalform zu bleiben?
- Was passiert mit der Wallet, wenn ein Wort der Phrase durch ein anderes aus derselben Liste ersetzt wird?
- Wie können genau dieselben zwölf Wörter zwei völlig unterschiedliche Wallets erzeugen?
Erkunden
- BIP39, 2013 von Entwicklern verfasst, darunter das Team hinter der Hardware-Wallet Trezor, wandelt rohe kryptografische Entropie in eine für Menschen lesbare Mnemonic um. Das Abschreiben von 32 oder 64 Hexadezimalzeichen von Hand ist fehleranfällig; Wörter lassen sich leichter aufschreiben, vorlesen und überprüfen. Der Standard definiert eine deterministische Zuordnung zwischen Binärfolgen und Wörtern aus einem festen Wörterbuch, sodass Nutzer ihre gesamte Schlüsselhierarchie wiederherstellen können, indem sie sich eine kurze Liste merken oder aufschreiben.
- Der Prozess beginnt mit Entropie: einer zufälligen Folge von 128, 160, 192, 224 oder 256 Bit. An diese Entropie wird eine Prüfsumme angehängt, indem die ersten N Bit ihres SHA-256-Hashes genommen werden, wobei N der Entropielänge geteilt durch 32 entspricht. Bei einer Standardphrase aus 12 Wörtern (128 Bit Entropie) kommen so 4 Bit hinzu; bei 24 Wörtern (256 Bit Entropie) 8 Bit. Diese Prüfsumme ermöglicht es Wallet-Software, die meisten Übertragungsfehler sofort beim Import zu erkennen.
- Die Kombination aus Entropie und Prüfsumme wird in 11-Bit-Segmente aufgeteilt, von denen jedes ein Wort aus der englischen BIP39-Liste mit 2.048 eindeutigen Einträgen indiziert. Die Liste wurde so zusammengestellt, dass keine zwei Wörter dieselben ersten vier Buchstaben haben, was Mehrdeutigkeiten beim manuellen Abschreiben verringert. Da das letzte Segment einen Teil der Prüfsumme enthält, scheitern zufällig gewählte Wörter in der Regel: Nur etwa 1 von 16 zufälligen 12-Wort-Folgen besteht die Prüfsumme (1 von 256 bei 24 Wörtern).
- Um den tatsächlichen Seed für die Schlüsselerzeugung abzuleiten, werden der mnemonische Satz und eine optionale Passphrase mit 2.048 Iterationen in PBKDF2-HMAC-SHA512 eingespeist. Der Salt wird aus der wörtlichen Zeichenkette „mnemonic“ gefolgt von der Passphrase gebildet (oder nur aus „mnemonic“, wenn keine Passphrase existiert). Diese Stretching-Funktion erzeugt einen deterministischen 512-Bit-Seed. Wird eine Passphrase verwendet, kann ein Angreifer, der alle zwölf Wörter besitzt, den Seed ohne sie dennoch nicht ableiten, vorausgesetzt, die Passphrase ist stark genug, um Rateversuchen standzuhalten.
- Dieser Mechanismus schafft ein zweischichtiges Sicherheitsmodell. Die Mnemonic ermöglicht die Wiederherstellung und eine grundlegende Fehlererkennung, während die Passphrase als Ebene für eine „versteckte Wallet“ dient. Manche Nutzer halten eine kleine Köder-Wallet unter den reinen Wörtern und ihre Hauptguthaben hinter einer Passphrase. Das ist jedoch auch eine Verlustquelle: Wird die Passphrase vergessen oder verloren, ist der Zugriff auf die Guthaben dauerhaft verwirkt, da sie sich nicht allein aus der Mnemonic wiederherstellen lässt.
- Nicht alle Wallets folgen BIP39; Electrum verwendet ein eigenes Schema, und SLIP-0039 teilt Geheimnisse für die Verwahrung durch mehrere Parteien in Shamir-Shares auf. Dennoch bleibt BIP39 dank breiter Kompatibilität über Hardwaregeräte und Softwareanwendungen hinweg der dominierende Standard. Der hier erzeugte 512-Bit-Seed dient als Ausgangsinput für die hierarchisch-deterministische Schlüsselableitung nach BIP32, sodass sich jeder private Schlüssel in einer Wallet letztlich auf genau diese Kombination aus Phrase und Passphrase zurückführen lässt.
Kernfakten
- BIP39 wandelt 128–256 Bit an Entropie sowie eine SHA-256-Prüfsumme in 12–24 Wörter aus einer Liste von 2.048 Wörtern um.
- Die englische Wortliste ist so gestaltet, dass die ersten vier Buchstaben jedes Wort eindeutig identifizieren.
- PBKDF2-HMAC-SHA512 mit 2.048 Iterationen streckt die Mnemonic und die Passphrase zu einem 512-Bit-Seed.
- Eine andere Passphrase, angewendet auf dieselbe Mnemonic, erzeugt eine völlig andere, gültige Wallet.
- Der Verlust der Mnemonic-Wörter oder der zugehörigen Passphrase führt zum dauerhaften Verlust des Zugriffs auf die Guthaben.
- SLIP-0039, ein separater und inkompatibler Standard, teilt ein Geheimnis in Shamir-Shares auf, um eine Wiederherstellung per Schwellenwert zu ermöglichen.
Übung neun, sechs, drei, eins
9SammelnListen Sie 9 Wallets oder Signiergeräte auf und geben Sie an, ob jedes BIP39, sein eigenes Schema oder SLIP-39 verwendet.
6GruppierenGruppieren Sie die 9 nach der Art und Weise, wie sie Schlüssel sichern, in 6 Gruppen: 12 Wörter, 24 Wörter, Wörter plus Passphrase, Shamir-Shares, Multisig-Konfiguration oder andere.
3VerdichtenReduzieren Sie die 6 auf 3 Zielkonflikte zwischen einfacher Wiederherstellung und Schutz vor Diebstahl.
1KristallisierenSchreiben Sie 1 Satz, der erklärt, warum sich das letzte Wort einer BIP39-Phrase mathematisch von den elf vorhergehenden unterscheidet.
Faktcheck
Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.