Сид-фразы (BIP39)

Любопытство

1. Почему случайная последовательность битов превращается в двенадцать английских слов, а не остаётся в шестнадцатеричном виде?
2. Что произойдёт с кошельком, если одно слово фразы заменить другим словом из того же списка?
3. Как одни и те же двенадцать слов могут породить два совершенно разных кошелька?

Исследование

1. BIP39, написанный в 2013 году разработчиками, в том числе командой аппаратного кошелька Trezor, преобразует исходную криптографическую энтропию в удобочитаемую мнемоническую фразу. Ручное копирование 32 или 64 шестнадцатеричных символов чревато ошибками; слова проще записать, прочитать вслух и сверить. Стандарт задаёт детерминированное соответствие между двоичными последовательностями и словами из фиксированного словаря, позволяя пользователям восстановить всю иерархию ключей, запомнив или записав короткий список.
2. Процесс начинается с энтропии — случайной последовательности длиной 128, 160, 192, 224 или 256 бит. К ней добавляется контрольная сумма: первые N бит её хеша SHA-256, где N равно длине энтропии, делённой на 32. Для стандартной фразы из 12 слов (энтропия 128 бит) это 4 бита, для 24 слов (энтропия 256 бит) — 8 бит. Контрольная сумма позволяет программе кошелька сразу при импорте обнаружить большинство ошибок переписывания.
3. Объединённая строка из энтропии и контрольной суммы делится на 11-битные сегменты, каждый из которых указывает на слово в английском списке BIP39 из 2 048 уникальных слов. Список составлен так, что никакие два слова не совпадают по первым четырём буквам, — это снижает неоднозначность при ручном переписывании. Поскольку последний сегмент включает часть контрольной суммы, случайно выбранные слова обычно не проходят проверку: лишь примерно 1 из 16 случайных последовательностей из 12 слов проходит проверку контрольной суммы (1 из 256 — для 24 слов).
4. Чтобы получить сид, из которого генерируются ключи, мнемоническое предложение и необязательная парольная фраза подаются в PBKDF2-HMAC-SHA512 с 2 048 итерациями. Соль составляется из буквальной строки 'mnemonic', за которой следует парольная фраза (или просто 'mnemonic', если парольной фразы нет). Эта функция растяжения ключа выдаёт детерминированный 512-битный сид. Если используется парольная фраза, злоумышленник, завладевший всеми двенадцатью словами, всё равно не сможет получить сид без неё — при условии, что парольная фраза достаточно стойка к подбору.
5. Этот механизм создаёт двухуровневую модель безопасности. Мнемоническая фраза обеспечивает возможность восстановления и базовое обнаружение ошибок, а парольная фраза служит слоем «скрытого кошелька». Некоторые пользователи держат небольшой кошелёк-приманку под одними словами, а основные средства — за парольной фразой. Однако это и источник риска потери: если парольная фраза забыта или утеряна, доступ к средствам утрачивается навсегда, поскольку восстановить её по одной лишь мнемонической фразе невозможно.
6. Не все кошельки следуют BIP39: Electrum использует собственную схему, а SLIP-0039 разделяет секреты на доли Шамира для хранения несколькими сторонами. Тем не менее BIP39 остаётся доминирующим стандартом благодаря широкой совместимости с аппаратными устройствами и программными приложениями. Полученный здесь 512-битный сид служит корневыми входными данными для иерархической детерминированной деривации ключей по BIP32, а значит, каждый приватный ключ в кошельке в конечном счёте восходит к этой конкретной комбинации фразы и парольной фразы.

Ключевые факты

Упражнение девять, шесть, три, один

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

• BIP39: Mnemonic code for generating deterministic keys
• A. M. Antonopoulos & D. A. Harding, Mastering Bitcoin, 3rd ed. (2023), ch. 5
• SLIP-0039: Shamir's Secret-Sharing for Mnemonic Codes
• RFC 8018: PKCS #5: Password-Based Cryptography Specification, Version 2.1 (2017)