Wozu dann der Stress mit Casino-Würfeln, Becher, Filzunterlage und bloß nicht immer mit der rechten Hand aus dem gleichen Winkel mit gleicher Kraft würfeln - wie in einigen Anleitungen zum Seed-Würfeln beschrieben?
Wenn ich den perfekten Zufall erzeugen will, dann brauche ich doch auch annähernd perfekte Bedingungen?
Bei den Würfeln denke ich mir immer, der Hacker kann den Fehler meiner Würfel ja nicht kennen. Aber will man es darauf anlegen? Dann kann ich ja auch gleich selbst die Wörter mit verbundenen Augen auswählen.
Zur Klärung:
Ich habe meinen Seed auch von der BitBox erstellen lassen und vor kurzem nachträglich um eine Passphrase ergänzt. Den Ledger, den ich anfänglich gekauft hatte, weil er günstiger war, habe ich auch quasi leergeräumt, weil er nicht OpenSource ist.
Also selber würfeln würde ich jetzt auch nicht, aber den Gedanken finde ich schon witzig und interessant, dass das überhaupt möglich ist.
Aber der Seed hätte trotzdem eine niedrigere Entropie. Wenn ein Angreifer versucht gewürfelte Seeds zu finden (nicht nur deinen), dann würde er zB davon ausgehen, dass eine Zahl ein kleines bisschen häufiger vorkommt als die anderen. Das würde er dann mit allen 6 Zahlen machen. Vielleicht wird bei diesen handelsüblichen Würfeln die sechs weniger gewürfelt, weil sie mehr Einsparungen (wegen der Augen) hat. Diese Information alleine macht es dem Angreifer VIEL leichter, einen gewürfelten Seed zu finden.
Es ist natürlich trotzdem noch absurd hoch, aber das Problem ist, dass man selber ein schlechtes Gefühl dafür hat, wie hoch die selbst gewürfelte Entropie am Ende ist.
Ein Bitcoin Seed hat 256 Bit Entropie. Alleine 35 Bit weniger würden den Aufwand im Faktor 34 Milliarden verringern.
Tatsache ist: Die Sicherheit von Bitcoin ist mit 160 Bit gedeckelt, der Größe des Adressraums. Seeds mit höherer Entropie bringen keine zusätzliche Sicherheit. Die 256 Bit Entropie von 24-Wörter-Seeds haben also einen riesigen Puffer eingebaut, um schlechten Zufall aufzufangen. Also wirklich riesig – die Pufferentropie allein reicht schon aus für einen als sicher geltenden Seed.
Stell dir vor, dein Würfel ist so gezinkt, dass bei jedem dritten Wurf eine 6 kommt (also doppelt so häufig wie sie sollte), und außerdem kommen etwa die 1 und die 2 überhaupt nicht. Und stell dir vor, ein Angreifer kennt diese konkreten Wahrscheinlichkeiten deines Würfels ganz genau.
Oder stell dir vor, dein Würfel ist okay, aber deine Würfeltechnik ist so mies, dass die Zahl, die du gerade gewürfelt hast, im Schnitt jedes dritte Mal gleich nochmal kommt (statt normal jedes sechste Mal, also wieder doppelt so häufig).
In beiden Beispielen kommst du mit deinem erwürfelten Seed ziemlich genau auf die 160 Bit Entropie, über die hinaus kein echter Nutzen besteht.
Ich finde es unverantwortlich, wenn die Hersteller von Hardware-Wallets ihren Kunden suggerieren, dass „korrektes“ Würfeln wichtig ist, und damit viele davon abhalten, es überhaupt zu tun.
Wie oben beschrieben reizt bereits ein so verzerrtes Würfeln, dass eine der Zahlen doppelt so häufig vorkommt wie sie sollte, die Sicherheit des Adressraums von Bitcoin voll aus.
Selbst wenn die Sicherheit deiner BTC wirklich der vollen Entropie eines 24-Wort-Seeds entsprechen würde (nur angenommen, damit die Qualität deines Würfelns ansatzweise relevant wird), überlege dir Folgendes:
Wie hoch schätzt du die Sicherheit, mit der garantiert werden kann, dass die Seed-Erstellung deiner Hardware-Wallet keinen schwerwiegenden Bug enthält, der deinen Seed kompromittiert? Antwort: Realistischerweise ist eine Konfidenz von mehr als, sagen wir, 1-10⁻⁸ in Softwareangelegenheiten schwer zu rechtfertigen, darüberhinaus fehlt solchen Garantien die Falsifizierbarkeit.
Was glaubst du, wie miserabel dein Würfeln sein darf, damit dein Würfelseed dieselbe Sicherheit garantiert? Antwort: Unfassbar miserabel, der Würfel dürfte ständig auf der gleichen Zahl landen, nur jedes 6. Mal auf einer anderen. (Der resultierende Seed ist selbstverständlich völlig unsicher – und zwar im gleichen Ausmaß wie eine „Keine Bugs“-Garantie.)
Das stimmt natürlich, aber ich verwende bewusst die konservativere Deckelung, damit mir niemand kommt mit „aber meine coins sind sicherer als du da sagst“.
