比特币源码学习-钱包标准（二）-BIP39 比特币钱包

在钱包标准（一）中介绍了基于BIP32的HD（分层确定性）钱包，我们知道HD 钱包具有管理多个密钥和地址的强大机制。由一系列英文单词生成种子是个标准化的方法，这样易于在钱包中转移、导出和导入，如果 HD 钱包与这种方法相结合，将会更加有用。这些英文单词被称为助记词，标准由 BIP-39 定义。
示例：
16 进制表示的种子: 0C1E24E5917779D297E14D45F14E1A1A
助记词表示的种子:army van defense carry jealous true garbage claim echo media make crunch
参考：
BIP39文档https://github.com/bitcoin/bips/blob/master/bip-0039.mediawiki
《精通比特币（第二版）》5.2钱包技术细节

BIP39

1.BIP39

1.2摘要
1.3动机
1.4创建助记词
1.5单词表
1.6从助记码到种子

2.从种子创建HD钱包

1.BIP39

BIP 全名是 Bitcoin Improvement Proposals，是提出 Bitcoin 的新功能或改进措施的文件。可由任何人提出，经过审核后公布在 bitcoin/bips 上。BIP 和 Bitcoin 的关系，就像是 RFC 之于 Internet。

1.2摘要这个BIP描述了助记符代码或助记符句子的实现 – 一组容易记忆的单词 --用于生成确定性钱包。
它由两部分组成：生成助记符，并将其转换为二进制种子。该种子可以稍后用于使用BIP-0032或类似方法生成确定性钱包。
1.3动机与钱包种子的原始二进制或十六进制表示相比，助记符代码或句子让使用者更加容易交互。助记码可以写在纸上或通过电话传达。
本指南旨在通过人类可读转录传输为计算机生成的随机性。这不是将用户创建的句子（也称为脑钱包）处理成钱包种子的方法。

提示：助记词经常与“脑钱包”混淆。他们不一样。主要区别在于脑钱包由用户选择的单词组成，而助记符是由钱包随机创建的，并呈现给用户。这个重要的区别使助记词更加安全，因为人类猜测随机数还是无能为力

1.4创建助记词助记词必须以32位的倍数编码熵，安全性会随熵的增加而提升但句子长度也增加了。把初始的熵长度称为ENT，允许的ENT大小位128-256位。
钱包从熵源开始，增加校验和，然后将熵映射到单词列表。分为6个步骤

创建一个 128 到 256 位的随机序列(熵)。
提出 SHA256 哈希前几位(ENT/ 32)，就可以创造一个随机序列的校验和。
将校验和添加到随机序列的末尾。
将序列划分为包含 11 位的不同部分。
将每个包含 11 位部分的值与一个已经预先定义 2048 个单词的字典做对应。
生成的有顺序的单词组就是助记码。
下表描述了初始熵长度（ENT），校验和长度（CS）和单词中生成的助记句（MS）的长度之间的关系。
CS = ENT / 32
MS = (ENT + CS) / 11

ENT	CS	ENT+CS	MS
128	4	132	12
160	5	165	15
192	6	198	18
224	7	231	21
256	8	264	24

可以从图片来看128位的熵生成12个助记词

文章图片

1.5单词表一个理想的单词表应该具有一下特点：
a)敏捷的单词选择
单词列表的创建方式使得输入前四个字母足以明确地识别单词
b)避免相似的词
类似 “build” 和"built", “woman” 和 “women”, or “quick” 和"quickly"的单词不仅难以记忆句子，也容易出错
c)有序的单词表
对单词列表进行排序，以便更有效地查找代码字（即实现可以使用二进制搜索而不是线性搜索） - 这也允许使用trie（前缀树），例如用于更好的压缩
单词表可以包含本机字符，但必须使用规范化表单兼容性分解（NFKD）以UTF-8编码。
1.6从助记码到种子用户可以决定用密码来保护他们的助记符。如果不存在密码短语，则使用空字符串“”。
为了从助记词创建二进制种子，我们使用PBKDF2函数，其中使用用作密码的助记符句子（UTF-8 NFKD）和用作盐的字符串“助记符”+密码可选（再次用UTF-8 NFKD）。迭代计数设置为2048，HMAC-SHA512用作伪随机函数。派生密钥的长度为512位（= 64字节）。可以分为三步来看
7. PBKDF2 密钥延伸函数的第一个参数是从步骤 6 生成的助记符。
8. PBKDF2 密钥延伸函数的第二个参数是盐。由字符串常数“助记词”与可选的用户提供的密码字符串连接组成。
9. PBKDF2 使用 HMAC-SHA512 算法，使用 2048 次哈希来延伸助记符和盐参数，产生一个 512 位的值作为其最终输出。这个 512 位的值就是种子。

文章图片

提示 :密钥延伸函数，使用 2048 次哈希是一种非常有效的保护，可以防止对助记词或密码短语的暴力攻击。它使得攻击尝试非常昂贵(从计算的角度)，需要尝试超过几千个密码和助记符组合，而这样可能产生的种子的数量是巨大的 (2^512)。

BIP-39 标准允许在推导种子时使用可选的密码短语。如果没有使用密码短语，助记词是用由常量字符串“助记词”构成的盐进行延伸，从任何给定的助记词产生一个特定的 512 位种子。如果使用密码短语，密钥延伸函数使用同样的助记词也会产生不同的种子。事实上，给予一个单一的助记词，每一个可能的密码短语都会导致不同的种子。基本上没有“错误”的密码短语，所有密码短语都是有效的，它们都会导致不同的种子，形成一大批可能未初始化的钱包。这批钱包非常之大 (2^512)，使用暴力破解或随机猜测基本不可能。

提示BIP-39中没有“错误的”密码短语。每个密码都会导致一些钱包，只是未使用的钱包是空的。

可选密码短语带来两个重要功能:
(存储在大脑中的)密码短语成为第二个因素，使得助记词不能单独使用，避免了助记词备份盗取后被利用。起到掩人耳目的效果，把密码短语指向有小额资金的钱包，分散攻击者注意力，使其不在关注拥有大额资金的“真实”钱包。
然而，需要注意的是，使用密码短语也会引起丢失的风险:
如果钱包所有者无行为能力或死亡，没有人知道密码，种子是无用的，所有存储
在钱包中的资金都将永远丢失。相反，如果所有者将密码短语与种子备份在相同
的地方，则违反了上述第二个因素的目的。虽然密码是非常有用的，但它们只能
与仔细计划的备份和恢复流程结合使用，考虑到所有者个人风险的可能性，应该
允许其家人恢复加密资产。
2.从种子创建HD钱包 HD 钱包从单个根种子(root seed)中创建，为 128 到 256 位的随机数。最常见的是，这个种子是从助记符产生的，如上面所述。
HD 钱包的所有的确定性都衍生自这个根种子。任何兼容 HD 钱包的根种子也可重新创造整个 HD 钱包。所以简单的转移 HD 钱包的根种子就让 HD 钱包中所包含的成千上百万的密钥被复制，储存导出以及导入。