SLIP39-Backup wiederherstellen: Was genügend Anteile nicht beweisen

Finanzierung: CypherpunkGuide kann über verlinkte Kaufratgeber Vermittlungsprovisionen erhalten. Dieser Artikel enthält keine direkten Affiliate-Kauflinks. Kein Wallet-Anbieter hat dieses Experiment gesponsert.

SLIP39 ist ein Standard, mit dem sich ein Geheimnis als Backup in mehrere, durch Wörter dargestellte Anteile aufteilen lässt. Eine Passphrase ist eine zusätzliche geheime Zeichenfolge außerhalb dieser Anteile. Sie kann für die Wallet erforderlich sein, die du wiederherstellen möchtest.

Von drei Backup-Karten sind noch zwei vorhanden. Bei einer 2-von-3-Konfiguration kann das genügen. Offen bleibt aber, ob die Karten zusammengehören, ob eine weitere Gruppe nötig ist und ob du zum Öffnen der gewünschten Wallet eine Passphrase brauchst.

Am 6. Oktober 2026 habe ich mit öffentlich bekannten Testdaten 45 offizielle Testvektoren und 32 zusätzliche Prüfungen ausgeführt. Testvektoren sind vorgegebene Eingaben mit bekannten Soll-Ergebnissen. Alle 77 Prüfungen lieferten das erwartete Ergebnis. Dazu zählen vorgesehene Ablehnungen sowie zwei Fälle, in denen ohne Meldung eines Passphrasenfehlers ein anderer Wert herauskam. Die Zahl steht also nicht für 77 erfolgreich wiederhergestellte Wallets.

Das Experiment verwendet die SLIP39-Referenzimplementierung, ein Programm zur Umsetzung des Standards. Es prüft keine Hardware-Wallet, sucht keine Bitcoin und signiert keine Transaktion. Die Prüfungen zur Selbstverwahrung erklären den grundsätzlichen Unterschied zwischen Empfang, Signatur und Wiederherstellung.

Zähle vollständige Gruppen, nicht nur Karten

#

Ein SLIP39-Backup kann eine Mindestzahl von Anteilen pro Gruppe und eine Mindestzahl vollständiger Gruppen verlangen. Ein Anteil, im Standard Share genannt, ist ein codierter Teil des Backups, meist als Wortfolge notiert. Der Schwellenwert legt die erforderliche Anzahl auf der jeweiligen Ebene fest.

Diese zwei Ebenen sind in der SLIP39-Spezifikation beschrieben. Unser gruppiertes Testbackup verlangte zwei von drei Gruppen. Für die ersten beiden Gruppen waren jeweils zwei ihrer drei Anteile nötig. Die letzte Gruppe bestand aus einem einzigen benötigten Anteil. Zwei Karten aus der ersten Gruppe vervollständigten daher nur eine Gruppe und reichten für das gesamte Backup nicht aus.

Alle 15 gültigen Kombinationen mit der jeweils kleinsten benötigten Anzahl von Anteilen stellten den erwarteten Wert wieder her. Die beiden unvollständigen Beispiele wurden abgelehnt. Bei einem separaten, einfachen 2-von-3-Testbackup funktionierten alle drei möglichen Paare. Derselbe Anteil zählte auch bei doppelter Eingabe nicht als zweiter, eigenständiger Anteil.

Die Anteile rekonstruieren ein gemeinsames Geheimnis. Sie sind keine unabhängigen Signierschlüssel wie bei einer herkömmlichen Bitcoin-Multisig-Wallet. Diesen anderen Fall behandelt unser Multisig-Wiederherstellungstest. Keine der beiden Methoden ist automatisch für jeden geeignet.

Korrekte Anteile bestätigen keine Passphrase

#

SLIP39 prüft nicht, ob eine Passphrase die von dir beabsichtigte ist. In unseren beiden Fällen mit absichtlich falscher Passphrase liefen die Rekonstruktion aus den Anteilen und die Entschlüsselung vollständig durch. Die ausgegebenen Bytes unterschieden sich jedoch vom bekannten öffentlichen Sollwert.

Zunächst rekonstruierte das Programm das Encrypted Master Secret (EMS), also den verschlüsselten Ausgangswert, den die Anteile darstellen. Anschließend leitete es mithilfe der Passphrase das unverschlüsselte Ergebnis ab. Auch die Trezor-Firmware-Dokumentation unterscheidet die Rekonstruktion aus Anteilen von der Ableitung, die von der Passphrase abhängt.

Eine beruhigende Abschlussmeldung reicht deshalb nicht als Nachweis. Im Experiment konnten wir die Abweichung erkennen, weil der ursprüngliche Testwert bekannt war. Wir haben weder Adressen abgeleitet noch Wallet-Guthaben geprüft. Zeigt eine echte Wiederherstellung eine leere Wallet, muss die Ursache weiter untersucht werden. Unser Ergebnis allein erklärt sie nicht.

Das Programm ist kein Werkzeug zur Suche nach einer Passphrase. Der Artikel zur Passwortwiederherstellung behandelt eine andere Art von Problem.

Ein zusätzliches Backup kann das bisherige weiter nutzbar lassen

#

Wenn du dasselbe Geheimnis erneut sicherst, können frühere Wiederherstellungsunterlagen weiterhin funktionieren. In unserem Test ergaben ein früher erzeugtes Backup mit einem Anteil, ein früher erzeugtes 2-von-3-Backup und ein neu erzeugtes 2-von-3-Backup denselben erwarteten Wert.

„Früher“ bezeichnet hier nur die Reihenfolge der Erzeugung im Test. Alle drei Backups verwendeten das Extendable-Format (extendable=True) und dieselbe Kennung 42. Wir haben damit weder ein älteres SLIP39-Format noch den Upgrade-Ablauf eines Geräts getestet.

Unabhängig davon erklärt Trezors Upgrade-Anleitung, dass ein zusätzliches Backup für eine geeignete bestehende Wallet das ursprüngliche Backup nicht ungültig macht. Welche Wallets dafür geeignet sind und wie die Bedienung funktioniert, hängt vom Produkt ab. Unser mathematisches Beispiel prüft diese Voraussetzungen nicht.

Berücksichtige bei deiner Bestandsaufnahme deshalb frühere Backups ebenso wie das neueste. Das ist für den Schutz deiner Privatsphäre und die Kontrolle des Zugriffs wichtig. Zusätzliche Anteile entziehen bereits offengelegtem Material nicht automatisch seine Wirkung. Dieser Artikel fordert dich nicht dazu auf, Backups zu vernichten, Geräte zurückzusetzen oder Mittel zu verschieben.

Was die 77 Prüfungen belegen

#

Die Ergebnisse unterscheiden zwischen einem übereinstimmenden Wert, einem abweichenden Wert und einer Ablehnung. Die Einzelergebnisse dokumentieren alle 77 Beobachtungen.

Die letzten beiden Zeilen verlangen eine genaue Einordnung. Wir verwendeten absichtlich dieselben Metadaten, also dieselben Angaben zur Kennzeichnung der Anteile, damit unabhängig erzeugte Aufteilungen mit denselben Wörtern begannen. Diese eine Mischung scheiterte an einer Konsistenzprüfung. Daraus ergibt sich weder eine Fehlerquote noch eine Aussage über das Verhalten jeder denkbaren Mischung. Gleiche Anfangswörter beweisen nicht die Zugehörigkeit zur gewünschten Wallet.

Die Ablehnung überzähliger Anteile folgt aus den Eingabebedingungen dieser konkreten Wiederherstellungsfunktion. Sie erwartet genau die Anzahl, die der Schwellenwert verlangt. Das bedeutet nicht, dass du mit allen drei vorhandenen Anteilen nicht wiederherstellen kannst: Alle drei möglichen Zweiergruppen waren bereits erfolgreich.

Das Paket zum Nachstellen des Experiments enthält eine festgelegte Version der offiziellen Implementierung, die Eingaben und die Ergebnisse. Es verwendet ausschließlich öffentliche Werte und für den Test festgelegte, reproduzierbare Zufallswerte. Verwende seine Anteile niemals für echte Mittel. Passe das Programm auch nicht so an, dass es deine echten Wiederherstellungswörter annimmt. Die README-Datei des Projekts warnt ausdrücklich, dass die Implementierung nicht für die Verarbeitung sensibler Geheimnisse abgesichert ist. Auch offline wird daraus kein sicheres Werkzeug für eine echte Wiederherstellung.

Bei den offiziellen Testvektoren wurden nur die Bytes des Master Secret mit den Sollwerten verglichen, nicht die ebenfalls angegebenen erweiterten privaten BIP32-Schlüssel. Gerätekompatibilität, Adresssuche, Signieren und von Menschen ausgeführte Wiederherstellungsabläufe lagen außerhalb des Experiments.

Prüfe den Plan, ohne Geheimnisse zu sammeln

#

Eine sinnvolle Bestandsaufnahme dokumentiert, welche Voraussetzungen geprüft wurden. Sie sammelt keine Wiederherstellungswörter. Die leere Checkliste enthält Statusfelder statt Feldern für Anteile, Passphrasen, Namen oder Aufbewahrungsadressen.

Prüfe das Backup-Format und die dokumentierte Kompatibilität, die benötigten Anteile und Gruppen, eine mögliche zusätzliche Passphrase und die fortbestehende Gültigkeit früherer Backups. Bedenke auch, ob ein einzelner Vorfall mehrere Aufbewahrungsorte gleichzeitig betreffen könnte. Halte selbst diese Bestandsaufnahme vertraulich, wenn sie deine Sicherheitsvorkehrungen erkennen lässt.

Nutze das dokumentierte Prüfverfahren des Anbieters für das betreffende Produkt. Lösche kein funktionierendes Wiederherstellungsmaterial, nur um die Checkliste abzuschließen. Eine Prüfung der Dateiwiederherstellung kann zeigen, dass gespeicherte Dateien lesbar sind. Sie belegt nicht, dass ihr Inhalt die Wiederherstellungsbedingungen einer bestimmten Wallet erfüllt.

Das solltest du festhalten

#

Fragen zu den Ergebnissen

#

Darf ich Karten kombinieren, weil ihre ersten Wörter übereinstimmen?

#

Übereinstimmende Anfangswörter erlauben nur eine vorläufige Prüfung von Metadaten. Sie ersetzen weder die vollständige Prüfung der Anteile noch eine erfolgreiche Rekonstruktion oder die Voraussetzungen für die gewünschte Wallet. Unsere Mischung mit gleichen Anfangswörtern wurde erfolgreich decodiert, scheiterte aber an der Konsistenzprüfung bei der Rekonstruktion.

Sollte ich einen Anteil wegwerfen, weil die Eingabe aller drei abgelehnt wurde?

#

Nein. Das Ergebnis beschreibt eine Eingabebedingung der getesteten Wiederherstellungsfunktion. Alle drei möglichen Kombinationen aus zwei Anteilen waren erfolgreich. Dieses Ergebnis ist kein Grund, Wiederherstellungsmaterial wegzuwerfen oder bei einer Geräteoberfläche dasselbe Verhalten anzunehmen.

Belegt das Experiment einen funktionierenden Nachlassplan?

#

Nein. Es prüft öffentliche Testdaten mit einer einzelnen Implementierung. Es zeigt nicht, wer die Unterlagen finden und verwenden kann, wer rechtlich dazu befugt ist oder ob die Wiederherstellung nach dem Tod des Eigentümers weiterhin praktikabel ist.

Quellen und archivierte Fassungen

#

Die archivierte Fassung des Repositorys belegt dessen Warnung vor der Verarbeitung sensibler Geheimnisse. Sie ist keine archivierte Fassung des exakten Commits, der im Experiment verwendet wurde. Diese Version und ihre Datei-Hashes sind im Paket zum Nachstellen enthalten.