بروتوكولات توليد المفاتيح الموزعة

يحل توليد المفاتيح الموزع (DKG) مشكلة الموزّع الموثوق في التشفير بعتبة. فمن دون DKG، يجب على طرف مركزي إنشاء زوج المفاتيح وتوزيع الحصص، مع معرفته بالمفتاح الخاص الكامل ولو لحظيًا. ويتيح DKG لـ n من الأطراف إنشاء زوج مفتاح عام/خاص بصورة مشتركة عبر بروتوكول لا يتعلم فيه أي طرف منفرد المفتاح الخاص، ولا حتى منسق البروتوكول.

كان DKG الخاص بـ Pedersen أول بروتوكول عملي لتوليد المفاتيح الموزع، وقد نُشر عام 1991. ينشئ كل طرف من الأطراف n سرًا عشوائيًا s_i، وينفذ بروتوكول مشاركة الأسرار القابلة للتحقق (VSS) لمشاركته. ويبث كل طرف التزامات بمعاملات كثير الحدود الخاص به. وبعد أن يشارك جميع الأطراف مساهماتهم، يكون السر المشترك هو مجموع جميع قيم s_i، ويمتلك كل طرف حصة من هذا المجموع.

يُعد Feldman VSS (مشاركة الأسرار القابلة للتحقق، بواسطة Feldman، 1987) اللبنة الأساسية لمعظم بروتوكولات DKG. يلتزم الموزّع بمعاملات كثير الحدود بوصفها عناصر من المجموعة (C_j = g^{a_j} mod p). ويمكن لكل طرف يتلقى الحصة f(i) التحقق منها مقابل هذه الالتزامات، وذلك بفحص ما إذا كان g^{f(i)} مساويًا لحاصل ضرب C_j^{i^j}. ويتيح ذلك للأطراف اكتشاف ما إذا كان الموزّع قد أرسل حصصًا غير صحيحة.

ينفذ DKG المشترك بين Feldman بروتوكول Feldman VSS بالتوازي لجميع الأطراف n، بحيث يعمل كل طرف موزّعًا لسره الخاص. ثم يقدّم الأطراف شكاوى إذا تلقوا حصصًا غير صالحة. ويكون المفتاح النهائي هو مجموع الأسرار التي قدمها الموزّعون الذين لم تُقدَّم شكاوى بحقهم. غير أن DKG المشترك بين Feldman ليس آمنًا في مواجهة الخصوم التكيفيين الذين يفسدون الأطراف استنادًا إلى رسائل البروتوكول، وهي ثغرة حددها Gennaro وJarecki وKrawczyk وRabin.

عالج بروتوكول GJKR لـ DKG (Gennaro وJarecki وKrawczyk وRabin، 1999 و2007) نقاط ضعف DKG المشترك بين Feldman. ويستخدم GJKR VSS الخاص بـ Pedersen، الذي يوفر التزامات مخفية نظريًا معلوماتيًا، بدلًا من VSS الخاص بـ Feldman، ويضيف جولات شكاوى يمكن للأطراف خلالها الاعتراض على الحصص غير الصالحة. ويكون DKG الناتج آمنًا في مواجهة الخصوم التكيفيين، وأصبح المرجع النظري القياسي لـ DKG الآمن.

يتطلب DKG الخاص بـ GJKR ثلاث جولات: جولة الالتزامات، التي يبث فيها كل طرف التزامات VSS؛ وجولة الحصص، التي يرسل فيها الأطراف الحصص بعضهم إلى بعض من طرف إلى طرف؛ وجولة الشكاوى، التي يبث فيها الأطراف شكاوى بشأن الحصص غير الصالحة. ويُستبعد الأطراف الذين يفشلون في حل الشكاوى. وتجمع جولة رابعة مساهمات الأطراف الصالحة في المفتاح العام النهائي وحصص المفتاح الخاص الموزعة.

تستخدم إدارة مفاتيح المدققين في Ethereum تقنية DKG لتقنية المدققين الموزعة (DVT). ويستخدم EIP-4844 ونظام DVT، بما في ذلك Obol Network وSSV Network، توقيعات BLS بعتبة فوق BLS12-381، للسماح للجان المدققين بتوقيع الكتل من دون أن يعرف أي مشغّل منفرد مفتاح المدقق الكامل. ويؤدي ذلك إلى تحسين تحمّل أعطال المدققين وتقليل خطر خفض الحصة بسبب اختراق المفتاح.

DRAND هي منارة عشوائية موزعة تستخدمها سلسلة منارة Ethereum لتوليد أرقام عشوائية لا يمكن التنبؤ بها. وينفذ DRAND عملية DKG بين مجموعة من عقد League of Entropy، مثل Cloudflare وEPFL وProtocol Labs وغيرها، لإنشاء مفتاح BLS بعتبة. وفي كل جولة، تساهم t من أصل n عقد بتوقيعات جزئية تندمج في قيمة عشوائية لا يمكن التنبؤ بها. ولا يمكن لأي عقدة منفردة تحييز الناتج أو التنبؤ به.

يكون DKG أبسط بكثير في مخططات Schnorr/EdDSA بعتبة منه في ECDSA بعتبة. ففي مخططات Schnorr بعتبة، يكون المفتاح الخاص الموزع ببساطة مجموع أسرار الأطراف (x = x1 + x2 + ... + xn)، ويكون المفتاح العام مجموع حصص المفاتيح العامة (X = X1 + X2 + ... + Xn). أما في ECDSA، فتعني اللاخطية أن على DKG إنتاج حصص ضرب، مما يتطلب بروتوكولات أكثر تعقيدًا.

يمكن أن تتعرض حصص المفاتيح بعتبة طويلة الأمد للاختراق تدريجيًا إذا أفسد خصم الأطراف ببطء مع مرور الوقت. وتعيد مشاركة الأسرار الاستباقية، أي بروتوكولات التجديد، توزيع الحصص عشوائيًا بصورة دورية من دون تغيير المفتاح الأساسي. وبعد التجديد، تصبح الحصص السابقة للتجديد عديمة الفائدة، مما يحد من فترة التعرض للخطر. ويتضمن GJKR وتفرعاته بروتوكولات تجديد تنفذ البنية نفسها التي ينفذها DKG الأولي.

طُبّق DKG في عدة أنظمة إنتاجية. ويستخدم عميل DVT الخاص بـ Ethereum، Obol Charon، مراسم DKG تستند إلى Pedersen VSS فوق BLS12-381. ويستخدم Silent Shard من Silence Laboratories تقنية DKG في محافظ MPC للأجهزة المحمولة. وتطبق مكتبة dkg-go بروتوكول GJKR لتطبيقات Go. وتستخدم Threshold Network، المعروفة سابقًا باسم Keep Network، تقنية DKG في خدمة ECDSA بعتبة التي تؤمّن tBTC على Bitcoin.

ما الخاصية الأساسية التي تجعل DKG الخاص بـ Pedersen أفضل من إعداد يعتمد على موزّع موثوق واحد؟

يلغي DKG الحاجة إلى الموزّع الموثوق، إذ يجعل جميع الأطراف n تنشئ بصورة مشتركة زوج مفاتيح بعتبة من دون أن يعرف أي طرف المفتاح الخاص. وينفذ كل طرف في DKG الخاص بـ Pedersen بروتوكول VSS لمساهمته. ويضيف GJKR الأمان في مواجهة الخصوم التكيفيين من خلال جولات الشكاوى. ويشكل DKG أساس DVT في Ethereum، بما في ذلك Obol وSSV، ومنارة العشوائية DRAND، وإعدادات محافظ MPC الإنتاجية. وتوسع بروتوكولات التجديد نطاق الأمان من خلال إعادة توزيع الحصص عشوائيًا بصورة دورية.