مخططات التوقيع بالعتبة: المفاهيم

تستخدم التوقيعات الرقمية التقليدية مفتاحًا خاصًا واحدًا تحتفظ به جهة واحدة. فإذا اختُرق هذا المفتاح أو سُرق أو فُقد، أصبحت جميع التوقيعات المنشأة به قابلة للتزوير، ولا يمكن استعادة المفتاح. وتتطلب عمليات التوقيع عالية القيمة — مثل توقيع الشيفرة لأنظمة التشغيل، ومراسم مفاتيح سلطة الشهادات، والتحكم في محافظ العملات المشفّرة — حماية أقوى مما يمكن لأي جهة واحدة توفيره.

يقسم تقاسم الأسرار باستخدام Shamir (SSS)، الذي ابتُكر عام 1979، سرًا s إلى n حصص، بحيث يمكن لأي t حصص إعادة بناء s، بينما لا تكشف أقل من t حصص أي شيء. ويستخدم المخطط الاستيفاء متعدد الحدود فوق حقل منتهٍ: إذ يمثل s الحد الثابت لكثير حدود عشوائي من الدرجة (t-1)، وتكون الحصص قيم هذا كثير الحدود عند نقاط متميزة. ويتميز SSS بأمان معلوماتي نظري.

يتمثل النهج الساذج للتوقيع العتبي في استخدام SSS لتقسيم مفتاح خاص، ثم جعل t من الأطراف تعيد بناءه وتوقّع به. وهذا يهزم الغرض من المخطط، لأن إعادة بناء المفتاح الخاص تعني وجوده في مكان واحد وتعرضه للخطر. أما التوقيعات العتبية الحقيقية فتتيح لـ t من الأطراف إنتاج توقيع تعاونيًا، من دون أن يتعلم أي طرف المفتاح الخاص الكامل أو يجمعه في أي وقت. ولا يُعاد بناء المفتاح مطلقًا.

يتضمن مخطط التوقيع العتبي (t, n) عددًا من الأطراف يبلغ n، يحتفظ كل منها بحصة من مفتاح خاص. ويمكن إنتاج توقيع بواسطة أي t من الأطراف التي تعمل معًا عبر بروتوكول تفاعلي. ويكون التوقيع الناتج مطابقًا لما سيبدو عليه التوقيع العادي، ويمكن التحقق منه باستخدام المفتاح العام للمجموعة. ولا يتعلم الخصم الذي يحصل على ما يصل إلى t-1 حصة أي شيء عن المفتاح الخاص.

يتطلب التوقيع العتبي التفاعلي جولات متعددة من الاتصال بين الأطراف الموقعة. فتتبادل الأطراف الالتزامات والبراهين والتوقيعات الجزئية، ثم تُجمع هذه العناصر. أما الأنواع غير التفاعلية (التي تحسب فيها الأطراف بعض القيم مسبقًا) فتقلل جولة التوقيع عبر الإنترنت إلى رسالة واحدة. وبالنسبة إلى تطبيقات مثل محافظ الأجهزة، حيث يكون زمن الاستجابة مهمًا، فإن تقليل عدد الجولات أمر مهم.

لا يوفر SSS القياسي أي طريقة لحامل الحصة للتحقق من صحة حصته؛ إذ يمكن لموزّع خبيث أن يوزع حصصًا غير متسقة. ويضيف تقاسم الأسرار القابل للتحقق (VSS) التزامات بمعاملات كثير الحدود، مما يتيح لكل حامل حصة التحقق من اتساق حصته مع الالتزام العام من دون معرفة الحصص الأخرى. ويُعد كل من Feldman VSS وPedersen VSS من الإنشاءات القياسية.

تتطلب التوقيعات العتبية بروتوكول توليد مفاتيح موزّع (DKG) لإعداد المفتاح المشترك من دون أن يعرف أي طرف واحد المفتاح الخاص الكامل. ومن دون DKG، سيولد موزّع موثوق المفتاح ويقسمه، مما ينشئ طرفًا موثوقًا يعرف المفتاح. ويلغي DKG الحاجة إلى هذا الموزّع الموثوق، وهو أمر بالغ الأهمية للتطبيقات التي لا تتطلب الثقة، مثل حفظ الأصول في blockchain.

يمثل حفظ العملات المشفّرة للمؤسسات حاليًا التطبيق الأعلى قيمة للتوقيعات العتبية. وتستخدم Coinbase وFireblocks وAnchorage محافظ الحوسبة متعددة الأطراف (MPC) القائمة على ECDSA العتبي لتأمين أصول تبلغ قيمتها مليارات الدولارات. وبدلًا من احتفاظ وحدة واحدة من وحدات HSM بالمفتاح الخاص، يُقسّم المفتاح على خوادم متعددة موزعة جغرافيًا. ولا يؤدي أي اختراق منفرد إلى تعريض الأموال للخطر.

تستخدم مراسم مفتاح توقيع المفاتيح (Key Signing Key، KSK) لمنطقة الجذر في DNSSEC نوعًا من تقاسم الأسرار مع عناقيد HSM ونصاب من أعضاء المجتمع الموثوقين. وتتطلب المراسم نصابًا فعليًا (7 من أصل 14 مسؤولًا تشفيريًا حول العالم) لتوقيع منطقة الجذر. وتستخدم أنظمة تخويل الأوامر النووية مبادئ مماثلة للمفاتيح المقسّمة، حيث يجب أن تتعاون عدة أطراف مخولة للسماح بالعمليات الحساسة.

تدعم منصات blockchain التوقيع المتعدد على السلسلة: إذ تتطلب المعاملة توقيعات من t من أصل n من المفاتيح العامة المحددة، وتتحقق منها على السلسلة. وهذا الأسلوب شفاف وبسيط وآمن، لكنه يكشف بنية التوقيع المتعدد ويتطلب عمليات متعددة على السلسلة. أما ECDSA العتبي فينتج توقيعًا واحدًا من مفتاح عام واحد ظاهر، فيخفي بنية العتبة تمامًا ولا يستخدم سوى عملية واحدة على السلسلة.

يُحلل أمان التوقيعات العتبية في مواجهة خصم ثابت أو متكيف يستطيع اختراق ما يصل إلى t-1 من الأطراف. يختار الخصم الثابت الأطراف التي سيخترقها قبل بدء البروتوكول، بينما يختار الخصم المتكيف الأطراف استنادًا إلى الرسائل التي يلاحظها. ويصعب تحقيق الأمان في مواجهة الخصم المتكيف، إذ يتطلب بروتوكولات أكثر تعقيدًا. وتثبت معظم بروتوكولات ECDSA العتبية المنشورة أمانها في مواجهة الخصوم الثابتين.

لماذا لا يكفي تقاسم الأسرار باستخدام Shamir وحده لإنشاء مخطط توقيع عتبي آمن؟

تتيح التوقيعات العتبية لـ t من أصل n من الأطراف التوقيع من دون إعادة بناء المفتاح الخاص. ولا يكفي تقاسم الأسرار باستخدام Shamir وحده، لأنه يتطلب إعادة بناء المفتاح. وتستخدم المخططات العتبية الحقيقية الحوسبة متعددة الأطراف، حيث لا يُجمع المفتاح مطلقًا. وتشمل التطبيقات حفظ العملات المشفّرة للمؤسسات (Coinbase وFireblocks)، ومراسم مفاتيح DNSSEC، والبنية التحتية الحيوية. وينتج ECDSA العتبي توقيعًا واحدًا قياسيًا، بخلاف التوقيع المتعدد على السلسلة الذي يكشف بنية العتبة.