Threshold-Signaturschemata: Grundlagen

Herkömmliche digitale Signaturen verwenden einen einzelnen privaten Schlüssel, der von einer Partei verwahrt wird. Wird dieser Schlüssel kompromittiert, gestohlen oder geht er verloren, können alle damit erzeugten Signaturen potenziell gefälscht werden, und der Schlüssel kann nicht wiederhergestellt werden. Für hochwertige Signiervorgänge – etwa das Code-Signing von Betriebssystemen, Schlüsselzeremonien von Zertifizierungsstellen oder die Kontrolle über Kryptowährungs-Wallets – ist ein stärkerer Schutz erforderlich, als ihn eine einzelne Partei bieten kann.

Shamir's Secret Sharing (SSS), 1979 erfunden, teilt ein Geheimnis s in n Anteile auf, sodass beliebige t Anteile s wiederherstellen können, während weniger als t Anteile keinerlei Informationen über s preisgeben. Das Verfahren verwendet Polynominterpolation über einem endlichen Körper: s ist das konstante Glied eines zufälligen Polynoms vom Grad (t-1), und die Anteile sind die Auswertungen dieses Polynoms an verschiedenen Punkten. SSS ist informationstheoretisch sicher.

Ein naiver Ansatz für Threshold-Signaturen wäre, mit SSS einen privaten Schlüssel aufzuteilen, ihn von t Parteien wiederherstellen zu lassen und anschließend zu signieren. Damit würde der eigentliche Zweck verfehlt: Bei der Wiederherstellung existiert der private Schlüssel an einem Ort und ist dort angreifbar. Echte Threshold-Signaturen ermöglichen es t Parteien, gemeinsam eine Signatur zu erzeugen, ohne dass irgendeine Partei jemals den vollständigen privaten Schlüssel kennt oder zusammensetzt. Der Schlüssel wird nie wiederhergestellt.

Ein (t, n)-Threshold-Signaturverfahren umfasst n Parteien, die jeweils einen Anteil an einem privaten Schlüssel halten. Eine Signatur kann von beliebigen t Parteien erzeugt werden, die über ein interaktives Protokoll zusammenarbeiten. Die resultierende Signatur ist identisch mit einer regulären Signatur und kann mit dem öffentlichen Gruppenschlüssel verifiziert werden. Lernt ein Angreifer bis zu t-1 Anteile kennen, erfährt er nichts über den privaten Schlüssel.

Interaktives Threshold-Signieren erfordert mehrere Kommunikationsrunden zwischen den signierenden Parteien. Die Parteien tauschen Commitments, Beweise und Teilsignaturen aus, die anschließend kombiniert werden. Nicht interaktive Varianten, bei denen die Parteien bestimmte Werte vorab berechnen, verkürzen die Online-Signierrunde auf eine einzige Nachricht. Bei Anwendungen wie Hardware-Wallets, für die Latenz wichtig ist, kommt es darauf an, die Anzahl der Runden zu minimieren.

Standard-SSS bietet keine Möglichkeit, mit der ein Inhaber eines Anteils überprüfen kann, ob sein Anteil korrekt ist – ein bösartiger Dealer könnte inkonsistente Anteile verteilen. Verifiable Secret Sharing (VSS) ergänzt Commitments zu den Koeffizienten des Polynoms. Dadurch kann jeder Anteilinhaber überprüfen, ob sein Anteil mit dem öffentlichen Commitment konsistent ist, ohne die anderen Anteile zu erfahren. Feldman VSS und Pedersen VSS sind die gängigen Konstruktionen.

Threshold-Signaturen erfordern ein Distributed-Key-Generation-(DKG)-Protokoll, um den gemeinsamen Schlüssel einzurichten, ohne dass eine einzelne Partei den vollständigen privaten Schlüssel kennt. Ohne DKG würde ein vertrauenswürdiger Dealer den Schlüssel erzeugen und aufteilen, wodurch eine vertrauenswürdige Partei entstünde, die den Schlüssel kennt. DKG beseitigt diese Abhängigkeit von einem vertrauenswürdigen Dealer – ein entscheidender Vorteil für vertrauenslose Anwendungen wie die Verwahrung von Blockchain-Assets.

Die institutionelle Verwahrung von Kryptowährungen ist heute der wertvollste Einsatzbereich für Threshold-Signaturen. Coinbase, Fireblocks und Anchorage verwenden auf Threshold-ECDSA basierende Multi-Party-Computation-(MPC)-Wallets, um Vermögenswerte im Wert von Milliarden zu sichern. Statt einen privaten Schlüssel in einem einzelnen Hardware-Sicherheitsmodul zu verwahren, wird der Schlüssel auf mehrere geografisch verteilte Server aufgeteilt. Kein einzelner Sicherheitsvorfall gefährdet dadurch die verwahrten Mittel.

Die Key-Signing-Key-(KSK)-Zeremonie für die DNSSEC-Root-Zone verwendet eine Variante von Secret Sharing mit HSM-Clustern und einem Quorum vertrauenswürdiger Mitglieder der Community. Für die Zeremonie ist ein physisches Quorum erforderlich: 7 von 14 weltweit tätigen kryptografischen Verantwortlichen müssen die Root-Zone signieren. Systeme zur Autorisierung nuklearer Befehle verwenden ähnliche Prinzipien der Schlüsselaufteilung, bei denen mehrere autorisierte Parteien zusammenarbeiten müssen, um sensible Vorgänge zu genehmigen.

Blockchain-Plattformen unterstützen On-Chain-Multisignaturen: Eine Transaktion erfordert Signaturen von t aus n festgelegten öffentlichen Schlüsseln, die alle On-Chain verifiziert werden. Dieses Verfahren ist transparent, einfach und sicher, macht jedoch die Multisig-Struktur sichtbar und erfordert mehrere On-Chain-Operationen. Threshold-ECDSA erzeugt eine einzige Signatur von einem einzigen scheinbaren öffentlichen Schlüssel, verbirgt die Threshold-Struktur vollständig und benötigt nur eine On-Chain-Operation.

Die Sicherheit von Threshold-Signaturen wird gegenüber einem statischen oder adaptiven Angreifer analysiert, der bis zu t-1 Parteien kompromittieren kann. Ein statischer Angreifer legt vor Beginn des Protokolls fest, welche Parteien er kompromittiert; ein adaptiver Angreifer entscheidet dies anhand der beobachteten Nachrichten. Adaptive Sicherheit ist schwieriger zu erreichen und erfordert komplexere Protokolle. Die meisten eingesetzten Threshold-ECDSA-Protokolle weisen ihre Sicherheit gegenüber statischen Angreifern nach.

Threshold-Signaturen ermöglichen es t von n Parteien zu signieren, ohne den privaten Schlüssel wiederherzustellen. Shamir's Secret Sharing allein reicht nicht aus, weil dafür der Schlüssel wiederhergestellt werden muss. Echte Threshold-Verfahren verwenden Multi-Party Computation, bei der der Schlüssel nie zusammengesetzt wird. Zu den Anwendungen gehören die institutionelle Verwahrung von Kryptowährungen (Coinbase, Fireblocks), DNSSEC-Schlüsselzeremonien und kritische Infrastruktur. Threshold-ECDSA erzeugt eine standardmäßige einzelne Signatur, im Gegensatz zu On-Chain-Multisig, bei dem die Threshold-Struktur sichtbar wird.