Schwellwertsignaturen und Praxisanwendungen

Klassisches Secret Sharing rekonstruiert das Geheimnis an einem einzigen Ort — ein Risiko. Schwellenwertsignaturen verteilen den Signiervorgang: k von n Parteien erzeugen gemeinsam eine Signatur, ohne dass eine einzelne Partei jemals den vollständigen privaten Schlüssel besitzt. Keine Rekonstruktion, kein einzelner Ausfallpunkt.

Threshold ECDSA (t-ECDSA) ermöglicht es k Parteien, gemeinsam eine ECDSA-Signatur über eine Nachricht zu berechnen. Jede Partei besitzt einen Share des privaten Schlüssels. Das Protokoll verwendet MPC, um die Signatur zu berechnen, ohne einzelne Shares oder den kombinierten Schlüssel offenzulegen.

BLS-Signaturen (Boneh-Lynn-Shacham) über pairing-freundlichen Kurven unterstützen elegante Schwellenwertverfahren. Partielle Signaturen sind linear — jede Partei signiert mit ihrem Share, anschließend werden k partielle Signaturen mithilfe von Lagrange-Koeffizienten zu einer einzelnen BLS-Signatur aggregiert.

DKG macht den vertrauenswürdigen Dealer überflüssig: Jede Partei erzeugt ihr eigenes Share-Polynom, veröffentlicht Commitments und tauscht Shares aus. Der gemeinsame öffentliche Schlüssel wird berechnet, ohne dass eine Partei den privaten Schlüssel kennt. DKG wird bei Ethereum-Validatoren und verteilten HSMs eingesetzt.

Börsen wie Coinbase, Gemini und BitGo verwenden 2-of-3- oder 3-of-5-Threshold-ECDSA beziehungsweise Shamir SSS für Hot-Wallet-Schlüssel. Cold-Wallet-Schlüssel werden mithilfe hardwarebasierter Schlüsselzeremonien verwaltet; dabei werden offline erzeugte Shamir-Shares auf geografisch getrennte Tresore verteilt.

Thales Luna und AWS CloudHSM unterstützen eine M-of-N-Quorum-Authentifizierung: Für einen Master-Key müssen bei sensiblen Operationen wie Key-Wrapping und Signieren gleichzeitig M von N Smartcards der Administratoren vorhanden sein. Die Karten werden geografisch verteilt.

Ethereum-2.0-Staking-Pools verwenden Threshold-BLS-Signaturen: Mehrere Nodes signieren gemeinsam Attestierungen, ohne den privaten Schlüssel des Validators offenzulegen. Wenn k-1 Nodes offline gehen, wird das Signieren sicher angehalten. Wenn k Nodes verfügbar sind, wird das Signieren fortgesetzt.

Private CA-Schlüssel werden mithilfe zeremonienbasierter Shamir-Verfahren geschützt: 5 von 7 Schlüsselinhabern, jeweils mit einer physischen Smartcard, müssen sich in einem sicheren Raum versammeln, um eine Certificate Revocation List zu signieren oder ein neues Intermediate-CA-Zertifikat auszustellen.

FROST (Flexible Round-Optimized Schnorr Threshold) erzeugt Threshold-Schnorr-Signaturen, die mit Bitcoin Taproot und MuSig2 kompatibel sind. Das Verfahren benötigt 2 Kommunikationsrunden und gilt derzeit als Stand der Technik für das Threshold-Signieren bei Bitcoin.

Schwellenwertverfahren müssen mit böswilligen Parteien umgehen, die ungültige Shares oder Signaturen senden. Robuste Protokolle verwenden Commitments und Zero-Knowledge-Proofs, um Betrüger zu erkennen und auszuschließen, während mit den verbleibenden ehrlichen Parteien weiterhin rekonstruiert oder signiert werden kann.

Merkmalsvergleich: Shamir SSS (teilt das Geheimnis, einfach) im Vergleich zu Threshold ECDSA (keine Rekonstruktion, komplex, MPC-basiert), Threshold BLS (native Aggregation, nur für Pairing-Kurven) und Multisig (auf Blockchain-Ebene, kein MPC erforderlich).

Was ist der entscheidende Vorteil von Schwellenwertsignaturen gegenüber Shamir Secret Sharing bei Signaturschlüsseln?

Schwellenwertsignaturen verteilen das Signieren ohne Rekonstruktion und verwenden dafür MPC-Protokolle. Sie werden bei der Verwahrung von Kryptowährungen, in Validator-Netzwerken und bei CA-Zeremonien in Unternehmen eingesetzt. Als Nächstes folgen kryptografische Zufälligkeit und Entropie.