El problema de compartir secretos

Tiene una clave maestra que debe conservarse y estar disponible en emergencias, pero que nunca debe quedar comprometida por una sola persona. ¿Cómo la almacena? Entregar la clave completa a varias personas significa que cualquiera de ellas puede hacer un uso indebido de ella. Conservar una sola copia crea un único punto de fallo.

Dividir una clave de 128 bits en dos mitades de 64 bits y entregar cada mitad a dos personas parece una buena idea, pero es inseguro: cada mitad reduce el coste de la fuerza bruta de 2^128 a 2^64. Un adversario que comprometa a una persona obtiene una ventaja inicial de 64 bits.

Un esquema adecuado de compartición de secretos debe ser: (1) De umbral: cualquier conjunto de k partes de un total de n reconstruye el secreto. (2) Seguro: cualquier conjunto de (k-1) partes no revela ninguna información sobre el secreto. (3) Perfecto: no requiere supuestos computacionales.

Las carteras de Bitcoin, las claves maestras de HSM, las claves privadas de las autoridades de certificación, los códigos de lanzamiento nuclear y las carteras frías de los exchanges de criptomonedas necesitan acceso por umbral. Perder la clave única = catastrófico. Que un miembro interno la comprometa = también catastrófico.

Para compartir el secreto S entre dos partes: genere R aleatoriamente. Entregue share1=R a la parte 1 y share2=S XOR R a la parte 2. Para reconstruirlo: share1 XOR share2 = R XOR (S XOR R) = S. Cada parte por separado es perfectamente aleatoria: no revela nada sobre S.

La compartición XOR es perfecta para 2-de-2, pero no se generaliza a esquemas de umbral k-de-n. No puede crear un esquema 3-de-5 en el que cualquier 3 partes reconstruyan el secreto, pero 2 partes no revelen nada. La interpolación polinómica resuelve este problema.

El secreto perfecto significa que las partes contienen cero información mutua sobre el secreto cuando hay menos de k partes. Esto es más sólido que la seguridad computacional: incluso un adversario con capacidad computacional ilimitada no aprende nada a partir de k-1 partes.

AWS CloudHSM utiliza autenticación por quórum M-de-N. PGP divide las claves maestras para su custodia. Los proveedores de custodia de criptomonedas (Fireblocks, BitGo) usan MPC o compartición de Shamir para las claves de carteras activas. Las claves fuera de línea de las autoridades de certificación utilizan ceremonias 5-de-7.

Una ceremonia de claves es un proceso formal y auditado para generar y dividir una clave maestra. Ejemplo: 7 titulares de claves presentes en una sala segura, cada uno recibe un token de hardware con una parte. Todo se graba en vídeo, hay dos auditores presentes y se documenta cada paso.

La compartición de secretos reconstruye el secreto completo (riesgo: un único punto de fallo durante la reconstrucción). Multisig distribuye la firma: cada parte firma de forma independiente y las firmas se combinan. Las firmas de umbral (TSS) aplican la compartición de secretos a la propia operación de firma.

El Cálculo multipartito seguro (MPC) elimina por completo el paso de reconstrucción: las partes calculan conjuntamente usando sus partes sin revelar el secreto. ECDSA de umbral y BLS de umbral se implementan en sistemas de custodia en producción.

En un esquema de compartición de secretos XOR 2-de-2, ¿cuántas partes necesita un atacante para conocer el secreto?

La división ingenua de claves es insegura. La compartición adecuada de secretos requiere acceso por umbral con secreto perfecto. XOR gestiona 2-de-2; la interpolación polinómica gestiona k-de-n. Siguiente: matemáticas de Shamir's Secret Sharing.