ECDSA de umbral: firma multipartita

Las firmas ECDSA requieren calcular un nonce aleatorio k, el punto de la curva R = k*G y la firma s = k^{-1}(h + r*x) mod n, donde x es la clave privada y r es la coordenada x de R. La inversión de k y la multiplicación por la clave privada hacen que ECDSA sea intrínsecamente no lineal, a diferencia de las firmas Schnorr, en las que la respuesta es una combinación lineal sencilla. Esta no linealidad hace que distribuir el cálculo entre varios participantes sea extremadamente difícil.

El protocolo GG18, desarrollado por Gennaro y Goldfeder (2018), fue la primera construcción práctica de ECDSA de dos partes y de umbral segura sin un distribuidor de confianza. La idea clave consiste en utilizar el cifrado homomórfico de Paillier para realizar la conversión multiplicativa a aditiva (MtA) necesaria para el cálculo no lineal de ECDSA. GG18 proporciona seguridad basada en simulación frente a adversarios estáticos semihonestos.

GG20 (Gennaro y Goldfeder, 2020) mejoró GG18 al demostrar seguridad frente a adversarios maliciosos sin una configuración de confianza. GG20 añadió pruebas de conocimiento cero para garantizar que cada participante siguiera correctamente el protocolo. Estas pruebas impiden que un participante malicioso sesgue el nonce o la firma para extraer información sobre las partes de clave de los demás participantes. GG20 se convirtió en la base de muchas implementaciones de billeteras MPC en producción.

CGGMP21 (Canetti, Gennaro, Goldfeder, Makriyannis, Peled, 2021) es actualmente el protocolo ECDSA de umbral más avanzado del estado del arte. Permite abortos identificables, lo que significa que, si el protocolo de firma falla debido a un comportamiento malicioso, puede identificar qué participante es responsable. Esto es fundamental para las implementaciones empresariales en las que la rendición de cuentas es importante. CGGMP21 está implementado en bibliotecas MPC populares, incluidas tss-lib y multi-party-sig.

El desafío central de ECDSA de umbral consiste en calcular el producto de partes secretas sin revelarlas. La conversión MtA (de multiplicativo a aditivo) transforma el producto a*b de las partes de dos participantes en partes aditivas: el participante 1 obtiene alpha y el participante 2 obtiene beta, de modo que alpha + beta = a*b. Esto se consigue mediante el cifrado de Paillier: el participante 1 cifra a, el participante 2 realiza una multiplicación homomórfica por b y añade aleatoriedad, y el participante 1 descifra el resultado para obtener las partes aditivas.

El cifrado de Paillier es un esquema de cifrado homomórfico parcial que admite tanto la suma como la multiplicación por un texto plano. Dado un cifrado Enc(a), cualquiera puede calcular Enc(a*b) para un valor b conocido sin descifrarlo. Esta propiedad permite el protocolo MtA: el participante 1 genera un par de claves Paillier y envía Enc(k1) y Enc(x1) (partes del nonce y de la clave privada). El participante 2 utiliza operaciones homomórficas para calcular su contribución sin conocer k1 ni x1.

La firma ECDSA de umbral normalmente implica varias rondas de comunicación. En GG20, hay una fase de preprocesamiento (2 rondas) que calcula compromisos con el nonce y valores aleatorios de enmascaramiento, y una fase de firma en línea (1 ronda) que combina las firmas parciales. El preprocesamiento puede realizarse antes de conocer el mensaje, lo que reduce la latencia en línea a una sola ronda. CGGMP21 optimiza este proceso aún más.

Un aborto identificable significa que, si el protocolo de firma de umbral falla (porque un participante envió un mensaje mal formado o no siguió el protocolo), los participantes honestos pueden determinar criptográficamente qué participante se comportó mal. Esto requiere pruebas de conocimiento cero del cálculo correcto en cada paso. Sin abortos identificables, un participante malicioso podría provocar una denegación de servicio (negarse a completar el protocolo) sin que se le identificara.

EdDSA (firmas basadas en Schnorr sobre Ed25519) es mucho más fácil de convertir en un esquema de umbral que ECDSA porque las firmas Schnorr son lineales: la respuesta z = r + c*x es una suma de partes aditivas. FROST (Flexible Round-Optimized Schnorr Threshold), de Komlo y Goldberg (2020), permite realizar firmas Schnorr de umbral en dos rondas y sin una configuración de confianza. FROST está siendo estandarizado por el IETF (borrador de RFC) para su uso en protocolos que preservan la privacidad y carteras de criptomonedas.

ECDSA de umbral tiene un coste computacional mayor que ECDSA de un solo participante debido al protocolo MtA y a las pruebas de conocimiento cero. La firma entre dos participantes de GG20 tarda aproximadamente entre 1 y 2 segundos en hardware moderno; un esquema de umbral con un n mayor tarda más debido a las ejecuciones adicionales de MtA entre pares. Las optimizaciones de CGGMP21 reducen este tiempo a cientos de milisegundos. En transacciones de criptomonedas donde la latencia de firma es importante, este rendimiento es aceptable, aunque no es despreciable.

ECDSA de umbral se utiliza a gran escala en las finanzas institucionales. Fireblocks utiliza ECDSA de umbral basado en GG20 para proteger un volumen de transacciones superior a 4 billones de dólares. Coinbase Prime utiliza custodia MPC basada en firmas de umbral. Qredo y Copper.co ofrecen ECDSA de umbral para la gestión institucional de activos. La biblioteca de Go tss-lib (utilizada por Binance) y multi-party-sig (utilizada por Coinbase) son implementaciones de código abierto importantes.

¿Qué función desempeña el cifrado homomórfico de Paillier en ECDSA de umbral?

ECDSA de umbral permite que t participantes firmen sin que ninguno conozca la clave completa. La estructura no lineal de ECDSA requiere una conversión MtA mediante el cifrado homomórfico de Paillier. GG18 inició este enfoque, GG20 añadió seguridad frente a participantes maliciosos y CGGMP21 añadió abortos identificables. EdDSA/Schnorr es más fácil de convertir en un esquema de umbral mediante FROST (2 rondas y sin configuración de confianza). Las implementaciones de producción de Fireblocks y Coinbase protegen activos por valor de billones de dólares.