Esquemas de firmas de umbral: conceptos

Las firmas digitales tradicionales utilizan una única clave privada en poder de una sola entidad. Si esa clave se ve comprometida, es robada o se pierde, todas las firmas realizadas con ella pueden falsificarse y la clave no puede recuperarse. Las operaciones de firma de alto valor —como la firma de código para sistemas operativos, las ceremonias de claves de autoridades de certificación y el control de billeteras de criptomonedas— requieren una protección más sólida de la que puede proporcionar una sola entidad.

La compartición de secretos de Shamir (SSS), inventada en 1979, divide un secreto s en n partes, de modo que cualquier conjunto de t partes puede reconstruir s, pero menos de t partes no revelan información alguna. El esquema utiliza interpolación polinómica sobre un cuerpo finito: s es el término independiente de un polinomio aleatorio de grado (t-1), y las partes son evaluaciones de ese polinomio en puntos distintos. SSS ofrece seguridad teórica de la información.

Un enfoque ingenuo para firmar mediante un umbral consistiría en utilizar SSS para dividir una clave privada, hacer que t participantes la reconstruyeran y firmaran. Esto anula el propósito del esquema: al reconstruir la clave privada, esta existe en un único lugar y queda expuesta. Las verdaderas firmas de umbral permiten que t participantes produzcan una firma de forma colaborativa sin que ninguna entidad llegue a conocer o ensamblar la clave privada completa. La clave nunca se reconstruye.

Un esquema de firma de umbral (t, n) involucra a n participantes, cada uno de los cuales posee una parte de una clave privada. Cualquier conjunto de t participantes puede producir una firma mediante un protocolo interactivo. La firma resultante es idéntica a una firma normal y se puede verificar con la clave pública del grupo. Un adversario que obtenga hasta t-1 partes no aprende nada sobre la clave privada.

La firma de umbral interactiva requiere varias rondas de comunicación entre los participantes que firman. Los participantes intercambian compromisos, pruebas y firmas parciales que después se combinan. Las variantes no interactivas, en las que los participantes precalculan determinados valores, reducen la ronda de firma en línea a un único mensaje. En aplicaciones como las billeteras de hardware, donde la latencia es importante, resulta fundamental minimizar el número de rondas.

La SSS estándar no ofrece ninguna forma de que quien recibe una parte pueda verificar que esta es correcta; un distribuidor malicioso podría distribuir partes incoherentes. La compartición verificable de secretos (VSS) añade compromisos sobre los coeficientes del polinomio, lo que permite que cada participante verifique que su parte es coherente con el compromiso público sin conocer las demás partes. Feldman VSS y Pedersen VSS son las construcciones estándar.

Las firmas de umbral requieren un protocolo de generación distribuida de claves (DKG) para configurar la clave compartida sin que ninguna entidad conozca la clave privada completa. Sin DKG, un distribuidor de confianza generaría la clave y la dividiría, creando una entidad de confianza que conoce la clave. DKG elimina la necesidad de este distribuidor de confianza, algo fundamental para aplicaciones sin necesidad de confianza, como la custodia en cadenas de bloques.

La custodia institucional de criptomonedas es actualmente la aplicación de mayor valor de las firmas de umbral. Coinbase, Fireblocks y Anchorage utilizan billeteras de computación multipartita (MPC) basadas en ECDSA de umbral para proteger activos por valor de miles de millones de dólares. En lugar de que un único módulo de seguridad de hardware contenga una clave privada, la clave se divide entre varios servidores distribuidos geográficamente. Ninguna vulneración individual compromete los fondos.

La ceremonia de la Key Signing Key (KSK) de la zona raíz de DNSSEC utiliza una variante de la compartición de secretos, con clústeres de HSM y un cuórum de miembros de confianza de la comunidad. La ceremonia requiere un cuórum físico (7 de 14 responsables criptográficos de todo el mundo) para firmar la zona raíz. Los sistemas de autorización de comandos nucleares utilizan principios similares de división de claves, en los que varias entidades autorizadas deben cooperar para autorizar operaciones sensibles.

Las plataformas de cadenas de bloques admiten la multifirma en cadena: una transacción requiere firmas de t de n claves públicas especificadas, todas verificadas en la cadena. Este método es transparente, sencillo y seguro, pero revela la estructura multifirma y requiere varias operaciones en cadena. ECDSA de umbral produce una única firma a partir de una única clave pública aparente, ocultando por completo la estructura del umbral y utilizando una sola operación en cadena.

La seguridad de las firmas de umbral se analiza frente a un adversario estático o adaptativo que puede comprometer hasta t-1 participantes. Un adversario estático elige qué participantes comprometer antes de que comience el protocolo; uno adaptativo toma la decisión basándose en los mensajes observados. La seguridad adaptativa es más difícil de conseguir y requiere protocolos más complejos. La mayoría de los protocolos de ECDSA de umbral implementados demuestran seguridad frente a adversarios estáticos.

Las firmas de umbral permiten que t participantes de un total de n firmen sin reconstruir la clave privada. La compartición de secretos de Shamir por sí sola no basta porque requiere reconstruir la clave. Los verdaderos esquemas de umbral utilizan computación multipartita, por lo que la clave nunca se ensambla. Entre sus aplicaciones se incluyen la custodia institucional de criptomonedas (Coinbase, Fireblocks), las ceremonias de claves de DNSSEC y la infraestructura crítica. ECDSA de umbral produce una única firma estándar, a diferencia de la multifirma en cadena, que revela la estructura del umbral.