Firmas de umbral y casos de uso reales

La compartición clásica de secretos reconstruye el secreto en un único punto, lo que supone un riesgo. Las firmas de umbral distribuyen la firma: k de n participantes producen conjuntamente una firma sin que ningún participante llegue a tener la clave privada completa. No hay reconstrucción ni un único punto de fallo.

Threshold ECDSA (t-ECDSA) permite que k participantes calculen conjuntamente una firma ECDSA para un mensaje. Cada participante posee una parte de la clave privada. El protocolo utiliza MPC para calcular la firma sin revelar las partes individuales ni la clave combinada.

Las firmas BLS (Boneh-Lynn-Shacham) sobre curvas aptas para emparejamientos permiten esquemas de umbral elegantes. Las firmas parciales son lineales: cada participante firma con su parte y, después, k firmas parciales se agregan con coeficientes de Lagrange para producir una única firma BLS.

DKG elimina el distribuidor de confianza: cada participante genera su propio polinomio de partes, difunde compromisos e intercambia partes. La clave pública conjunta se calcula sin que ningún participante conozca la clave privada. Se utiliza en validadores de Ethereum y HSM distribuidos.

Exchanges como Coinbase, Gemini y BitGo utilizan ECDSA de umbral 2-de-3 o 3-de-5, o el SSS de Shamir, para las claves de sus billeteras calientes. Las claves de las billeteras frías utilizan ceremonias de claves basadas en hardware, con partes de Shamir distribuidas entre bóvedas geográficamente separadas.

Thales Luna y AWS CloudHSM admiten autenticación por quórum M-de-N: para operaciones sensibles, como el envoltorio de claves o la firma, deben estar presentes simultáneamente M de N tarjetas inteligentes de administrador que contienen una clave maestra. Las tarjetas se distribuyen geográficamente.

Los grupos de staking de Ethereum 2.0 utilizan firmas BLS de umbral: varios nodos firman conjuntamente las atestaciones sin exponer la clave privada del validador. Si k-1 nodos se desconectan, la firma se detiene de forma segura. Si hay k nodos disponibles, la firma continúa.

Las claves privadas de las CA utilizan compartición de Shamir basada en ceremonias: 5 de 7 titulares de claves, cada uno con una tarjeta inteligente física, deben reunirse en una sala segura para firmar una Lista de revocación de certificados o emitir un nuevo certificado de CA intermedia.

FROST (Flexible Round-Optimized Schnorr Threshold) produce firmas de umbral Schnorr compatibles con Bitcoin Taproot y MuSig2. Requiere 2 rondas de comunicación y constituye actualmente el estado del arte para la firma de umbral en Bitcoin.

Los esquemas de umbral deben gestionar a los participantes maliciosos, que pueden enviar partes o firmas no válidas. Los protocolos robustos utilizan compromisos y pruebas de conocimiento cero para detectar y excluir a quienes hacen trampas, sin dejar de reconstruir el secreto o producir la firma con los participantes honestos restantes.

Comparación de características: Shamir SSS (comparte el secreto, sencillo) frente a ECDSA de umbral (nunca reconstruye el secreto, complejo y basado en MPC), BLS de umbral (agregación nativa, solo sobre curvas con emparejamiento) y Multisig (a nivel de blockchain, sin necesidad de MPC).

Las firmas de umbral distribuyen la firma sin reconstrucción mediante protocolos MPC. Se aplican en la custodia de criptomonedas, las redes de validadores y las ceremonias de CA empresariales. A continuación: aleatoriedad criptográfica y entropía.