Salaisuuden jakamisen ongelma

Teillä on pääavain, jonka on säilyttävä ja oltava hätätilanteissa käytettävissä, mutta joka ei saa koskaan vaarantua yhden henkilön vuoksi. Miten tallennatte sen? Koko avaimen antaminen useille henkilöille tarkoittaa, että kuka tahansa heistä voi käyttää sitä väärin. Yhden kopion säilyttäminen luo yksittäisen vikaantumispisteen.

128-bittisen avaimen jakaminen kahdeksi 64-bittiseksi puolikkaaksi ja puolikkaiden antaminen kahdelle henkilölle vaikuttaa nerokkaalta, mutta on epävarmaa: kumpikin puolikas pienentää raakavoimahyökkäyksen kustannuksen arvosta 2^128 arvoon 2^64. Yhden henkilön vaarantava hyökkääjä saa 64-bittisen etumatkan.

Asianmukaisen salaisuudenjakamismenetelmän on täytettävä seuraavat ehdot: (1) Kynnys: mitkä tahansa k osuutta n:stä osuudesta rekonstruoivat salaisuuden. (2) Turvallisuus: mitkä tahansa (k-1) osuutta eivät paljasta salaisuudesta mitään tietoa. (3) Täydellisyys: laskennallisia oletuksia ei tarvita.

Bitcoin-lompakot, HSM-pääavaimet, varmentajien yksityiset avaimet, ydinaseiden laukaisukoodit ja kryptovaluuttapörssien kylmälompakot tarvitsevat kynnyskäyttöoikeuden. Yhden avaimen katoaminen = katastrofi. Yhden sisäpiiriläisen tekemä vaarantaminen = myös katastrofi.

Salaisuuden S jakaminen kahden osapuolen kesken: luokaa satunnainen R. Antakaa osuus share1=R osapuolelle 1 ja osuus share2=S XOR R osapuolelle 2. Rekonstruointia varten: share1 XOR share2 = R XOR (S XOR R) = S. Kumpikin osuus yksinään on täysin satunnainen — se ei paljasta mitään S:stä.

XOR-jakaminen on täydellinen 2-of-2-menetelmä, mutta se ei yleisty k-of-n-kynnysmenetelmiin. Ette voi luoda 3-of-5-menetelmää, jossa mitkä tahansa 3 osuutta rekonstruoivat salaisuuden mutta mitkä tahansa 2 eivät paljasta mitään. Polynomi-interpolointi ratkaisee tämän.

Täydellinen salassapito tarkoittaa, että alle k osuutta sisältävät tiedot eivät sisällä keskinäistä informaatiota salaisuudesta. Tämä on vahvempaa kuin laskennallinen turvallisuus — edes laskennallisesti rajaton hyökkääjä ei opi mitään k-1 osuudesta.

AWS CloudHSM käyttää M-of-N-kvorumitodennusta. PGP-avainten escrow-järjestelmät jakavat pääavaimet osiin. Kryptovaluuttojen säilytyspalveluntarjoajat (Fireblocks, BitGo) käyttävät MPC:tä tai Shamir-jakamista hot wallet -avaimiin. Varmentajien offline-avaimissa käytetään 5-of-7-seremonioita.

Avainseremonia on muodollinen, auditoitu prosessi pääavaimen luomiseen ja jakamiseen osiin. Esimerkki: 7 avaimenhaltijaa on läsnä suojatussa huoneessa, ja jokainen saa laite-tokenin, jossa on yksi osuus. Prosessi tallennetaan videolle, paikalla on kaksi auditoijaa ja jokainen vaihe dokumentoidaan.

Salaisuuden jakamisessa koko salaisuus rekonstruoidaan (riskinä yksittäinen vikaantumispiste rekonstruoinnin aikana). Multisig hajauttaa allekirjoittamisen: kukin osapuoli allekirjoittaa itsenäisesti ja allekirjoitukset yhdistetään. Kynnysallekirjoitukset (TSS) ovat salaisuuden jakamisen soveltamista itse allekirjoitusoperaatioon.

Secure Multi-Party Computation (MPC) poistaa rekonstruointivaiheen kokonaan — osapuolet laskevat yhdessä osuuksiensa avulla paljastamatta salaisuutta. Threshold ECDSA ja threshold BLS ovat käytössä tuotannossa säilytysjärjestelmissä.

Naiivi avaimen jakaminen osiin on epävarmaa. Asianmukainen salaisuuden jakaminen edellyttää kynnyskäyttöoikeutta ja täydellistä salassapitoa. XOR soveltuu 2-of-2-jakamiseen; polynomi-interpolointi k-of-n-jakamiseen. Seuraavaksi: Shamir's Secret Sharing -menetelmän matematiikka.