Le problème du partage de secrets

Vous disposez d’une clé maîtresse qui doit être conservée et accessible en cas d’urgence, sans jamais pouvoir être compromise par une seule personne. Comment la stocker ? Donner la clé complète à plusieurs personnes signifie que n’importe laquelle peut en faire un usage abusif. Conserver une seule copie crée un point unique de défaillance.

Découper une clé de 128 bits en deux moitiés de 64 bits et donner chaque moitié à une personne semble astucieux, mais c’est non sécurisé : chaque moitié réduit le coût de la force brute de 2^128 à 2^64. Un adversaire qui compromet une personne bénéficie d’une avance de 64 bits.

Un schéma approprié de partage de secrets doit être : (1) à seuil : n’importe quelles k parts sur n permettent de reconstruire le secret ; (2) sécurisé : n’importe quelles k-1 parts ne révèlent aucune information sur le secret ; (3) parfait : aucune hypothèse de calcul n’est nécessaire.

Les portefeuilles Bitcoin, les clés maîtresses HSM, les clés privées des autorités de certification, les codes de lancement nucléaire et les portefeuilles hors ligne des plateformes d’échange de cryptomonnaies nécessitent tous un accès à seuil. La perte de la clé unique est catastrophique. Sa compromission par un seul initié l’est également.

Pour partager le secret S entre deux parties : générez une valeur aléatoire R. Donnez share1=R à la partie 1 et share2=S XOR R à la partie 2. Pour reconstruire le secret : share1 XOR share2 = R XOR (S XOR R) = S. Chaque part seule est parfaitement aléatoire et ne révèle rien sur S.

Le partage XOR est parfait pour 2-sur-2, mais ne se généralise pas aux schémas à seuil k-sur-n. Vous ne pouvez pas créer un schéma 3-sur-5 dans lequel n’importe quelles 3 parts reconstruisent le secret, tandis que 2 parts n’en révèlent rien. L’interpolation polynomiale résout ce problème.

Le secret parfait signifie que les parts ne contiennent aucune information mutuelle sur le secret lorsqu’on en possède moins de k. C’est plus fort que la sécurité computationnelle : même un adversaire disposant de capacités de calcul illimitées n’apprend rien à partir de k-1 parts.

AWS CloudHSM utilise une authentification par quorum M-sur-N. PGP permet de fractionner les clés maîtresses pour leur séquestre. Les fournisseurs de garde de cryptomonnaies (Fireblocks, BitGo) utilisent le MPC ou le partage de Shamir pour les clés de portefeuilles à chaud. Les clés hors ligne des autorités de certification utilisent des cérémonies 5-sur-7.

Une cérémonie de clés est un processus formel et audité visant à générer et fractionner une clé maîtresse. Exemple : 7 détenteurs de clés présents dans une salle sécurisée, chacun recevant un jeton matériel contenant une part. La cérémonie est enregistrée en vidéo, deux auditeurs sont présents et chaque étape est documentée.

Le partage de secrets reconstruit le secret complet (risque : point unique de défaillance au moment de la reconstruction). La multisignature distribue la signature : chaque partie signe indépendamment, puis les signatures sont combinées. Les signatures à seuil (TSS) appliquent le partage de secrets à l’opération de signature elle-même.

Le calcul multipartite sécurisé (MPC) élimine entièrement l’étape de reconstruction : les parties effectuent conjointement les calculs à l’aide de leurs parts sans révéler le secret. Les signatures ECDSA et BLS à seuil sont déployées dans des systèmes de garde en production.

Dans un schéma de partage de secret XOR 2-sur-2, de combien de parts un attaquant a-t-il besoin pour apprendre le secret ?

Le découpage naïf des clés n’est pas sécurisé. Un partage approprié de secrets exige un accès à seuil avec un secret parfait. XOR gère le 2-sur-2 ; l’interpolation polynomiale gère le k-sur-n. Suite : mathématiques du partage de secret de Shamir.