Schémas de signatures à seuil : concepts

Les signatures numériques traditionnelles utilisent une seule clé privée détenue par une seule partie. Si cette clé est compromise, volée ou perdue, toutes les signatures réalisées avec celle-ci peuvent être falsifiées et la clé ne peut pas être récupérée. Les opérations de signature à forte valeur — signature de code pour les systèmes d’exploitation, cérémonies de clés d’autorités de certification, contrôle de portefeuilles de cryptomonnaies — nécessitent une protection plus robuste que celle qu’une seule partie peut fournir.

Le partage de secret de Shamir (SSS), inventé en 1979, divise un secret s en n parts de telle sorte que toute combinaison de t parts permet de reconstituer s, tandis que moins de t parts ne révèlent aucune information. Le schéma utilise l’interpolation polynomiale sur un corps fini : s est le terme constant d’un polynôme aléatoire de degré (t-1), et les parts sont les valeurs de ce polynôme en des points distincts. Le SSS est sécurisé au sens de la théorie de l’information.

Une approche naïve de la signature à seuil consisterait à utiliser le SSS pour diviser une clé privée, à demander à t parties de la reconstituer, puis à signer. Cela va à l’encontre de l’objectif recherché : la reconstitution de la clé privée signifie qu’elle existe à un seul endroit et qu’elle est vulnérable. Les véritables signatures à seuil permettent à t parties de produire collectivement une signature sans qu’aucune partie n’apprenne ou ne reconstitue jamais la clé privée complète. La clé n’est jamais reconstituée.

Un schéma de signature à seuil (t, n) implique n parties détenant chacune une part d’une clé privée. Une signature peut être produite par n’importe quelles t parties qui collaborent au moyen d’un protocole interactif. La signature obtenue est identique à ce à quoi ressemblerait une signature ordinaire (elle peut être vérifiée avec la clé publique du groupe). Un adversaire qui obtient au plus t-1 parts n’apprend rien sur la clé privée.

La signature à seuil interactive nécessite plusieurs tours de communication entre les parties signataires. Les parties échangent des engagements, des preuves et des signatures partielles qui sont ensuite combinés. Les variantes non interactives (dans lesquelles les parties précalculent certaines valeurs) ramènent le tour de signature en ligne à un seul message. Pour des applications telles que les portefeuilles matériels, où la latence est importante, il est essentiel de réduire le nombre de tours.

Le SSS standard ne permet pas à un détenteur de part de vérifier que sa part est correcte : un distributeur malveillant pourrait distribuer des parts incohérentes. Le partage de secret vérifiable (VSS) ajoute des engagements aux coefficients du polynôme, ce qui permet à chaque détenteur de part de vérifier que sa part est cohérente avec l’engagement public sans apprendre les autres parts. Le VSS de Feldman et le VSS de Pedersen sont les constructions standard.

Les signatures à seuil nécessitent un protocole de génération distribuée de clés (DKG) pour établir la clé partagée sans qu’aucune partie ne connaisse la clé privée complète. Sans DKG, un tiers de confiance générerait la clé et la répartirait, créant ainsi une partie de confiance qui connaît la clé. DKG élimine cette exigence de tiers de confiance, ce qui est essentiel pour les applications sans confiance telles que la conservation de cryptoactifs sur une chaîne de blocs.

La conservation institutionnelle de cryptomonnaies constitue aujourd’hui l’application à plus forte valeur des signatures à seuil. Coinbase, Fireblocks et Anchorage utilisent des portefeuilles de calcul multipartite (MPC) fondés sur ECDSA à seuil pour sécuriser des milliards de dollars d’actifs. Au lieu de conserver une clé privée dans un seul module de sécurité matériel, la clé est répartie entre plusieurs serveurs géographiquement distribués. Aucune compromission isolée ne permet de s’emparer des fonds.

La cérémonie de la clé de signature de clé (KSK) de la zone racine DNSSEC utilise une variante du partage de secret avec des grappes de HSM et un quorum de membres de confiance de la communauté. La cérémonie exige un quorum physique (7 des 14 responsables cryptographiques répartis dans le monde) pour signer la zone racine. Les systèmes d’autorisation du commandement nucléaire utilisent des principes similaires de répartition de clé, selon lesquels plusieurs parties autorisées doivent coopérer pour autoriser des opérations sensibles.

Les plateformes de chaîne de blocs prennent en charge la multi-signature sur chaîne : une transaction exige les signatures de t parmi n clés publiques spécifiées, toutes vérifiées sur la chaîne. Cette approche est transparente, simple et sûre, mais elle révèle la structure de la multi-signature et nécessite plusieurs opérations sur la chaîne. ECDSA à seuil produit une seule signature à partir d’une seule clé publique en apparence, masquant complètement la structure à seuil et n’utilisant qu’une seule opération sur la chaîne.

La sécurité des signatures à seuil est analysée face à un adversaire statique ou adaptatif capable de corrompre jusqu’à t-1 parties. Un adversaire statique choisit les parties à corrompre avant le début du protocole ; un adversaire adaptatif fait son choix en fonction des messages observés. La sécurité adaptative est plus difficile à obtenir et nécessite des protocoles plus complexes. La plupart des protocoles ECDSA à seuil déployés démontrent leur sécurité face à des adversaires statiques.

Pourquoi le partage de secret de Shamir seul ne suffit-il pas pour constituer un schéma de signature à seuil sécurisé ?

Les signatures à seuil permettent à t parties sur n de signer sans reconstituer la clé privée. Le partage de secret de Shamir seul est insuffisant, car il nécessite la reconstitution de la clé. Les véritables schémas à seuil utilisent le calcul multipartite, dans lequel la clé n’est jamais reconstituée. Les applications comprennent la conservation institutionnelle de cryptomonnaies (Coinbase, Fireblocks), les cérémonies de clés DNSSEC et les infrastructures critiques. ECDSA à seuil produit une signature standard unique, contrairement à la multi-signature sur chaîne, qui révèle la structure à seuil.