Signatures à seuil et cas d’utilisation réels

Le partage de secret classique reconstruit le secret en un seul point, ce qui constitue un risque. Les signatures à seuil distribuent la signature : des parties k-sur-n produisent conjointement une signature sans qu'aucune partie ne détienne jamais la clé privée complète. Il n'y a ni reconstruction ni point de défaillance unique.

L'ECDSA à seuil (t-ECDSA) permet à k parties de calculer conjointement une signature ECDSA sur un message. Chaque partie détient une part de la clé privée. Le protocole utilise le MPC pour calculer la signature sans révéler les parts individuelles ni la clé combinée.

Les signatures BLS (Boneh-Lynn-Shacham) sur des courbes adaptées aux appariements prennent en charge d'élégants schémas à seuil. Les signatures partielles sont linéaires : chaque partie signe avec sa part, puis k signatures partielles sont agrégées avec des coefficients de Lagrange pour produire une signature BLS unique.

Le DKG élimine le distributeur de confiance : chaque partie génère son propre polynôme de partage, diffuse des engagements et échange des parts. La clé publique commune est calculée sans qu'aucune partie ne connaisse la clé privée. Cette technique est utilisée par les validateurs Ethereum et les HSM distribués.

Des plateformes d'échange comme Coinbase, Gemini et BitGo utilisent des systèmes ECDSA à seuil 2-sur-3 ou 3-sur-5, ou le SSS de Shamir, pour les clés de portefeuilles en ligne. Les clés de portefeuilles hors ligne utilisent des cérémonies de clés fondées sur du matériel, avec des parts Shamir hors ligne distribuées dans des coffres séparés géographiquement.

Thales Luna et AWS CloudHSM prennent en charge l'authentification par quorum M-sur-N : une clé principale exige que M cartes à puce d'administrateurs sur N soient présentes simultanément pour les opérations sensibles (enveloppement de clés, signature). Les cartes sont distribuées géographiquement.

Les pools de mise Ethereum 2.0 utilisent des signatures BLS à seuil : plusieurs nœuds signent conjointement des attestations sans exposer la clé privée du validateur. Si k-1 nœuds sont hors ligne, la signature s'arrête de manière sûre. Si k nœuds sont disponibles, la signature continue.

Les clés privées des autorités de certification (CA) utilisent un partage de Shamir fondé sur une cérémonie : 5 détenteurs de clés sur 7, chacun muni d'une carte à puce physique, doivent se réunir dans une salle sécurisée pour signer une liste de révocation de certificats ou émettre un nouveau certificat d'autorité de certification intermédiaire.

FROST (Schnorr à seuil flexible et optimisé en nombre de tours) produit des signatures Schnorr à seuil compatibles avec Taproot de Bitcoin et MuSig2. Il nécessite 2 tours de communication et constitue actuellement l'état de l'art pour la signature Bitcoin à seuil.

Les schémas à seuil doivent gérer les parties malveillantes, qui envoient des parts ou des signatures invalides. Les protocoles robustes utilisent des engagements et des preuves à divulgation nulle de connaissance pour détecter et exclure les tricheurs, tout en continuant la reconstruction ou la signature avec les autres parties honnêtes.

Comparaison des fonctionnalités : SSS de Shamir (partage le secret, simple) contre ECDSA à seuil (ne reconstruit jamais le secret, complexe, fondé sur le MPC), BLS à seuil (agrégation native, uniquement sur des courbes d'appariement) et multisignature (au niveau de la chaîne de blocs, sans MPC nécessaire).

Quel est le principal avantage des signatures à seuil par rapport au partage de secret de Shamir pour les clés de signature ?

Les signatures à seuil distribuent la signature sans reconstruction, au moyen de protocoles MPC. Elles sont utilisées pour la conservation de cryptomonnaies, les réseaux de validateurs et les cérémonies d'autorités de certification d'entreprise. Ensuite : l'aléa cryptographique et l'entropie.