Protokol Pembuatan Kunci Terdistribusi

Distributed Key Generation (DKG) menyelesaikan masalah pihak pembagi tepercaya dalam kriptografi ambang. Tanpa DKG, pihak pusat harus menghasilkan pasangan kunci dan membagikan bagian-bagiannya, sehingga untuk sesaat mengetahui kunci privat lengkap. DKG memungkinkan n pihak menghasilkan pasangan kunci publik/privat secara bersama-sama melalui protokol yang membuat tidak ada satu pihak pun yang mengetahui kunci privat, bahkan koordinator protokol.

Pedersen DKG adalah protokol DKG praktis pertama, yang diterbitkan pada 1991. Masing-masing dari n pihak menghasilkan rahasia acak s_i dan menjalankan protokol Pembagian Rahasia yang Dapat Diverifikasi (VSS) untuk membagikannya. Setiap pihak menyiarkan komitmen atas koefisien polinomialnya. Setelah semua pihak membagikan kontribusinya, rahasia gabungan adalah jumlah semua nilai s_i, dan setiap pihak memegang satu bagian dari jumlah tersebut.

VSS Feldman (Pembagian Rahasia yang Dapat Diverifikasi oleh Feldman, 1987) adalah komponen dasar utama bagi sebagian besar protokol DKG. Pihak pembagi membuat komitmen atas koefisien polinomial sebagai elemen grup (C_j = g^{a_j} mod p). Setiap pihak yang menerima bagian f(i) dapat memverifikasinya terhadap komitmen tersebut dengan memeriksa bahwa g^{f(i)} sama dengan hasil kali C_j^{i^j}. Dengan demikian, pihak-pihak dapat mendeteksi jika pihak pembagi mengirimkan bagian yang salah.

DKG Joint-Feldman menjalankan VSS Feldman secara paralel untuk semua n pihak, dengan setiap pihak bertindak sebagai pihak pembagi untuk rahasianya sendiri. Pihak-pihak kemudian mengajukan keluhan jika menerima bagian yang tidak valid. Kunci akhir adalah jumlah rahasia dari pihak pembagi yang tidak mendapat keluhan. Namun, DKG Joint-Feldman tidak aman terhadap lawan adaptif yang menyusupi pihak berdasarkan pesan protokol, suatu kelemahan yang diidentifikasi oleh Gennaro, Jarecki, Krawczyk, dan Rabin.

Protokol DKG GJKR (Gennaro, Jarecki, Krawczyk, Rabin, 1999 dan 2007) menangani kelemahan Joint-Feldman. GJKR menggunakan VSS Pedersen (komitmen dengan sifat penyembunyian informasi berdasarkan teori informasi), bukan VSS Feldman, serta menambahkan putaran keluhan ketika pihak-pihak dapat mempersengketakan bagian yang tidak valid. DKG yang dihasilkan aman terhadap lawan adaptif dan menjadi referensi teoretis standar untuk DKG yang aman.

DKG GJKR memerlukan tiga putaran: putaran komitmen (setiap pihak menyiarkan komitmen VSS), putaran pembagian (pihak-pihak mengirimkan bagian satu sama lain secara langsung), dan putaran keluhan (pihak-pihak menyiarkan keluhan tentang bagian yang tidak valid). Pihak yang gagal menyelesaikan keluhan akan didiskualifikasi. Putaran keempat menggabungkan kontribusi pihak-pihak yang valid menjadi kunci publik akhir dan bagian kunci privat yang terdistribusi.

Manajemen kunci validator Ethereum menggunakan DKG untuk teknologi validator terdistribusi (DVT). EIP-4844 dan ekosistem DVT (Obol Network, SSV Network) menggunakan tanda tangan BLS ambang pada BLS12-381 agar komite validator dapat menandatangani blok tanpa satu operator pun mengetahui kunci validator lengkap. Hal ini meningkatkan toleransi kesalahan validator dan mengurangi risiko pemotongan akibat kunci disusupi.

DRAND adalah beacon keacakan terdistribusi yang digunakan oleh rantai beacon Ethereum untuk menghasilkan bilangan acak yang tidak dapat diprediksi. DRAND menjalankan DKG di antara sekumpulan node League of Entropy (Cloudflare, EPFL, Protocol Labs, dan lainnya) untuk menghasilkan kunci BLS ambang. Pada setiap putaran, node t-dari-n memberikan tanda tangan parsial yang digabungkan menjadi nilai acak yang tidak dapat diprediksi. Tidak ada satu node pun yang dapat memengaruhi atau memprediksi hasilnya.

DKG jauh lebih sederhana untuk skema ambang Schnorr/EdDSA daripada untuk ECDSA. Dalam skema ambang Schnorr, kunci privat terdistribusi hanyalah jumlah rahasia pihak (x = x1 + x2 + ... + xn), sedangkan kunci publik adalah jumlah bagian kunci publik (X = X1 + X2 + ... + Xn). Pada ECDSA, sifat nonliniernya berarti DKG harus menghasilkan bagian multiplikatif, sehingga memerlukan protokol yang lebih kompleks.

Bagian kunci ambang yang digunakan dalam jangka panjang dapat disusupi secara bertahap jika lawan secara perlahan mengompromikan pihak-pihak dari waktu ke waktu. Pembagian rahasia proaktif (protokol penyegaran) secara berkala mengacak ulang bagian-bagian tersebut tanpa mengubah kunci yang mendasarinya. Setelah penyegaran, bagian-bagian dari sebelum penyegaran tidak lagi berguna, sehingga membatasi jendela kerentanan. GJKR dan turunannya mencakup protokol penyegaran yang menggunakan struktur yang sama seperti DKG awal.

DKG diimplementasikan dalam beberapa sistem produksi. Klien DVT Ethereum, Obol Charon, menggunakan upacara DKG berbasis VSS Pedersen pada BLS12-381. Silent Shard milik Silence Laboratories menggunakan DKG untuk dompet MPC seluler. Pustaka dkg-go mengimplementasikan GJKR untuk aplikasi Go. Threshold Network (sebelumnya Keep Network) menggunakan DKG untuk layanan ECDSA ambangnya yang mengamankan tBTC di Bitcoin.

Apa sifat utama yang membuat DKG Pedersen lebih unggul daripada pengaturan dengan satu pihak pembagi tepercaya?

DKG menghilangkan kebutuhan akan pihak pembagi tepercaya dengan membuat semua n pihak menghasilkan pasangan kunci ambang secara bersama-sama, sehingga tidak ada pihak yang mengetahui kunci privat. Dalam DKG Pedersen, setiap pihak menjalankan VSS atas kontribusinya. GJKR menambahkan keamanan adaptif dengan putaran keluhan. DKG menjadi dasar DVT Ethereum (Obol, SSV), beacon keacakan DRAND, dan penyiapan dompet MPC produksi. Protokol penyegaran memperluas keamanan dengan mengacak ulang bagian-bagian secara berkala.