Il problema della condivisione dei segreti

Si dispone di una chiave principale che deve durare nel tempo ed essere accessibile in caso di emergenza, senza però poter essere compromessa da una singola persona. Come conservarla? Dare la chiave completa a più persone significa che una qualsiasi di loro potrebbe usarla impropriamente. Conservare una sola copia crea un singolo punto di guasto.

Suddividere una chiave da 128 bit in due metà da 64 bit e dare ciascuna metà a due persone sembra una soluzione intelligente, ma non è sicuro: ogni metà riduce il costo del brute force da 2^128 a 2^64. Un avversario che compromette una persona ottiene un vantaggio iniziale di 64 bit.

Un corretto schema di condivisione dei segreti deve garantire: (1) Soglia: qualsiasi insieme di k quote su n ricostruisce il segreto. (2) Sicurezza: qualsiasi insieme di k-1 quote non rivela alcuna informazione sul segreto. (3) Perfezione: non sono necessarie ipotesi computazionali.

I wallet Bitcoin, le chiavi principali HSM, le chiavi private delle autorità di certificazione, i codici di lancio nucleare e i cold wallet degli exchange di criptovalute richiedono tutti un accesso a soglia. La perdita dell'unica chiave equivale a una catastrofe. Anche la compromissione da parte di un singolo insider è catastrofica.

Per condividere il segreto S tra due parti: generare R in modo casuale. Assegnare share1=R alla parte 1 e share2=S XOR R alla parte 2. Per ricostruire: share1 XOR share2 = R XOR (S XOR R) = S. Ogni quota da sola è perfettamente casuale e non rivela nulla su S.

La condivisione XOR è perfetta per 2-di-2, ma non si generalizza agli schemi a soglia k-di-n. Non è possibile creare uno schema 3-di-5 in cui qualsiasi 3 quote ricostruiscano il segreto, ma qualsiasi 2 non rivelino nulla. L'interpolazione polinomiale risolve questo problema.

La segretezza perfetta significa che le quote contengono zero informazioni reciproche sul segreto quando se ne possiedono meno di k. È più forte della sicurezza computazionale: anche un avversario con capacità computazionali illimitate non apprende nulla da k-1 quote.

AWS CloudHSM usa l'autenticazione a quorum M-di-N. PGP suddivide le chiavi principali per il key escrow. I fornitori di custodia delle criptovalute (Fireblocks, BitGo) usano MPC o la condivisione di Shamir per le chiavi degli hot wallet. Le chiavi offline delle autorità di certificazione usano cerimonie 5-di-7.

Una key ceremony è un processo formale e sottoposto ad audit per generare e suddividere una chiave principale. Esempio: 7 titolari delle chiavi presenti in una sala sicura, ciascuno con un token hardware contenente una quota. Il processo viene registrato in video, con due revisori presenti e ogni passaggio documentato.

La condivisione del segreto ricostruisce il segreto completo (rischio: un singolo punto di vulnerabilità al momento della ricostruzione). Il multisig distribuisce la firma: ogni parte firma autonomamente e le firme vengono combinate. Le firme threshold (TSS) applicano la condivisione del segreto all'operazione di firma stessa.

Il Secure Multi-Party Computation (MPC) elimina completamente il passaggio di ricostruzione: le parti calcolano congiuntamente usando le proprie quote senza rivelare il segreto. Threshold ECDSA e threshold BLS sono impiegati nei sistemi di custodia in produzione.

In uno schema di condivisione segreta XOR 2-di-2, di quante quote ha bisogno un attaccante per apprendere il segreto?

La suddivisione ingenua delle chiavi non è sicura. Una corretta condivisione dei segreti richiede accesso a soglia con segretezza perfetta. XOR gestisce il caso 2-di-2; l'interpolazione polinomiale gestisce il caso k-di-n. Prossimo argomento: matematica della condivisione segreta di Shamir.