Schemi di firma a soglia: concetti

Le firme digitali tradizionali utilizzano un'unica chiave privata detenuta da una sola parte. Se la chiave viene compromessa, rubata o smarrita, tutte le firme create con essa possono essere falsificate e la chiave non può essere recuperata. Le operazioni di firma di grande valore — la firma del codice per i sistemi operativi, le cerimonie delle chiavi delle autorità di certificazione, il controllo dei wallet di criptovalute — richiedono una protezione più efficace di quella che può offrire una singola parte.

Lo Shamir's Secret Sharing (SSS), inventato nel 1979, suddivide un segreto s in n quote, in modo che qualunque insieme di t quote possa ricostruire s, mentre meno di t quote non rivelano nulla. Lo schema utilizza l'interpolazione polinomiale su un campo finito: s è il termine costante di un polinomio casuale di grado (t-1) e le quote sono i valori ottenuti valutando questo polinomio in punti distinti. SSS è sicuro in senso informativo.

Un approccio ingenuo alla firma a soglia consisterebbe nell'usare SSS per suddividere una chiave privata, farla ricostruire da t parti e quindi firmare. Questo vanifica lo scopo dello schema: la ricostruzione della chiave privata significa che essa esiste in un unico luogo ed è vulnerabile. Le vere firme a soglia consentono a t parti di produrre congiuntamente una firma senza che nessuna di esse apprenda o ricomponga mai l'intera chiave privata. La chiave non viene mai ricostruita.

Uno schema di firma a soglia (t, n) coinvolge n parti, ciascuna delle quali detiene una quota di una chiave privata. Una firma può essere prodotta da qualunque gruppo di t parti che collaborano attraverso un protocollo interattivo. La firma risultante è identica a una normale firma e può essere verificata con la chiave pubblica del gruppo. Un avversario che apprende fino a t-1 quote non ottiene alcuna informazione sulla chiave privata.

La firma a soglia interattiva richiede più round di comunicazione tra le parti firmatarie. Le parti si scambiano commitment, dimostrazioni e firme parziali, che vengono poi combinate. Le varianti non interattive (in cui le parti precalcolano determinati valori) riducono il round di firma online a un unico messaggio. Per applicazioni come gli hardware wallet, in cui la latenza è importante, è fondamentale ridurre al minimo il numero di round.

Lo SSS standard non offre al possessore di una quota alcun modo per verificarne la correttezza: un distributore malevolo potrebbe distribuire quote incoerenti. La Verifiable Secret Sharing (VSS) aggiunge commitment ai coefficienti del polinomio, consentendo a ciascun possessore di una quota di verificare che la propria quota sia coerente con il commitment pubblico, senza apprendere le altre quote. Feldman VSS e Pedersen VSS sono le costruzioni standard.

Le firme a soglia richiedono un protocollo di generazione distribuita delle chiavi (DKG) per configurare la chiave condivisa senza che una singola parte conosca l'intera chiave privata. In assenza di DKG, un distributore fidato genererebbe la chiave e la suddividerebbe, creando una parte fidata che conosce la chiave. DKG elimina la necessità di questo distributore fidato, un requisito fondamentale per applicazioni trustless come la custodia su blockchain.

La custodia istituzionale di criptovalute è oggi l'implementazione di maggior valore delle firme a soglia. Coinbase, Fireblocks e Anchorage utilizzano wallet MPC basati su ECDSA a soglia per proteggere miliardi di dollari in asset. Invece di conservare una chiave privata in un singolo hardware security module, la chiave viene suddivisa tra più server distribuiti geograficamente. Nessuna singola violazione compromette i fondi.

La cerimonia della Key Signing Key (KSK) della zona radice DNSSEC utilizza una variante del secret sharing con cluster HSM e un quorum di membri fidati della comunità. La cerimonia richiede un quorum fisico (7 dei 14 responsabili crittografici nel mondo) per firmare la zona radice. I sistemi di autorizzazione al comando nucleare utilizzano principi analoghi di suddivisione delle chiavi, secondo i quali più parti autorizzate devono collaborare per autorizzare operazioni sensibili.

Le piattaforme blockchain supportano la multi-firma on-chain: una transazione richiede le firme di t delle n chiavi pubbliche specificate, tutte verificate on-chain. Questo approccio è trasparente, semplice e sicuro, ma rivela la struttura multi-firma e richiede più operazioni on-chain. ECDSA a soglia produce un'unica firma da un'unica chiave pubblica apparente, nascondendo completamente la struttura a soglia e utilizzando una sola operazione on-chain.

La sicurezza delle firme a soglia viene analizzata rispetto a un avversario statico o adattivo, in grado di compromettere fino a t-1 parti. Un avversario statico sceglie quali parti compromettere prima dell'inizio del protocollo; un avversario adattivo effettua la scelta in base ai messaggi osservati. Ottenere la sicurezza adattiva è più difficile e richiede protocolli più complessi. La maggior parte dei protocolli ECDSA a soglia implementati dimostra la propria sicurezza contro avversari statici.

Perché lo Shamir's Secret Sharing, da solo, non è sufficiente per uno schema sicuro di firma a soglia?

Le firme a soglia consentono a t parti su n di firmare senza ricostruire la chiave privata. Lo Shamir's Secret Sharing, da solo, non è sufficiente perché richiede la ricostruzione della chiave. I veri schemi a soglia utilizzano il calcolo multipartitico, nel quale la chiave non viene mai ricomposta. Le applicazioni includono la custodia istituzionale di criptovalute (Coinbase, Fireblocks), le cerimonie delle chiavi DNSSEC e le infrastrutture critiche. ECDSA a soglia produce una normale firma singola, a differenza della multi-firma on-chain, che rivela la struttura a soglia.