Firme a soglia e casi d'uso reali

La condivisione classica del segreto ricostruisce il segreto in un unico punto, creando un rischio. Le firme a soglia distribuiscono la firma: k partecipanti su n producono insieme una firma senza che un singolo partecipante possieda mai l'intera chiave privata. Nessuna ricostruzione e nessun singolo punto di guasto.

ECDSA a soglia (t-ECDSA) consente a k partecipanti di calcolare insieme una firma ECDSA su un messaggio. Ogni partecipante possiede una condivisione della chiave privata. Il protocollo usa la MPC per calcolare la firma senza rivelare le singole condivisioni né la chiave combinata.

Le firme BLS (Boneh-Lynn-Shacham) su curve compatibili con il pairing supportano eleganti schemi a soglia. Le firme parziali sono lineari: ogni partecipante firma con la propria condivisione, quindi k firme parziali vengono aggregate con i coefficienti di Lagrange per produrre un'unica firma BLS.

La DKG elimina il dealer fidato: ogni partecipante genera il proprio polinomio per la condivisione, trasmette i commitment e scambia le condivisioni. La chiave pubblica comune viene calcolata senza che alcun partecipante conosca la chiave privata. Viene usata nei validatori Ethereum e negli HSM distribuiti.

Exchange come Coinbase, Gemini e BitGo usano ECDSA a soglia 2-di-3 o 3-di-5 oppure la SSS di Shamir per le chiavi dei portafogli hot. Le chiavi dei portafogli cold usano procedure di generazione delle chiavi basate su hardware, con condivisioni Shamir offline distribuite in casseforti geograficamente separate.

Thales Luna e AWS CloudHSM supportano l'autenticazione a quorum M-di-N: per le operazioni sensibili (key wrapping e firma), devono essere presenti simultaneamente M smart card di amministratori su N. Le card sono distribuite geograficamente.

I pool di staking di Ethereum 2.0 usano firme BLS a soglia: più nodi firmano insieme le attestazioni senza esporre la chiave privata del validatore. Se k-1 nodi vanno offline, la firma si arresta in sicurezza. Se sono disponibili k nodi, la firma continua.

Le chiavi private della CA usano la condivisione di Shamir basata su una procedura formale: 5 titolari su 7, ciascuno con una smart card fisica, devono riunirsi in una sala sicura per firmare una lista di revoca dei certificati o rilasciare un nuovo certificato di CA intermedia.

FROST (Flexible Round-Optimized Schnorr Threshold) produce firme Schnorr a soglia compatibili con Bitcoin Taproot e MuSig2. Richiede 2 round di comunicazione e rappresenta attualmente lo stato dell'arte per la firma Bitcoin a soglia.

Gli schemi a soglia devono gestire i partecipanti malevoli, che possono inviare condivisioni o firme non valide. I protocolli robusti usano commitment e dimostrazioni a conoscenza zero per rilevare ed escludere i partecipanti disonesti, continuando a ricostruire il segreto o a firmare con i partecipanti onesti rimanenti.

Confronto delle caratteristiche: SSS di Shamir (condivide il segreto, semplice) a confronto con ECDSA a soglia (non ricostruisce mai il segreto, complessa, basata su MPC), BLS a soglia (aggregazione nativa, solo su curve con pairing) e multisig (a livello blockchain, non richiede MPC).

Qual è il principale vantaggio delle firme a soglia rispetto alla condivisione del segreto di Shamir per le chiavi di firma?

Le firme a soglia distribuiscono la firma senza ricostruzione, usando protocolli MPC. Sono applicate nella custodia delle criptovalute, nelle reti di validatori e nelle procedure delle CA aziendali. Prossimo argomento: casualità crittografica ed entropia.