ブロックチェーンとHSMにおけるしきい値方式

Bitcoin と Ethereum は、オンチェーンのマルチシグスクリプト（Solidity における P2MS/P2SH/multisig）をサポートしています。これらでは、t-of-n の公開鍵がトランザクションに共同署名し、ブロックチェーンによって検証される必要があります。その構造は公開かつ透明であり、アドレスに複数の署名者が必要であることを誰でも確認できます。閾値 ECDSA では、標準的な単一鍵アドレスと標準的な単一署名が生成されるため、オンチェーン上では閾値構造が完全に見えません。

オンチェーン・マルチシグと比べた閾値 ECDSA の利点は、トランザクション署名が 1 つで済むこと（ガス代が低くなる）、マルチシグポリシーをオンチェーンで確認できないこと（プライバシー）、ECDSA を使用するあらゆるブロックチェーン（ネイティブのマルチシグをサポートしないチェーンを含む）と互換性があること、そしてブロックチェーンのアドレスを変更せずに鍵をローテーションできること（鍵のリフレッシュ後も公開鍵が同じであるため）です。これらの利点により、閾値 ECDSA は機関投資家向けカストディで好まれる方式となっています。

Fireblocks は、機関投資家向け MPC カストディの最大手プロバイダーです。そのアーキテクチャでは 2-of-3 の閾値 ECDSA を使用します。2 つのシェアは Fireblocks のインフラストラクチャ（1 つは SGX、もう 1 つはコールドストレージ）に保管され、1 つのシェアは顧客が保管します。トランザクションには、3 つのシェアのうち少なくとも 2 つの協力が必要です。Fireblocks を含め、単一の当事者が独断で資金を移動することはできません。このシステムを通じて、4 兆ドルを超える取引が処理されています。

Qredo Network は、エンタープライズ向けのカストディと取引のために、Layer 2 ネットワークと閾値 ECDSA を使用しています。Coinbase Prime は、閾値 ECDSA（tss-lib を使用）を基盤とする MPC カストディによって、機関投資家の顧客資産を保護しています。どちらのシステムも、地理的に分離されたデータセンターに鍵シェアを分散し、HSM によって個々のシェアを保護しています。Copper.co も同様に、SGX で保護された鍵シェアを用いた MPC カストディを提供しています。

Anchorage Digital は、カストディに MPC ベースの閾値署名を使用する、連邦認可のデジタル資産銀行です。その鍵管理アーキテクチャでは、複数のデータセンターにシェアを分散し、生体認証を使って署名セレモニーを承認します。このシステムは、従来の単一 HSM によるカストディモデルを排除しながら、鍵管理に関する連邦銀行規制の要件を満たすように設計されています。

DNSSECのルートゾーンKey Signing Key（KSK）セレモニーは、重要インフラストラクチャにおける閾値鍵管理の最も公開性の高い例です。四半期ごとに実施されるこのセレモニーでは、世界各地から選ばれた14人のCrypto Officerのうち7人が、2か所の安全な施設のいずれかに物理的に立ち会う必要があります。各担当者は、鍵シェアを格納したスマートカードを所持します。複数のハードウェアセキュリティモジュールがクォーラムを検証してから、KSKによるルートゾーンへの署名を許可します。

ハードウェアセキュリティモジュール（HSM）は、M-of-N鍵分割（Shamirの秘密分散法に基づく）を使用して秘密鍵を分割できます。AWS CloudHSMクラスターは、クラスター内の複数のHSM間で鍵マテリアルを同期します。Thales Luna HSMは、複数のオペレーターが鍵コンポーネントを提供し、それらを耐タンパー性ハードウェア内部でのみ結合する「split knowledge」鍵セレモニーをサポートします。これにより、単一の管理者が鍵マテリアルを抽出することを防ぎます。

AWS CloudHSMは、自動的に同期するHSMのクラスターを提供します。1つのHSMで鍵が作成されると、クラスターのすべてのメンバーに複製されます。クラスターはアプリケーションに対して単一の論理HSMとして表示されますが、ハードウェアの冗長性を提供します。規制への準拠（PCI-DSS、HIPAA）のため、ソフトウェアによる鍵ストレージではなくHSMクラスターを使用すると、監査人が求める改ざん検知および耐タンパー性の保護を実現できます。

Unbound Key Control（UKC、現在はDynatraceの一部）は、閾値ECDSAを使用して仮想HSMを実装します。物理HSMの代わりに、閾値暗号を使用して複数のサーバー間で鍵マテリアルを分割します。鍵を再構成することなく処理を実行できます。この「ソフトウェアHSM」方式は、ハードウェアにかかるコストや複雑さを伴わずにHSM相当のセキュリティを提供し、クラウドネイティブなデプロイと柔軟なスケーリングを可能にします。

鍵管理にとどまらず、クォーラムベースのシステムでは、機密性の高い操作を実行する前に、t-of-nの認可された関係者から承認を得る必要があります。AWS Systems Manager Change Manager、Shamir Unsealを備えたHashiCorp Vault、CyberArk Privileged Accessは、いずれもクォーラムポリシーを実装しています。これらのシステムにより、単一の管理者が独断で破壊的な操作を実行できないようにし、内部脅威や侵害された認証情報から防御できます。

Thales Luna Network HSMは、高セキュリティ環境向けのThreshold Key Managementをサポートします。Luna HSMは、鍵生成セレモニーでm-of-nの鍵管理者方式を実装できます。鍵マテリアルがHSMの外部に平文で出ることはありません。代わりに、ラップされた鍵シェアが鍵管理者に配布され、HSM内部でのみ再結合できます。これは、PKIインフラストラクチャにおける認証局の鍵セレモニーで広く使用されています。

BitcoinやEthereumのネイティブなマルチシグと比べた場合、閾値ECDSAのオンチェーンでの主な利点は何ですか？

閾値ECDSAは、標準的な単一鍵アドレスと署名を生成することで、オンチェーンのマルチシグより優れた特性を実現します。Fireblocks、Qredo、Coinbaseは、機関投資家の資産を保護するためにこれを使用しています。DNSSECのルートKSKセレモニーでは、ハードウェアによってクォーラムが強制されます。AWS CloudHSMクラスターは、ハードウェア間で鍵マテリアルを同期します。Unbound Key Controlは、閾値暗号を使用してHSMを仮想化します。クォーラムベースのアクセス制御は、閾値の原則を管理操作にも適用します。