しきい値署名と実世界での用途

従来の秘密分散では、秘密を1か所で復元するため、リスクが生じます。閾値署名では署名処理を分散し、k-of-nの参加者が共同で署名を生成します。このとき、単一の参加者が完全な秘密鍵を保持することはありません。復元も単一障害点も存在しません。

閾値ECDSA（t-ECDSA）では、k人の参加者がメッセージに対するECDSA署名を共同で計算できます。各参加者は秘密鍵のシェアを保持します。プロトコルはMPCを使用し、個々のシェアや結合された鍵を明らかにすることなく署名を計算します。

BLS（Boneh-Lynn-Shacham）署名はペアリングに適した曲線上で動作し、洗練された閾値方式を実現できます。部分署名は線形であり、各参加者が自分のシェアで署名した後、k個の部分署名をラグランジュ係数で集約して、1つのBLS署名を生成します。

DKGは信頼できるディーラーを不要にします。各参加者が自分のシェア用の多項式を生成し、コミットメントをブロードキャストして、シェアを交換します。共同公開鍵は、どの参加者も秘密鍵を知ることなく計算されます。Ethereumのバリデーターや分散HSMで使用されています。

Coinbase、Gemini、BitGoなどの取引所では、ホットウォレットの鍵に2-of-3または3-of-5の閾値ECDSAやShamir SSSを使用しています。コールドウォレットの鍵には、オフラインのShamirシェアを地理的に離れた保管庫に分散する、ハードウェアベースの鍵セレモニーが使用されます。

Thales LunaとAWS CloudHSMは、M-of-Nのクォーラム認証に対応しています。機密性の高い操作（鍵のラッピングや署名）には、N人の管理者のうちM人のスマートカードが同時に存在する必要があります。カードは地理的に分散して保管されます。

Ethereum 2.0のステーキングプールでは、閾値BLS署名を使用します。複数のノードがバリデーターの秘密鍵を明らかにすることなく、アテステーションに共同で署名します。k-1個のノードがオフラインになると署名は安全に停止し、k個のノードが利用可能であれば署名は継続されます。

CAの秘密鍵には、セレモニー方式のShamir分散が使用されます。物理的なスマートカードをそれぞれ持つ7人の鍵保有者のうち5人が、安全な部屋に集まって証明書失効リストに署名するか、新しい中間CA証明書を発行する必要があります。

FROST (Flexible Round-Optimized Schnorr Threshold) は、Bitcoin TaprootおよびMuSig2と互換性のあるSchnorr閾値署名を生成します。通信は2ラウンド必要で、現在の閾値Bitcoin署名における最先端の方式です。

閾値方式では、無効なシェアや署名を送信する悪意のある参加者に対処する必要があります。ロバストなプロトコルは、コミットメントとゼロ知識証明を使用して不正者を検出・排除しながら、残りの正直な参加者による復元や署名を可能にします。

機能の比較：Shamir SSS（秘密を分散、単純）対 閾値ECDSA（復元せず、複雑、MPCベース）対 閾値BLS（ネイティブ集約、ペアリング曲線のみ）対 マルチシグ（ブロックチェーンレベル、MPC不要）。

閾値署名は、MPCプロトコルを使用して復元なしに署名処理を分散します。暗号資産のカストディ、バリデータネットワーク、企業のCAセレモニーで利用されています。次は、暗号学的乱数とエントロピーについて学びます。