Protokoły rozproszonego generowania kluczy

Distributed Key Generation (DKG) rozwiązuje problem zaufanego dealera w kryptografii progowej. Bez DKG strona centralna musi wygenerować parę kluczy i rozdystrybuować udziały, przez chwilę mając pełną wiedzę o kluczu prywatnym. DKG umożliwia wspólne wygenerowanie przez n stron pary kluczy publicznego i prywatnego za pomocą protokołu, w którym żadna pojedyncza strona nie poznaje klucza prywatnego — nawet koordynator protokołu.

DKG Pedersena był pierwszym praktycznym protokołem DKG, opublikowanym w 1991 roku. Każda z n stron generuje losowy sekret s_i i uruchamia protokół Verifiable Secret Sharing (VSS), aby go udostępnić. Każda strona rozgłasza zobowiązania do współczynników swojego wielomianu. Po udostępnieniu przez wszystkie strony ich wkładów połączony sekret jest sumą wszystkich wartości s_i, a każda strona posiada udział w tej sumie.

Feldman VSS (Verifiable Secret Sharing autorstwa Feldmana, 1987) jest podstawowym elementem budulcowym większości protokołów DKG. Dealer zobowiązuje się do współczynników wielomianu jako elementów grupy (C_j = g^{a_j} mod p). Każda strona otrzymująca udział f(i) może zweryfikować go na podstawie tych zobowiązań, sprawdzając, czy g^{f(i)} jest równe iloczynowi C_j^{i^j}. Dzięki temu strony mogą wykryć, czy dealer przesłał nieprawidłowe udziały.

DKG Joint-Feldman uruchamia Feldman VSS równolegle dla wszystkich n stron, przy czym każda strona działa jako dealer własnego sekretu. Następnie strony zgłaszają skargi, jeśli otrzymały nieprawidłowe udziały. Klucz końcowy jest sumą sekretów dealerów, wobec których nie zgłoszono skarg. Jednak DKG Joint-Feldman nie jest bezpieczny wobec przeciwników adaptacyjnych, którzy korumpują strony na podstawie komunikatów protokołu. Słabość tę zidentyfikowali Gennaro, Jarecki, Krawczyk i Rabin.

Protokół DKG GJKR (Gennaro, Jarecki, Krawczyk, Rabin, 1999 i 2007) rozwiązał słabości DKG Joint-Feldman. GJKR wykorzystuje Pedersen VSS (zobowiązania ukrywające w sensie informacyjno-teoretycznym) zamiast Feldman VSS oraz dodaje rundy skarg, w których strony mogą zakwestionować nieprawidłowe udziały. Powstały DKG jest bezpieczny wobec przeciwników adaptacyjnych i stał się standardowym punktem odniesienia w teorii bezpiecznego DKG.

DKG GJKR wymaga trzech rund: rundy zobowiązań (każda strona rozgłasza zobowiązania VSS), rundy udostępniania udziałów (strony przesyłają sobie udziały bezpośrednio, w modelu peer-to-peer) oraz rundy skarg (strony rozgłaszają skargi dotyczące nieprawidłowych udziałów). Strony, które nie rozwiążą skarg, zostają zdyskwalifikowane. W czwartej rundzie wkłady prawidłowych stron są łączone w końcowy klucz publiczny i rozproszone udziały klucza prywatnego.

Zarządzanie kluczami walidatorów Ethereum wykorzystuje DKG w ramach distributed validator technology (DVT). EIP-4844 i ekosystem DVT (Obol Network, SSV Network) wykorzystują progowe podpisy BLS w schemacie BLS12-381, aby umożliwić komitetom walidatorów podpisywanie bloków bez ujawniania pełnego klucza walidatora jakiemukolwiek pojedynczemu operatorowi. Zwiększa to odporność walidatorów na awarie i zmniejsza ryzyko slashing z powodu przejęcia klucza.

DRAND to rozproszony generator losowości używany przez łańcuch beacon Ethereum do nieprzewidywalnego generowania liczb losowych. DRAND uruchamia DKG wśród zbioru węzłów League of Entropy (Cloudflare, EPFL, Protocol Labs itd.) w celu wygenerowania progowego klucza BLS. W każdej rundzie t z n węzłów dostarcza częściowe podpisy, które są łączone w nieprzewidywalną wartość losową. Żaden pojedynczy węzeł nie może wpłynąć na wynik ani go przewidzieć.

DKG jest znacznie prostszy dla progowych schematów Schnorra/EdDSA niż dla ECDSA. W progowych schematach Schnorra rozproszony klucz prywatny jest po prostu sumą sekretów stron (x = x1 + x2 + ... + xn), a klucz publiczny jest sumą udziałów klucza publicznego (X = X1 + X2 + ... + Xn). W przypadku ECDSA nieliniowość oznacza, że DKG musi generować udziały multiplikatywne, co wymaga bardziej złożonych protokołów.

Długotrwałe udziały klucza progowego mogą być stopniowo przejmowane, jeśli przeciwnik powoli korumpuje strony w czasie. Proaktywne udostępnianie sekretu (protokoły odświeżania) okresowo losowo zmienia udziały bez zmiany bazowego klucza. Po odświeżeniu udziały sprzed odświeżenia stają się bezużyteczne, co ogranicza okno podatności. GJKR i jego rozwinięcia obejmują protokoły odświeżania działające według tej samej struktury co początkowy DKG.

DKG jest zaimplementowany w kilku systemach produkcyjnych. Klient DVT Ethereum Obol Charon wykorzystuje ceremonię DKG opartą na Pedersen VSS w schemacie BLS12-381. Silent Shard firmy Silence Laboratories wykorzystuje DKG w mobilnych portfelach MPC. Biblioteka dkg-go implementuje GJKR dla aplikacji w Go. Threshold Network (dawniej Keep Network) wykorzystuje DKG w usłudze progowego ECDSA zabezpieczającej tBTC w sieci Bitcoin.

DKG eliminuje zaufanego dealera, ponieważ wszystkie n stron wspólnie generują parę kluczy progowych, a żadna strona nie zna klucza prywatnego. W DKG Pedersena każda strona uruchamia VSS dla swojego wkładu. GJKR dodaje bezpieczeństwo adaptacyjne dzięki rundom skarg. DKG stanowi podstawę DVT Ethereum (Obol, SSV), generatora losowości DRAND oraz produkcyjnych konfiguracji portfeli MPC. Protokoły odświeżania zwiększają bezpieczeństwo, okresowo losowo zmieniając udziały.