Schematy podpisów progowych: podstawy

Tradycyjne podpisy cyfrowe wykorzystują pojedynczy klucz prywatny przechowywany przez jedną stronę. Jeśli ten klucz zostanie skompromitowany, skradziony lub utracony, wszystkie utworzone za jego pomocą podpisy mogą zostać sfałszowane, a samego klucza nie można odzyskać. Operacje podpisywania o wysokiej wartości — podpisywanie kodu systemów operacyjnych, ceremonie kluczy urzędów certyfikacji, kontrola portfeli kryptowalutowych — wymagają silniejszej ochrony, niż może zapewnić dowolna pojedyncza strona.

Shamir's Secret Sharing (SSS), wynaleziony w 1979 roku, dzieli sekret s na n udziałów w taki sposób, że dowolne t udziałów pozwala odtworzyć s, ale mniej niż t udziałów nie ujawnia żadnych informacji. Schemat wykorzystuje interpolację wielomianową nad ciałem skończonym: s jest wyrazem stałym losowego wielomianu stopnia (t-1), a udziały są wartościami tego wielomianu w różnych punktach. SSS zapewnia bezpieczeństwo informacyjne.

Naiwne podejście do podpisywania progowego polegałoby na użyciu SSS do podzielenia klucza prywatnego, zebraniu t stron w celu jego odtworzenia i złożeniu podpisu. Niweczy to cały cel rozwiązania: odtworzenie klucza prywatnego oznacza, że istnieje on w jednym miejscu i jest podatny na zagrożenia. Prawdziwe podpisy progowe pozwalają t stronom wspólnie wygenerować podpis, bez tego, by którakolwiek strona kiedykolwiek poznała lub złożyła w całość pełny klucz prywatny. Klucz nigdy nie jest odtwarzany.

Schemat podpisu progowego (t, n) obejmuje n stron, z których każda posiada udział klucza prywatnego. Podpis może zostać wygenerowany przez dowolne t stron współpracujących za pośrednictwem interaktywnego protokołu. Wynikowy podpis jest identyczny ze zwykłym podpisem (można go zweryfikować za pomocą grupowego klucza publicznego). Przeciwnik, który pozna najwyżej t-1 udziałów, nie uzyskuje żadnych informacji o kluczu prywatnym.

Interaktywne podpisywanie progowe wymaga wielu rund komunikacji między stronami składającymi podpis. Strony wymieniają zobowiązania, dowody i częściowe podpisy, które następnie są łączone. Warianty nieinteraktywne (w których strony obliczają z wyprzedzeniem określone wartości) skracają podpisywanie online do jednej wiadomości. W zastosowaniach takich jak portfele sprzętowe, gdzie opóźnienie ma znaczenie, ważne jest ograniczenie liczby rund.

Standardowe SSS nie daje posiadaczowi udziału możliwości zweryfikowania, czy jego udział jest poprawny — złośliwy dealer mógłby rozdzielić niespójne udziały. Weryfikowalne dzielenie sekretu (VSS) dodaje zobowiązania do współczynników wielomianu, umożliwiając każdemu posiadaczowi udziału sprawdzenie, czy jego udział jest zgodny z publicznym zobowiązaniem, bez poznawania innych udziałów. Feldman VSS i Pedersen VSS to standardowe konstrukcje.

Podpisy progowe wymagają protokołu rozproszonego generowania klucza (DKG) do skonfigurowania wspólnego klucza bez znajomości pełnego klucza prywatnego przez którąkolwiek pojedynczą stronę. Bez DKG zaufany dealer wygenerowałby klucz i podzielił go, tworząc zaufaną stronę, która zna klucz. DKG eliminuje wymóg zaufanego dealera, co ma kluczowe znaczenie dla zastosowań niewymagających zaufania, takich jak powiernictwo blockchainowe.

Instytucjonalne powiernictwo kryptowalut jest obecnie zastosowaniem podpisów progowych o największej wartości. Coinbase, Fireblocks i Anchorage używają portfeli MPC opartych na progowym ECDSA do zabezpieczania aktywów wartych miliardy dolarów. Zamiast pojedynczego modułu HSM przechowującego klucz prywatny, klucz jest dzielony między serwery rozproszone geograficznie. Żadne pojedyncze naruszenie bezpieczeństwa nie zagraża wszystkim środkom.

Ceremonia klucza podpisywania kluczy (KSK) strefy głównej DNSSEC wykorzystuje wariant dzielenia sekretu z klastrami HSM i kworum zaufanych członków społeczności. Ceremonia wymaga fizycznego kworum (7 z 14 operatorów kryptograficznych z całego świata) do podpisania strefy głównej. Systemy autoryzacji rozkazów nuklearnych wykorzystują podobne zasady podziału klucza, w których wiele uprawnionych stron musi współpracować, aby autoryzować operacje wrażliwe.

Platformy blockchain obsługują wielopodpisy on-chain: transakcja wymaga podpisów t z n określonych kluczy publicznych, a wszystkie są weryfikowane on-chain. Jest to przejrzyste, proste i bezpieczne, ale ujawnia strukturę wielopodpisu i wymaga wielu operacji on-chain. Progowy ECDSA tworzy pojedynczy podpis odpowiadający pojedynczemu kluczowi publicznemu, całkowicie ukrywając strukturę progową i wykorzystując tylko jedną operację on-chain.

Bezpieczeństwo podpisów progowych analizuje się względem statycznego lub adaptacyjnego przeciwnika, który może skompromitować do t-1 stron. Przeciwnik statyczny wybiera strony do zaatakowania przed rozpoczęciem protokołu, natomiast przeciwnik adaptacyjny dokonuje wyboru na podstawie obserwowanych wiadomości. Bezpieczeństwo adaptacyjne jest trudniejsze do osiągnięcia i wymaga bardziej złożonych protokołów. Większość wdrożonych protokołów progowego ECDSA dowodzi bezpieczeństwa wobec statycznych przeciwników.

Dlaczego samo dzielenie sekretu Shamira nie wystarcza do utworzenia bezpiecznego schematu podpisu progowego?

Podpisy progowe pozwalają grupie t z n stron podpisywać bez odtwarzania klucza prywatnego. Samo dzielenie sekretu Shamira jest niewystarczające, ponieważ wymaga odtworzenia klucza. Prawdziwe schematy progowe wykorzystują obliczenia wielostronne, w których klucz nigdy nie jest składany. Zastosowania obejmują instytucjonalne powiernictwo kryptowalut (Coinbase, Fireblocks), ceremonie kluczy DNSSEC i infrastrukturę krytyczną. Progowy ECDSA tworzy standardowy pojedynczy podpis, w przeciwieństwie do wielopodpisu on-chain, który ujawnia strukturę progową.