Podpisy progowe i zastosowania w praktyce

Klasyczne współdzielenie sekretu rekonstruuje sekret w jednym miejscu — co stanowi ryzyko. Podpisy progowe rozpraszają proces podpisywania: k z n uczestników wspólnie tworzy podpis, tak aby żaden pojedynczy uczestnik nigdy nie posiadał całego klucza prywatnego. Brak rekonstrukcji, brak pojedynczego punktu awarii.

Progowe ECDSA (t-ECDSA) pozwala k uczestnikom wspólnie obliczyć podpis ECDSA wiadomości. Każdy uczestnik posiada udział klucza prywatnego. Protokół wykorzystuje MPC do obliczenia podpisu bez ujawniania poszczególnych udziałów ani połączonego klucza.

Podpisy BLS (Boneh-Lynn-Shacham) nad krzywymi przyjaznymi parowaniu obsługują eleganckie schematy progowe. Podpisy częściowe są liniowe — każdy uczestnik podpisuje za pomocą swojego udziału, a następnie k podpisów częściowych jest agregowanych ze współczynnikami Lagrange’a w celu utworzenia pojedynczego podpisu BLS.

DKG eliminuje zaufanego dealera: każdy uczestnik generuje własny wielomian udziału, rozgłasza zobowiązania i wymienia udziały. Wspólny klucz publiczny jest obliczany bez wiedzy któregokolwiek uczestnika o kluczu prywatnym. Stosuje się to w walidatorach Ethereum i rozproszonych modułach HSM.

Giełdy takie jak Coinbase, Gemini i BitGo używają progowego ECDSA 2-of-3 lub 3-of-5 albo SSS Shamira dla kluczy gorących portfeli. Klucze zimnych portfeli wykorzystują oparte na sprzęcie ceremonie generowania kluczy, podczas których udziały Shamira są rozdzielane między skarbce oddalone od siebie geograficznie.

Thales Luna i AWS CloudHSM obsługują uwierzytelnianie kworum M-of-N: klucz główny wymaga jednoczesnej obecności M z N kart inteligentnych administratorów podczas wrażliwych operacji (opakowywanie klucza, podpisywanie). Karty są rozmieszczone geograficznie.

Pule stakingowe Ethereum 2.0 wykorzystują progowe podpisy BLS: wiele węzłów wspólnie podpisuje poświadczenia bez ujawniania klucza prywatnego walidatora. Jeśli k-1 węzłów przejdzie w tryb offline, podpisywanie zostaje bezpiecznie wstrzymane. Jeśli dostępnych jest k węzłów, podpisywanie jest kontynuowane.

Klucze prywatne CA wykorzystują oparte na ceremonii współdzielenie Shamir: 5 z 7 posiadaczy klucza, z których każdy ma fizyczną kartę inteligentną, musi zebrać się w bezpiecznym pomieszczeniu, aby podpisać listę unieważnionych certyfikatów lub wydać nowy certyfikat pośredniego urzędu certyfikacji.

FROST (Flexible Round-Optimized Schnorr Threshold) tworzy progowe podpisy Schnorra zgodne z Bitcoin Taproot i MuSig2. Wymaga 2 rund komunikacji i jest obecnie najnowocześniejszym rozwiązaniem w zakresie progowego podpisywania Bitcoinów.

Schematy progowe muszą obsługiwać złośliwych uczestników (którzy przesyłają nieprawidłowe udziały lub podpisy). Odporne protokoły wykorzystują zobowiązania i dowody z wiedzą zerową do wykrywania oraz wykluczania oszustów, a jednocześnie nadal rekonstruują sekret lub tworzą podpis przy udziale pozostałych uczciwych uczestników.

Porównanie cech: Shamir SSS (współdzieli sekret, prosty) vs Threshold ECDSA (nigdy nie rekonstruuje sekretu, złożony, oparty na MPC) vs Threshold BLS (natywna agregacja, wyłącznie krzywe z obsługą parowania) vs Multisig (na poziomie łańcucha bloków, bez potrzeby MPC).

Jaka jest kluczowa przewaga podpisów progowych nad współdzieleniem sekretu Shamira w przypadku kluczy używanych do podpisywania?

Podpisy progowe rozpraszają proces podpisywania bez rekonstrukcji sekretu, wykorzystując protokoły MPC. Stosuje się je w powiernictwie kryptowalut, sieciach walidatorów i korporacyjnych ceremoniach CA. Dalej: losowość kryptograficzna i entropia.