O problema do compartilhamento de segredos

Você tem uma chave mestra que precisa ser preservada e estar acessível em emergências, mas nunca ser comprometida por uma única pessoa. Como armazená-la? Entregar a chave inteira a várias pessoas significa que qualquer uma delas pode usá-la indevidamente. Manter uma única cópia cria um ponto único de falha.

Dividir uma chave de 128 bits em duas metades de 64 bits e entregar cada metade a duas pessoas parece uma boa ideia, mas é inseguro: cada metade reduz o custo da força bruta de 2^128 para 2^64. Um adversário que comprometa uma pessoa obtém uma vantagem inicial de 64 bits.

Um esquema adequado de compartilhamento de segredos deve ser: (1) De limiar: quaisquer k de n parcelas reconstroem o segredo. (2) Seguro: quaisquer k-1 parcelas não revelam nenhuma informação sobre o segredo. (3) Perfeito: não exige pressupostos computacionais.

Carteiras de Bitcoin, chaves mestras de HSM, chaves privadas de autoridades certificadoras, códigos de lançamento nuclear e carteiras frias de corretoras de criptomoedas precisam de acesso por limiar. A perda da chave única = catástrofe. O comprometimento por uma pessoa interna = também catástrofe.

Para compartilhar o segredo S entre duas partes: gere R aleatoriamente. Entregue share1=R à parte 1 e share2=S XOR R à parte 2. Para reconstituir: share1 XOR share2 = R XOR (S XOR R) = S. Cada parcela isolada é perfeitamente aleatória — não revela nada sobre S.

O compartilhamento com XOR é perfeito para 2 de 2, mas não se generaliza para esquemas de limiar k de n. Não é possível criar um esquema 3 de 5 em que quaisquer 3 parcelas reconstroem o segredo, mas quaisquer 2 não revelem nada. A interpolação polinomial resolve esse problema.

O sigilo perfeito significa que as parcelas não contêm nenhuma informação mútua sobre o segredo quando há menos de k parcelas. Isso é mais forte do que a segurança computacional — mesmo um adversário com poder computacional ilimitado não aprende nada com k-1 parcelas.

AWS CloudHSM usa autenticação de quórum M de N. O escrow de chaves PGP divide as chaves mestras. Provedores de custódia de criptomoedas (Fireblocks, BitGo) usam MPC ou o compartilhamento de Shamir para chaves de carteiras quentes. Chaves offline de autoridades certificadoras usam cerimônias 5 de 7.

Uma cerimônia de chaves é um processo formal e auditado para gerar e dividir uma chave mestra. Exemplo: 7 detentores de chaves presentes em uma sala segura, cada um recebendo um token de hardware com uma parcela. Tudo é gravado em vídeo, com dois auditores presentes e cada etapa documentada.

O compartilhamento de segredos reconstrói o segredo completo (risco: ponto único no momento da reconstrução). As assinaturas múltiplas distribuem a assinatura: cada parte assina de forma independente e as assinaturas são combinadas. As assinaturas de limiar (TSS) aplicam o compartilhamento de segredos à própria operação de assinatura.

A computação segura entre múltiplas partes (MPC) elimina completamente a etapa de reconstrução — as partes calculam conjuntamente usando suas parcelas sem revelar o segredo. ECDSA de limiar e BLS de limiar são usados em sistemas de custódia em produção.

Em um esquema de compartilhamento de segredos 2 de 2 com XOR, de quantas parcelas um invasor precisa para descobrir o segredo?

A divisão ingênua de chaves é insegura. O compartilhamento adequado de segredos exige acesso por limiar com sigilo perfeito. XOR lida com 2 de 2; a interpolação polinomial lida com k de n. Próximo: matemática do Compartilhamento de Segredos de Shamir.