Assinaturas de limiar e casos de uso no mundo real

O compartilhamento clássico de segredos reconstrói o segredo em um único ponto — um risco. As assinaturas de limiar distribuem a assinatura: k de n participantes produzem conjuntamente uma assinatura sem que um único participante jamais tenha a chave privada completa. Sem reconstrução, não há um único ponto de falha.

O ECDSA de limiar (t-ECDSA) permite que k participantes calculem conjuntamente uma assinatura ECDSA sobre uma mensagem. Cada participante possui uma parte da chave privada. O protocolo usa MPC para calcular a assinatura sem revelar as partes individuais nem a chave combinada.

As assinaturas BLS (Boneh-Lynn-Shacham) sobre curvas compatíveis com emparelhamentos permitem esquemas de limiar elegantes. As assinaturas parciais são lineares: cada participante assina com sua parte; depois, k assinaturas parciais são agregadas com coeficientes de Lagrange para produzir uma única assinatura BLS.

O DKG elimina o distribuidor confiável: cada participante gera seu próprio polinômio de partes, transmite compromissos e troca partes. A chave pública conjunta é calculada sem que nenhum participante conheça a chave privada. É usado em validadores do Ethereum e em módulos de segurança de hardware distribuídos.

Corretoras como Coinbase, Gemini e BitGo usam ECDSA de limiar de 2 de 3 ou 3 de 5, ou SSS de Shamir, para as chaves de carteiras quentes. As chaves de carteiras frias usam cerimônias de chaves baseadas em hardware, com partes de Shamir offline distribuídas entre cofres geograficamente separados.

Thales Luna e AWS CloudHSM oferecem autenticação de quórum M de N: uma chave mestra exige que M dos N cartões inteligentes de administradores estejam presentes simultaneamente para operações sensíveis (encapsulamento de chaves e assinatura). Os cartões são distribuídos geograficamente.

Os pools de participação do Ethereum 2.0 usam assinaturas BLS de limiar: vários nós assinam conjuntamente atestações sem expor a chave privada do validador. Se k-1 nós ficarem offline, a assinatura será interrompida com segurança. Se k nós estiverem disponíveis, a assinatura continuará.

As chaves privadas da CA usam o compartilhamento de Shamir baseado em cerimônia: 5 dos 7 detentores de chaves, cada um com um cartão inteligente físico, devem se reunir em uma sala segura para assinar uma Lista de Revogação de Certificados ou emitir um novo certificado de CA intermediária.

FROST (Limiar Schnorr flexível e otimizado para rodadas) produz assinaturas de limiar Schnorr compatíveis com Bitcoin Taproot e MuSig2. Ele exige 2 rodadas de comunicação e representa o estado atual da arte para assinaturas de limiar do Bitcoin.

Os esquemas de limiar precisam lidar com participantes maliciosos, que enviam partes ou assinaturas inválidas. Protocolos robustos usam compromissos e provas de conhecimento zero para detectar e excluir trapaceiros, continuando a reconstruir ou assinar com as partes honestas restantes.

Comparação de recursos: Shamir SSS (compartilha o segredo, simples) versus ECDSA de limiar (nunca reconstrói, complexo, baseado em MPC) versus BLS de limiar (agregação nativa, somente curvas com emparelhamento) versus multis assinatura (no nível da blockchain, sem necessidade de MPC).

As assinaturas de limiar distribuem a assinatura sem reconstrução, usando protocolos MPC. Elas são aplicadas na custódia de criptomoedas, em redes de validadores e em cerimônias empresariais de CA. A seguir: aleatoriedade criptográfica e entropia.