Протоколы распределенной генерации ключей

Распределённая генерация ключа (DKG) решает проблему доверенного дилера в пороговой криптографии. Без DKG центральная сторона должна сгенерировать пару ключей и распределить доли, на короткое время получая полный закрытый ключ. DKG позволяет n участникам совместно сгенерировать пару открытого и закрытого ключей с помощью протокола, в котором ни один участник не узнаёт закрытый ключ — даже координатор протокола.

DKG Педерсена был первым практически применимым протоколом DKG, опубликованным в 1991 году. Каждый из n участников генерирует случайный секрет s_i и запускает протокол проверяемого разделения секрета (VSS), чтобы поделиться им. Каждый участник рассылает всем обязательства для коэффициентов своего полинома. После того как все участники поделились своими вкладами, объединённый секрет становится суммой всех значений s_i, а каждый участник получает долю этой суммы.

VSS Фелдмана (проверяемое разделение секрета по Фелдману, 1987) — основной строительный блок большинства протоколов DKG. Дилер фиксирует коэффициенты полинома как элементы группы (C_j = g^{a_j} mod p). Каждый участник, получивший долю f(i), может проверить её по этим обязательствам, проверив, что g^{f(i)} равно произведению C_j^{i^j}. Это позволяет участникам обнаружить, что дилер отправил неправильные доли.

Совместный DKG Фелдмана параллельно запускает VSS Фелдмана для всех n участников, при этом каждый участник выступает дилером собственного секрета. Затем участники подают жалобы, если получают недействительные доли. Итоговый ключ представляет собой сумму секретов дилеров, на которых не поступило жалоб. Однако совместный DKG Фелдмана не защищён от адаптивных противников, которые компрометируют участников на основе сообщений протокола. Эту уязвимость выявили Геннаро, Ярецки, Кравчик и Рабин.

Протокол DKG GJKR (Геннаро, Ярецки, Кравчик и Рабин, 1999 и 2007) устранил недостатки совместного протокола Фелдмана. GJKR использует VSS Педерсена (информационно-теоретически скрывающие обязательства) вместо VSS Фелдмана и добавляет этапы подачи жалоб, на которых участники могут оспаривать недействительные доли. Получившийся DKG защищён от адаптивных противников и стал стандартным теоретическим ориентиром для безопасного DKG.

Для DKG GJKR требуются три этапа: этап обязательств (каждый участник рассылает всем обязательства VSS), этап передачи долей (участники отправляют доли друг другу напрямую) и этап подачи жалоб (участники рассылают всем жалобы на недействительные доли). Участники, не разрешившие жалобы, дисквалифицируются. На четвёртом этапе вклады действительных участников объединяются в итоговый открытый ключ и распределённые доли закрытого ключа.

Управление ключами валидаторов Ethereum использует DKG для распределённой технологии валидаторов (DVT). EIP-4844 и экосистема DVT (сеть Obol, сеть SSV) используют пороговые подписи BLS на основе BLS12-381, чтобы комитеты валидаторов могли подписывать блоки, не раскрывая полный ключ валидатора ни одному оператору. Это повышает отказоустойчивость валидаторов и снижает риск слэшинга из-за компрометации ключа.

DRAND — это распределённый маяк случайности, используемый маяковой цепью Ethereum для генерации непредсказуемых случайных чисел. DRAND запускает DKG среди набора узлов лиги энтропии (Cloudflare, EPFL, Protocol Labs и других), чтобы сгенерировать пороговый ключ BLS. В каждом раунде t узлов из n предоставляют частичные подписи, которые объединяются в непредсказуемое случайное значение. Ни один узел не может повлиять на результат или предсказать его.

DKG значительно проще для пороговых схем Шнорра и EdDSA, чем для ECDSA. В пороговых схемах Шнорра распределённый закрытый ключ просто равен сумме секретов участников (x = x1 + x2 + ... + xn), а открытый ключ — сумме долей открытого ключа (X = X1 + X2 + ... + Xn). В ECDSA нелинейность означает, что DKG должен создавать мультипликативные доли, поэтому требуются более сложные протоколы.

Долгоживущие доли порогового ключа могут постепенно скомпрометироваться, если противник медленно компрометирует участников с течением времени. Проактивное разделение секрета (протоколы обновления) периодически заново рандомизирует доли, не меняя сам ключ. После обновления доли, созданные до него, становятся бесполезными, что ограничивает период уязвимости. GJKR и производные от него протоколы включают протоколы обновления, построенные по той же схеме, что и исходный DKG.

DKG реализован в нескольких промышленных системах. Клиент DVT Ethereum Obol Charon использует церемонию DKG на основе VSS Педерсена над BLS12-381. Silent Shard компании Silence Laboratories использует DKG для мобильных MPC-кошельков. Библиотека dkg-go реализует GJKR для приложений на Go. Threshold Network (ранее Keep Network) использует DKG для службы пороговой ECDSA, защищающей tBTC в сети Bitcoin.

Какое ключевое свойство делает DKG Педерсена лучше схемы с одним доверенным дилером?

DKG устраняет необходимость в доверенном дилере: все n участников совместно генерируют пару пороговых ключей, и ни один участник не знает закрытый ключ. В DKG Педерсена каждый участник запускает VSS для своего вклада. GJKR добавляет защиту от адаптивных противников с помощью этапов подачи жалоб. DKG лежит в основе DVT Ethereum (Obol, SSV), маяка случайности DRAND и промышленных реализаций MPC-кошельков. Протоколы обновления повышают безопасность за счёт периодической повторной рандомизации долей.