Пороговые подписи и практические применения

Классическое разделение секрета восстанавливает секрет в одной точке, что создаёт риск. Пороговые подписи распределяют операцию подписания: участники по схеме k из n совместно создают подпись, при этом ни один участник никогда не владеет полным закрытым ключом. Восстановление не требуется, и единой точки отказа нет.

Пороговая ECDSA (t-ECDSA) позволяет k участникам совместно вычислить подпись ECDSA для сообщения. Каждый участник хранит долю закрытого ключа. Протокол использует MPC для вычисления подписи, не раскрывая отдельные доли или объединённый ключ.

Подписи BLS (Boneh-Lynn-Shacham) на кривых, удобных для спаривания, поддерживают элегантные пороговые схемы. Частичные подписи линейны: каждый участник подписывает своей долей, после чего k частичных подписей объединяются с коэффициентами Лагранжа в одну подпись BLS.

DKG устраняет необходимость в доверенном участнике: каждый участник создаёт собственный многочлен доли, передаёт обязательства всем участникам и обменивается долями. Общий открытый ключ вычисляется без того, чтобы кто-либо из участников знал закрытый ключ. Этот подход используется в валидаторах Ethereum и распределённых HSM.

Биржи, такие как Coinbase, Gemini и BitGo, используют пороговую ECDSA по схемам 2 из 3 или 3 из 5 либо SSS Шамира для ключей горячих кошельков. Для ключей холодных кошельков применяются аппаратные процедуры генерации ключей с автономными долями Шамира, распределёнными по хранилищам в разных географических регионах.

Thales Luna и AWS CloudHSM поддерживают аутентификацию кворума M из N: для выполнения чувствительных операций (упаковки ключей и подписания) главный ключ требует одновременного присутствия M из N смарт-карт администраторов. Карты распределены географически.

Пулы стейкинга Ethereum 2.0 используют пороговые подписи BLS: несколько узлов совместно подписывают подтверждения, не раскрывая закрытый ключ валидатора. Если k-1 узлов отключаются, подписание безопасно останавливается. Если доступны k узлов, подписание продолжается.

Закрытые ключи CA используют разделение Шамира на основе специальной процедуры: 5 из 7 держателей ключей, каждый с физической смарт-картой, должны собраться в защищённом помещении, чтобы подписать список отзыва сертификатов или выпустить новый промежуточный сертификат CA.

FROST (гибкие пороговые подписи Шнорра с оптимизацией числа раундов обмена) создаёт пороговые подписи Шнорра, совместимые с Bitcoin Taproot и MuSig2. Требуются два раунда обмена данными, поэтому сейчас это передовой подход к пороговому подписанию в Bitcoin.

Пороговые схемы должны обрабатывать действия злоумышленников, которые отправляют недействительные доли или подписи. Надёжные протоколы используют обязательства и доказательства с нулевым разглашением, чтобы обнаруживать и исключать мошенников, продолжая восстановление или подписание с помощью оставшихся честных участников.

Сравнение возможностей: SSS Шамира (разделяет секрет, проста) против пороговой ECDSA (секрет никогда не восстанавливается, сложная, основана на MPC) против пороговой BLS (естественное объединение, только кривые со спариванием) против мультиподписи (уровень блокчейна, MPC не требуется).

Каково ключевое преимущество пороговых подписей перед разделением секрета Шамира для ключей подписи?

Пороговые подписи распределяют операцию подписания без восстановления секрета, используя протоколы MPC. Они применяются для хранения криптовалюты, в сетях валидаторов и при процедурах работы с корпоративными CA. Далее: криптографическая случайность и энтропия.