Tröskelsignaturer och användningsområden i verkligheten

Klassisk hemlighetsdelning återskapar hemligheten på en enda plats – en risk. Tröskelsignaturer distribuerar signeringen: k-av-n parter skapar tillsammans en signatur utan att någon enskild part någonsin har hela den privata nyckeln. Ingen återskapning och ingen enskild felpunkt.

Tröskel-ECDSA (t-ECDSA) gör det möjligt för k parter att gemensamt beräkna en ECDSA-signatur för ett meddelande. Varje part har en del av den privata nyckeln. Protokollet använder MPC för att beräkna signaturen utan att avslöja enskilda delar eller den kombinerade nyckeln.

BLS-signaturer (Boneh-Lynn-Shacham) över parningsvänliga kurvor stöder eleganta tröskelscheman. Partiella signaturer är linjära – varje part signerar med sin del, varefter k partiella signaturer aggregeras med Lagrangekoefficienter för att skapa en enda BLS-signatur.

DKG eliminerar den betrodda distributören: varje part genererar sitt eget delningspolynom, sänder ut commitmenter och utbyter delar. Den gemensamma publika nyckeln beräknas utan att någon part känner till den privata nyckeln. Detta används i Ethereum-validerare och distribuerade HSM:er.

Börser som Coinbase, Gemini och BitGo använder tröskel-ECDSA enligt 2-av-3 eller 3-av-5, eller Shamir SSS, för nycklar till hot wallets. Nycklar till cold wallets använder hårdvarubaserade nyckelceremonier, där Shamir-delar lagras offline i geografiskt åtskilda säkerhetsvalv.

Thales Luna och AWS CloudHSM stöder kvorumautentisering enligt M-av-N: en huvudnyckel kräver att M av N administratörers smartkort finns på plats samtidigt för känsliga operationer (nyckelinkapsling och signering). Korten distribueras geografiskt.

Ethereum 2.0:s stakingpooler använder tröskel-BLS-signaturer: flera noder signerar tillsammans attesteringar utan att avslöja validerarens privata nyckel. Om k-1 noder kopplas från stoppas signeringen på ett säkert sätt. Om k noder är tillgängliga fortsätter signeringen.

CA:s privata nycklar använder ceremonibaserad Shamir-hemlighetsdelning: 5 av 7 nyckelinnehavare, var och en med ett fysiskt smartkort, måste samlas i ett säkert rum för att signera en certifikatspärrlista eller utfärda ett nytt mellanliggande CA-certifikat.

FROST (Flexible Round-Optimized Schnorr Threshold) skapar tröskelbaserade Schnorr-signaturer som är kompatibla med Bitcoin Taproot och MuSig2. Det kräver två kommunikationsrundor och är den senaste tekniken för tröskelbaserad Bitcoin-signering.

Tröskelscheman måste hantera illvilliga parter (som skickar ogiltiga delar eller signaturer). Robusta protokoll använder commitmenter och nollkunskapsbevis för att upptäcka och utesluta fuskare, samtidigt som signering eller återskapande fortfarande kan ske med de återstående ärliga parterna.

Jämförelse av egenskaper: Shamir SSS (delar en hemlighet, enkelt) jämfört med tröskel-ECDSA (återskapar aldrig, komplext, MPC-baserat), tröskel-BLS (inbyggd aggregering, endast parningskurvor) och Multisig (på blockkedjenivå, kräver ingen MPC).

Tröskelsignaturer distribuerar signering utan återskapande och använder MPC-protokoll. De används för förvaring av kryptovaluta, validerarnätverk och företagsbaserade CA-ceremonier. Nästa avsnitt: kryptografisk slumpmässighet och entropi.