โครงร่างลายเซ็นแบบ Threshold: แนวคิดพื้นฐาน

ลายเซ็นดิจิทัลแบบดั้งเดิมใช้กุญแจส่วนตัวเพียงชุดเดียวที่ฝ่ายใดฝ่ายหนึ่งถือครอง หากกุญแจนั้นถูกเจาะ ขโมย หรือสูญหาย ลายเซ็นทั้งหมดที่สร้างด้วยกุญแจนั้นอาจถูกปลอมแปลงได้ และไม่สามารถกู้คืนกุญแจได้ การดำเนินการลงนามที่มีมูลค่าสูง เช่น การลงนามโค้ดสำหรับระบบปฏิบัติการ พิธีการกุญแจของหน่วยงานออกใบรับรอง และการควบคุมกระเป๋าสกุลเงินดิจิทัล จำเป็นต้องได้รับการปกป้องที่แข็งแกร่งกว่าที่ฝ่ายใดฝ่ายหนึ่งจะจัดหาได้

การแบ่งปันความลับของ Shamir (SSS) ซึ่งคิดค้นขึ้นในปี 1979 จะแบ่งความลับ s ออกเป็นส่วนแบ่ง n ส่วน โดยส่วนแบ่งจำนวน t ส่วนใด ๆ สามารถนำมาประกอบ s กลับได้ แต่หากมีน้อยกว่า t ส่วน จะไม่เปิดเผยข้อมูลใด ๆ โครงร่างนี้ใช้การแทรกค่าพหุนามบนฟิลด์จำกัด โดย s เป็นพจน์คงที่ของพหุนามดีกรี (t-1) แบบสุ่ม และส่วนแบ่งต่าง ๆ คือค่าที่ได้จากการประเมินพหุนามนี้ ณ จุดที่แตกต่างกัน SSS มีความปลอดภัยในเชิงสารสนเทศ

แนวทางแบบง่ายสำหรับการลงนามแบบแบ่งเกณฑ์คือใช้ SSS แบ่งกุญแจส่วนตัว ให้ฝ่ายจำนวน t ฝ่ายประกอบกุญแจกลับขึ้นมา แล้วจึงลงนาม วิธีนี้ทำลายจุดประสงค์ของระบบ เพราะการประกอบกุญแจส่วนตัวกลับหมายความว่ากุญแจนั้นมีอยู่ในที่เดียวและตกอยู่ในความเสี่ยง ลายเซ็นแบบแบ่งเกณฑ์ที่แท้จริงช่วยให้ฝ่ายจำนวน t ฝ่ายร่วมกันสร้างลายเซ็นได้โดยไม่มีฝ่ายใดเคยเรียนรู้หรือประกอบกุญแจส่วนตัวฉบับเต็ม กุญแจจะไม่ถูกประกอบกลับขึ้นมาเลย

โครงร่างลายเซ็นแบบแบ่งเกณฑ์ (t, n) ประกอบด้วยฝ่ายจำนวน n ฝ่าย ซึ่งแต่ละฝ่ายถือส่วนแบ่งของกุญแจส่วนตัว สามารถสร้างลายเซ็นได้โดยฝ่ายจำนวน t ฝ่ายใด ๆ ทำงานร่วมกันผ่านโพรโทคอลแบบโต้ตอบ ลายเซ็นที่ได้เหมือนกับลายเซ็นทั่วไปทุกประการ และสามารถตรวจสอบได้ด้วยกุญแจสาธารณะของกลุ่ม ผู้โจมตีที่ได้ส่วนแบ่งมากที่สุด t-1 ส่วนจะไม่เรียนรู้ข้อมูลใด ๆ เกี่ยวกับกุญแจส่วนตัว

การลงนามแบบแบ่งเกณฑ์ที่โต้ตอบต้องอาศัยการสื่อสารหลายรอบระหว่างฝ่ายที่ลงนาม ฝ่ายต่าง ๆ จะแลกเปลี่ยนค่าผูกมัด หลักฐาน และลายเซ็นบางส่วน จากนั้นจึงนำมารวมกัน รูปแบบที่ไม่โต้ตอบ ซึ่งฝ่ายต่าง ๆ คำนวณค่าบางอย่างไว้ล่วงหน้า จะลดรอบการลงนามแบบออนไลน์ให้เหลือข้อความเดียว สำหรับแอปพลิเคชันอย่างกระเป๋าฮาร์ดแวร์ที่ความหน่วงมีความสำคัญ การลดจำนวนรอบจึงเป็นเรื่องสำคัญ

SSS มาตรฐานไม่มีวิธีให้ผู้ถือส่วนแบ่งตรวจสอบว่าส่วนแบ่งของตนถูกต้องหรือไม่ ผู้แจกจ่ายที่ประสงค์ร้ายอาจแจกจ่ายส่วนแบ่งที่ไม่สอดคล้องกันได้ การแบ่งปันความลับที่ตรวจสอบได้ (VSS) จะเพิ่มค่าผูกมัดให้กับสัมประสิทธิ์ของพหุนาม ทำให้ผู้ถือส่วนแบ่งแต่ละคนตรวจสอบได้ว่าส่วนแบ่งของตนสอดคล้องกับค่าผูกมัดสาธารณะ โดยไม่ต้องเรียนรู้ส่วนแบ่งอื่น ๆ Feldman VSS และ Pedersen VSS เป็นโครงสร้างมาตรฐาน

ลายเซ็นแบบแบ่งเกณฑ์ต้องใช้โพรโทคอลการสร้างกุญแจแบบกระจาย (DKG) เพื่อจัดตั้งกุญแจร่วมโดยไม่มีฝ่ายใดฝ่ายหนึ่งรู้กุญแจส่วนตัวฉบับเต็ม หากไม่มี DKG ผู้แจกจ่ายที่ได้รับความไว้วางใจจะเป็นผู้สร้างกุญแจและแบ่งกุญแจนั้น ทำให้เกิดฝ่ายที่ได้รับความไว้วางใจและรู้กุญแจ การใช้ DKG ช่วยกำจัดข้อกำหนดที่ต้องมีผู้แจกจ่ายที่ได้รับความไว้วางใจ ซึ่งมีความสำคัญอย่างยิ่งต่อแอปพลิเคชันที่ไม่ต้องพึ่งพาความไว้วางใจ เช่น การดูแลสินทรัพย์บนบล็อกเชน

การรับฝากสินทรัพย์สกุลเงินดิจิทัลระดับสถาบันเป็นการนำลายเซ็นแบบแบ่งเกณฑ์ไปใช้งานที่มีมูลค่าสูงที่สุดในปัจจุบัน Coinbase, Fireblocks และ Anchorage ใช้กระเป๋า MPC ที่อาศัย ECDSA แบบแบ่งเกณฑ์เพื่อรักษาความปลอดภัยให้สินทรัพย์มูลค่าหลายพันล้านดอลลาร์ แทนที่จะให้โมดูลความปลอดภัยฮาร์ดแวร์เพียงชุดเดียวถือกุญแจส่วนตัว กุญแจจะถูกแบ่งเก็บไว้บนเซิร์ฟเวอร์หลายเครื่องที่กระจายอยู่ตามพื้นที่ทางภูมิศาสตร์ การเจาะระบบเพียงจุดเดียวจึงไม่ทำให้เงินทุนเสียหายทั้งหมด

พิธีการกุญแจลงนามโซนรากของ DNSSEC (KSK) ใช้รูปแบบหนึ่งของการแบ่งปันความลับร่วมกับกลุ่ม HSM และองค์ประชุมของสมาชิกชุมชนที่ได้รับความไว้วางใจ พิธีการนี้ต้องใช้องค์ประชุมทางกายภาพ โดยเจ้าหน้าที่ด้านการเข้ารหัสทั่วโลกจำนวน 7 จาก 14 คน ต้องร่วมกันลงนามโซนราก ระบบอนุมัติคำสั่งนิวเคลียร์ใช้หลักการแบ่งกุญแจในลักษณะเดียวกัน โดยฝ่ายที่ได้รับอนุญาตหลายฝ่ายต้องร่วมมือกันเพื่ออนุมัติการดำเนินการที่มีความละเอียดอ่อน

แพลตฟอร์มบล็อกเชนรองรับหลายลายเซ็นบนเชน โดยธุรกรรมต้องใช้ลายเซ็นจากกุญแจสาธารณะที่กำหนดไว้จำนวน t จาก n กุญแจ และลายเซ็นทั้งหมดจะได้รับการตรวจสอบบนเชน วิธีนี้โปร่งใส เรียบง่าย และปลอดภัย แต่จะเปิดเผยโครงสร้างหลายลายเซ็นและต้องใช้การดำเนินการบนเชนหลายครั้ง ECDSA แบบแบ่งเกณฑ์สร้างลายเซ็นเดียวจากกุญแจสาธารณะเดียวที่ดูเหมือนเป็นกุญแจทั่วไป จึงซ่อนโครงสร้างแบบแบ่งเกณฑ์ไว้อย่างสมบูรณ์และใช้การดำเนินการบนเชนเพียงครั้งเดียว

ความปลอดภัยของลายเซ็นแบบแบ่งเกณฑ์จะวิเคราะห์โดยพิจารณาผู้โจมตีแบบคงที่หรือแบบปรับตัว ซึ่งสามารถทำให้ฝ่ายต่าง ๆ ตกอยู่ภายใต้การควบคุมได้มากที่สุด t-1 ฝ่าย ผู้โจมตีแบบคงที่จะเลือกฝ่ายที่จะโจมตีก่อนเริ่มโพรโทคอล ส่วนผู้โจมตีแบบปรับตัวจะเลือกโดยอาศัยข้อความที่สังเกตได้ การบรรลุความปลอดภัยต่อผู้โจมตีแบบปรับตัวยากกว่าและต้องใช้โพรโทคอลที่ซับซ้อนกว่า โพรโทคอล ECDSA แบบแบ่งเกณฑ์ที่นำไปใช้งานส่วนใหญ่พิสูจน์ความปลอดภัยต่อผู้โจมตีแบบคงที่

ลายเซ็นแบบแบ่งเกณฑ์ช่วยให้ฝ่ายแบบ t-of-n ลงนามได้โดยไม่ต้องประกอบกุญแจส่วนตัวกลับขึ้นมา การแบ่งปันความลับของ Shamir เพียงอย่างเดียวไม่เพียงพอ เพราะต้องประกอบกุญแจกลับขึ้นมา โครงร่างแบบแบ่งเกณฑ์ที่แท้จริงใช้การคำนวณหลายฝ่าย โดยไม่เคยประกอบกุญแจขึ้นมาเลย การใช้งานรวมถึงการดูแลสินทรัพย์สกุลเงินดิจิทัลระดับสถาบัน (Coinbase, Fireblocks) พิธีการกุญแจ DNSSEC และโครงสร้างพื้นฐานสำคัญ ECDSA แบบแบ่งเกณฑ์สร้างลายเซ็นมาตรฐานเพียงหนึ่งลายเซ็น ต่างจากหลายลายเซ็นบนเชนที่เปิดเผยโครงสร้างแบบแบ่งเกณฑ์