Eşik ECDSA: Çok Taraflı İmzalama

ECDSA imzaları, rastgele bir k değeri, R = k*G eğri noktasını ve burada x'in özel anahtar, r'nin ise R'nin x koordinatı olduğu s = k^{-1}(h + r*x) mod n imzasını hesaplamayı gerektirir. k'nın tersinin alınması ve özel anahtarla çarpma, ECDSA'yı, yanıtın basit bir doğrusal birleşim olduğu Schnorr imzalarının aksine, doğası gereği doğrusal olmayan bir yapıya dönüştürür. Bu doğrusal olmayan yapı, hesaplamanın taraflar arasında dağıtılmasını son derece zorlaştırır.

Gennaro ve Goldfeder'in (2018) GG18 protokolü, güvenilir bir dağıtıcı olmadan güvenlik sağlayan ilk pratik iki taraflı ve eşik ECDSA yapısıydı. Temel fikir, doğrusal olmayan ECDSA hesaplaması için gereken çarpımsaldan toplamsala (MtA) dönüşümü gerçekleştirmek üzere Paillier homomorfik şifrelemesini kullanmaktır. GG18, statik yarı dürüst saldırganlara karşı benzetim tabanlı güvenlik sağlar.

GG20 (Gennaro ve Goldfeder, 2020), güvenilir bir kurulum olmadan kötü niyetli saldırganlara karşı güvenliği kanıtlayarak GG18'i geliştirdi. GG20, her tarafın protokole doğru şekilde uyduğundan emin olmak için sıfır bilgi kanıtları ekledi. Bu kanıtlar, kötü niyetli bir tarafın diğer tarafların anahtar payları hakkında bilgi elde etmek amacıyla tek kullanımlık sayıyı veya imzayı kendi lehine yönlendirmesini önler. GG20, birçok üretim ortamındaki MPC cüzdan uygulamasının temeli hâline geldi.

CGGMP21 (Canetti, Gennaro, Goldfeder, Makriyannis, Peled, 2021), günümüzdeki en gelişmiş eşik ECDSA protokolüdür. Sorumlusu belirlenebilir sonlandırma özelliği sayesinde, imzalama protokolü kötü niyetli davranış nedeniyle başarısız olursa hangi tarafın sorumlu olduğu belirlenebilir. Bu özellik, hesap verebilirliğin önemli olduğu kurumsal kullanımlarda kritik öneme sahiptir. CGGMP21, tss-lib ve multi-party-sig dahil olmak üzere popüler MPC kütüphanelerinde uygulanmıştır.

Eşik ECDSA'daki temel zorluk, gizli payların değerlerini açığa çıkarmadan bu payların çarpımını hesaplamaktır. MtA (çarpımsaldan toplamsala) dönüşümü, iki tarafın paylarının a*b çarpımını toplamsal paylara dönüştürür: taraf 1 alpha'yı, taraf 2 beta'yı alır ve alpha + beta = a*b olur. Bu işlem Paillier şifrelemesi kullanılarak gerçekleştirilir: taraf 1 a'yı şifreler, taraf 2 b ile homomorfik çarpma yapıp rastgelelik ekler ve sonuç, toplamsal payları elde etmesi için taraf 1 tarafından çözülür.

Paillier şifrelemesi, hem toplamayı hem de açık metinle çarpmayı destekleyen kısmi homomorfik bir şifreleme şemasıdır. Enc(a) şifrelemesi verildiğinde, herkes şifreyi çözmeden bilinen b için Enc(a*b) hesaplayabilir. Bu özellik MtA protokolünü mümkün kılar: taraf 1 bir Paillier anahtar çifti oluşturur ve Enc(k1) ile Enc(x1)'i gönderir (bunlar tek kullanımlık sayı ile özel anahtarın paylarıdır). Taraf 2, k1 veya x1'i öğrenmeden kendi katkısını hesaplamak için homomorfik işlemleri kullanır.

Eşik ECDSA imzalama işlemi genellikle birkaç iletişim turu içerir. GG20'de, tek kullanımlık sayı ve rastgele maskeleme değerlerine ilişkin taahhütleri hesaplayan bir ön işleme aşaması (2 tur) ile kısmi imzaları birleştiren bir çevrim içi imzalama aşaması (1 tur) bulunur. Ön işleme, mesaj bilinmeden önce gerçekleştirilebilir ve çevrim içi gecikmeyi tek tura indirir. CGGMP21 bu süreci daha da iyileştirir.

Sorumlusu belirlenebilir sonlandırma, eşik imzalama protokolü başarısız olursa (bir taraf biçimi bozuk bir mesaj göndermiş veya protokole uymamışsa) dürüst tarafların hangi tarafın kötü davrandığını kriptografik olarak belirleyebilmesi anlamına gelir. Bunun için her adımda doğru hesaplama yapıldığını gösteren sıfır bilgi kanıtları gerekir. Sorumlusu belirlenebilir sonlandırma olmadan kötü niyetli bir taraf, kimliği belirlenmeden protokolü tamamlamayı reddederek hizmet engellemeye neden olabilir.

EdDSA (Ed25519 üzerinde Schnorr tabanlı imzalar), ECDSA'ya göre eşik imzalamaya çok daha kolay uyarlanır; çünkü Schnorr imzaları doğrusaldır: yanıt z = r + c*x, toplamsal payların toplamıdır. Komlo ve Goldberg'in (2020) FROST (Esnek, Tur Sayısı Optimize Edilmiş Schnorr Eşiği) protokolü, güvenilir bir kurulum olmadan iki turlu eşik Schnorr imzalama sağlar. FROST, gizliliği koruyan protokollerde ve kripto para cüzdanlarında kullanılmak üzere IETF tarafından (RFC taslağı olarak) standartlaştırılmaktadır.

Eşik ECDSA, MtA protokolü ve sıfır bilgi kanıtları nedeniyle tek taraflı ECDSA'ya göre hesaplama açısından daha maliyetlidir. GG20'de iki taraflı imzalama modern donanımda yaklaşık 1-2 saniye sürer; n değerinin daha büyük olduğu eşik imzalama ise daha fazla taraf çifti arasındaki MtA işlemi nedeniyle daha uzun sürer. CGGMP21'in iyileştirmeleri bu süreyi yüzlerce milisaniyeye indirir. İmzalama gecikmesinin önemli olduğu kripto para işlemleri için bu performans kabul edilebilir olmakla birlikte kayda değer bir maliyet oluşturur.

Eşik ECDSA, kurumsal finans alanında geniş ölçekte kullanılmaktadır. Fireblocks, 4 trilyon doların üzerindeki işlem hacmini güvence altına alan GG20 tabanlı eşik ECDSA kullanır. Coinbase Prime, eşik imzalara dayalı MPC saklama hizmetinden yararlanır. Qredo ve Copper.co, kurumsal varlık yönetimi için eşik ECDSA sunar. tss-lib Go kütüphanesi (Binance tarafından kullanılır) ve multi-party-sig (Coinbase tarafından kullanılır), önde gelen açık kaynaklı uygulamalardır.

Paillier homomorfik şifrelemesi, eşik ECDSA'da hangi rolü oynar?

Eşik ECDSA, t tarafın hiçbir taraf tam anahtarı bilmeden imza atmasını sağlar. ECDSA'nın doğrusal olmayan yapısı, Paillier homomorfik şifrelemesi kullanılarak MtA dönüşümünü gerektirir. GG18 bu yaklaşımın öncülüğünü yaptı, GG20 kötü niyetli saldırganlara karşı güvenlik ekledi ve CGGMP21 sorumlusu belirlenebilir sonlandırma özelliğini ekledi. EdDSA/Schnorr, FROST sayesinde (2 tur, güvenilir kurulum yok) eşik imzalamaya daha uygundur. Fireblocks ve Coinbase'deki üretim kullanımları trilyonlarca dolarlık varlığı güvence altına alır.