Blok Zincirlerinde ve HSM'lerde Eşik Şemaları

Bitcoin ve Ethereum, zincir üstü çoklu imza betiklerini destekler (Solidity'de P2MS/P2SH/çoklu imza). Bunlar, blok zinciri tarafından doğrulanan bir işlemi birlikte imzalamak için t-of-n açık anahtar gerektirir. Yapı herkese açık ve şeffaftır: herkes adresin birden çok imzalayan taraf gerektirdiğini görebilir. Eşik ECDSA ise standart tek anahtarlı bir adres ve standart tek bir imza üretir; böylece eşik yapısı zincir üzerinde tamamen görünmez olur.

Eşik ECDSA'nın zincir üstü çoklu imzaya göre avantajları şunlardır: tek bir işlem imzası (daha düşük işlem ücretleri), zincir üzerinde görünür bir çoklu imza politikası olmaması (gizlilik), ECDSA kullanan tüm blok zincirleriyle uyumluluk (yerel çoklu imza desteği olmayan zincirler dâhil) ve blok zinciri adresini değiştirmeden anahtar döndürme (anahtar yenilemesinden sonra açık anahtar aynı kaldığı için). Bu avantajlar, eşik ECDSA'yı kurumsal varlık saklama için tercih edilen yaklaşım hâline getirir.

Fireblocks, en büyük kurumsal MPC saklama sağlayıcısıdır. Mimarisi 2-of-3 eşik ECDSA kullanır: iki pay Fireblocks altyapısında bulunur (biri SGX'te, diğeri soğuk depolamada), bir pay da müşteride bulunur. Bir işlem, üç paydan en az ikisinin iş birliğini gerektirir. Fireblocks dâhil hiçbir tek taraf, fonları tek başına taşıyamaz. Bu sistem üzerinden 4 trilyon doların üzerinde işlem gerçekleştirilmiştir.

Qredo Network, kurumsal varlık saklama ve alım satım için Katman 2 ağıyla birlikte eşik ECDSA kullanır. Coinbase Prime, kurumsal müşterilerin varlıklarını güvenceye almak üzere tss-lib kullanarak eşik ECDSA üzerine kurulmuş MPC tabanlı saklama hizmeti sunar. Her iki sistem de anahtar paylarını coğrafi olarak birbirinden ayrılmış veri merkezlerine dağıtır ve bireysel payları HSM'lerle korur. Copper.co da SGX korumalı anahtar paylarıyla MPC saklama hizmeti sunar.

Anchorage Digital, saklama için MPC tabanlı eşik imzaları kullanan, federal yetkiye sahip bir dijital varlık bankasıdır. Anahtar yönetimi mimarisi, payları birden çok veri merkezine dağıtır ve imza törenlerini yetkilendirmek için biyometrik kimlik doğrulama kullanır. Sistem, geleneksel tek HSM'li saklama modelini ortadan kaldırırken anahtar yönetimine ilişkin federal bankacılık düzenlemelerini karşılayacak şekilde tasarlanmıştır.

DNSSEC kök bölgesi Anahtar İmzalama Anahtarı (KSK) töreni, kritik altyapı için eşik anahtarı yönetiminin en kamuya açık örneğidir. Üç ayda bir düzenlenen tören, dünyanın dört bir yanındaki 14 Kripto Yetkilisinin 7'sinin iki güvenli tesisten birinde fiziksel olarak hazır bulunmasını gerektirir. Her yetkili, bir anahtar payı içeren akıllı kart taşır. Birden çok donanım güvenlik modülü, KSK'nin kök bölgeyi imzalamasına izin vermeden önce yeter sayıyı doğrular.

Donanım Güvenlik Modülleri (HSM'ler), M-of-N anahtar bölme yöntemini (Shamir'in Gizli Paylaşımına dayalı) kullanarak özel anahtarları bölebilir. AWS CloudHSM kümeleri, bir kümedeki birden çok HSM arasında anahtar materyalini eşzamanlar. Thales Luna HSM'leri, birden çok operatörün anahtar bileşenleri sağladığı ve bunların yalnızca kurcalamaya dayanıklı donanım içinde birleştirildiği “bölünmüş bilgi” anahtar törenlerini destekler. Bu, tek bir yöneticinin anahtar materyalini dışarı çıkarmasını önler.

AWS CloudHSM, otomatik olarak eşzamanlanan bir HSM kümesi sağlar. Bir HSM'de anahtar oluşturulduğunda, anahtar tüm küme üyelerine çoğaltılır. Küme, uygulamalara tek bir mantıksal HSM sunarken donanım yedekliliği sağlar. Düzenleyici uyumluluk açısından (PCI-DSS, HIPAA), yazılımsal anahtar depolama yerine HSM kümesi kullanmak, denetçilerin talep ettiği kurcalandığını belli eden ve kurcalamaya dayanıklı korumaları sağlar.

Unbound Key Control (UKC, artık Dynatrace'in parçası), eşik ECDSA kullanarak sanal HSM uygular. Fiziksel bir HSM yerine anahtar materyali, eşik kriptografisi kullanılarak birden çok sunucuya bölünür. İşlemler, anahtar yeniden oluşturulmadan gerçekleştirilir. Bu “yazılım HSM'i” yaklaşımı, donanım maliyeti ve karmaşıklığı olmadan HSM düzeyinde güvenlik sağlar; aynı zamanda bulut tabanlı dağıtımı ve esnek ölçeklendirmeyi mümkün kılar.

Anahtar yönetiminin ötesinde, yeter sayıya dayalı sistemler hassas işlemleri gerçekleştirmeden önce t-of-n yetkili tarafın onayını gerektirir. AWS Systems Manager Change Manager, Shamir Unseal özellikli HashiCorp Vault ve CyberArk Privileged Access, yeter sayı politikalarını uygular. Bu sistemler, hiçbir tek yöneticinin yıkıcı işlemleri tek başına gerçekleştirememesini sağlayarak iç tehditlere ve ele geçirilmiş kimlik bilgilerine karşı koruma sunar.

Thales Luna Network HSM'leri, yüksek güvenlik gerektiren ortamlar için Eşik Anahtar Yönetimini destekler. Luna HSM'leri, anahtar oluşturma törenleri için m-of-n anahtar sorumlusu şemalarını uygulayabilir. Anahtar materyali HSM'den hiçbir zaman düz metin olarak çıkmaz; bunun yerine sarılmış paylar sorumlulara dağıtılır ve yalnızca bir HSM içinde yeniden birleştirilebilir. Bu yöntem, PKI altyapısındaki sertifika yetkilisi anahtar törenlerinde yaygın olarak kullanılır.

Eşik ECDSA, standart tek anahtarlı adresler ve imzalar üreterek zincir üstü çoklu imzadan daha iyi sonuç verir. Fireblocks, Qredo ve Coinbase bunu kurumsal varlıkları güvenceye almak için kullanır. DNSSEC kök KSK törenlerinde donanım tarafından uygulanan yeter sayı kullanılır. AWS CloudHSM kümeleri, anahtar materyalini donanımlar arasında eşzamanlar. Unbound Key Control, eşik kriptografisi kullanarak HSM'leri sanallaştırır. Yeter sayıya dayalı erişim denetimi, eşik ilkelerini yönetimsel işlemlere de taşır.