门限签名方案：基本概念

传统数字签名使用由单个参与方持有的私钥。如果该密钥遭到泄露、窃取或丢失，使用它生成的所有签名都可能被伪造，而且密钥无法恢复。高价值的签名操作——操作系统的代码签名、证书颁发机构的密钥仪式、加密货币钱包控制——需要比任何单个参与方所能提供的更强保护。

Shamir 的秘密共享（SSS）由 Shamir 于 1979 年提出，它将秘密 s 分成 n 个份额，使得任意 t 个份额都可以重构 s，而少于 t 个份额则无法泄露任何信息。该方案使用有限域上的多项式插值：s 是一个随机的 (t-1) 次多项式的常数项，而各个份额是该多项式在不同点上的取值。SSS 在信息论意义上是安全的。

一种简单但错误的门限签名做法是使用 SSS 分割私钥，让 t 个参与方重构私钥后再进行签名。这违背了门限签名的目的：重构私钥意味着它会出现在某一个位置，并因此容易受到攻击。真正的门限签名允许 t 个参与方协作生成签名，同时任何参与方都无法获知或组装完整的私钥。私钥永远不会被重构。

一个 (t, n) 门限签名方案包含 n 个参与方，每个参与方持有私钥的一个份额。任意 t 个参与方都可以通过交互式协议协作生成签名。生成的签名与普通签名完全相同（可以使用群组公钥进行验证）。即使攻击者获得了最多 t-1 个份额，也无法了解私钥的任何信息。

交互式门限签名要求签名参与方之间进行多轮通信。参与方会交换承诺、证明和部分签名，然后将这些内容组合起来。非交互式变体允许参与方预先计算某些值，从而将在线签名轮次减少为一条消息。对于硬件钱包等延迟至关重要的应用，减少轮次十分重要。

标准 SSS 没有提供让份额持有者验证其份额是否正确的方法——恶意分发者可能会分发不一致的份额。可验证秘密共享（VSS）为多项式系数添加承诺，使每个份额持有者都能验证自己的份额是否与公开承诺一致，同时无需了解其他份额。Feldman VSS 和 Pedersen VSS 是标准构造。

门限签名需要使用分布式密钥生成（DKG）协议来建立共享密钥，同时确保任何单个参与方都不知道完整的私钥。如果没有 DKG，可信分发者就必须生成密钥并对其进行分割，从而产生一个知道该密钥的可信参与方。DKG 消除了对这一可信分发者的要求，这对于区块链托管等无需信任的应用至关重要。

机构级加密货币托管是当前门限签名最有价值的应用场景。Coinbase、Fireblocks 和 Anchorage 使用基于门限 ECDSA 的多方计算（MPC）钱包来保护数十亿美元的资产。密钥不再由单个硬件安全模块（HSM）持有，而是分割到多个地理位置分散的服务器上。任何单次入侵都不会危及全部资金。

DNSSEC 根区域密钥签名密钥（KSK）仪式使用一种秘密共享变体，配合 HSM 集群和由受信任社区成员组成的法定人数。该仪式要求实体法定人数（全球 14 名密码官中的 7 名）共同签署根区域。核指挥授权系统也使用类似的分割密钥原则，多个获授权参与方必须协作，才能批准敏感操作。

区块链平台支持链上多重签名：一笔交易需要由指定的 n 个公钥中的 t 个对应私钥生成签名，并在链上完成全部验证。这种方式透明、简单且安全，但会暴露多重签名结构，并且需要执行多次链上操作。门限 ECDSA 会使用一个表面上单一的公钥生成一个签名，从而完全隐藏门限结构，并且只需执行一次链上操作。

门限签名的安全性会针对静态或自适应攻击者进行分析，这类攻击者最多可以攻陷 t-1 个参与方。静态攻击者会在协议开始前选择要攻陷的参与方；自适应攻击者则会根据观察到的消息进行选择。实现自适应安全性更加困难，需要更复杂的协议。大多数已部署的门限 ECDSA 协议都证明了其针对静态攻击者的安全性。

门限签名允许 t-of-n 个参与方在不重构私钥的情况下进行签名。仅使用 Shamir 的秘密共享是不够的，因为它要求重构密钥。真正的门限方案使用多方计算，密钥永远不会被组装起来。应用场景包括机构级加密货币托管（Coinbase、Fireblocks）、DNSSEC 密钥仪式以及关键基础设施。门限 ECDSA 会生成标准的单一签名，而链上多重签名会暴露门限结构。