门限签名与现实应用场景

经典秘密共享会在单个位置重构秘密——这存在风险。阈值签名分散签名过程：k-of-n 个参与者共同生成签名，而任何单个参与者始终都不会持有完整的私钥。不需要重构，也不存在单点故障。

阈值 ECDSA（t-ECDSA）允许 k 个参与者共同为一条消息计算 ECDSA 签名。每个参与者持有私钥的一个份额。该协议使用 MPC 计算签名，同时不会泄露各个份额或合并后的密钥。

BLS（Boneh-Lynn-Shacham）签名基于适合配对的曲线，支持优雅的阈值方案。部分签名具有线性特征——每个参与者使用自己的份额进行签名，然后使用拉格朗日系数聚合 k 个部分签名，生成一个 BLS 签名。

DKG 消除了对受信任分发者的依赖：每个参与者生成自己的份额多项式，广播承诺，并交换份额。联合公钥可以在任何参与者都不知道私钥的情况下计算出来。这种方法用于 Ethereum 验证者和分布式 HSM。

Coinbase、Gemini 和 BitGo 等交易平台使用 2-of-3 或 3-of-5 阈值 ECDSA 或 Shamir SSS 来保护热钱包密钥。冷钱包密钥使用基于硬件的密钥仪式，并将离线 Shamir 份额分发到地理位置分离的多个金库中。

Thales Luna 和 AWS CloudHSM 支持 M-of-N 法定人数认证：对于敏感操作（密钥封装、签名），必须同时有 N 个管理员智能卡中的 M 张在场，主密钥才能使用。智能卡分布在不同地理位置。

Ethereum 2.0 质押池使用阈值 BLS 签名：多个节点共同对证明进行签名，而不会暴露验证者私钥。如果 k-1 个节点离线，签名会安全地停止。如果有 k 个节点可用，签名则会继续。

CA 私钥使用基于仪式的 Shamir 共享：7 名密钥持有者中的 5 名各自携带一张实体智能卡，必须在安全房间内集合，才能签署证书吊销列表或颁发新的中间 CA 证书。

FROST（灵活的轮次优化 Schnorr 阈值签名）生成与 Bitcoin Taproot 和 MuSig2 兼容的阈值 Schnorr 签名。它只需要 2 轮通信，是当前 Bitcoin 阈值签名领域最先进的方案。

阈值方案必须处理恶意参与者（他们会发送无效份额或签名）。鲁棒协议使用承诺和零知识证明来检测并排除作弊者，同时仍能使用剩余的诚实参与者完成重构或签名。

功能比较：Shamir SSS（共享秘密，简单）与阈值 ECDSA（从不重构，复杂，基于 MPC）与阈值 BLS（原生聚合，仅适用于配对曲线）与多重签名（区块链层面，不需要 MPC）。

对于用于签名密钥的 Shamir 秘密共享，阈值签名的关键优势是什么？

阈值签名使用 MPC 协议分散签名过程，无需重构秘密。它们应用于加密货币托管、验证者网络和企业 CA 仪式。下一节：密码学随机性与熵。