一文讀懂基於安全多方計算(MPC)的密鑰管理,以及與多重簽名方式的本質區別。

受訪者:謝翔,PlatON 算法科學家
採訪 / 撰文:李畫

密鑰管理是一個正在變得越來越重要的概念,已經成爲區塊鏈領域重要的基礎設施。當數字貨幣或 Token 更多的被交易和使用,而不僅僅被一勞永逸地存儲時,通過私鑰或錢包密碼使用資產的方式既不安全,也不友好,更難以滿足諸多應用場景的需求。

基於 MPC (安全多方計算)的門限簽名方式與多重簽名方式是兩種不同的密鑰管理方法,在這篇文章中,我們採訪了 PlatON 算法科學家 謝翔 博士,他將爲我們介紹基於 MPC 的 密鑰管理 ,以及這種方式與多重簽名方式的本質區別。

謝翔是數學與密碼學專業出身,現爲 PlatON 算法科學家及 KeyShard 產品負責人,專注於密碼算法的研究、實現和產品化。KeyShard 提供的是基於 MPC 的密鑰管理服務,爲 數字貨幣密鑰管理和恢復的痛點提供解決方案。

什麼是基於 MPC 的密鑰管理

問: 爲什麼我們需要密鑰管理?

謝翔 :個人可以在區塊鏈或比特幣網絡上自由地註冊賬戶、轉賬,不需要任何第三方,這個功能是通過一套數字簽名機制來完成的。在數字貨幣裏,最核心的就是如何去管理這個簽名,因爲所有的東西都會依賴於這個簽名的有效性。

對於用戶而言,管理 簽名 其實就是去管理 密鑰 。因此我們說密鑰就是錢,密鑰管理很重要。

在傳統的行業裏,你可以通過銀行也好,通過一系列的流程設計也好來管理錢,比如說可以多個人來管,投資經理同意了、投資總監同意了、財務同意了、CEO 同意了,這筆錢才能轉出去。但是一旦挪到數字貨幣這個行業,傳統那套是做不了的,爲什麼?因爲誰有私鑰誰就能轉錢,傳統那一套審批流程是形同虛設的,沒有任何意義。

所以我們做密鑰管理這件事情最初的一個想法,就是說能不能把傳統的對於錢的授權管理機制挪到數字貨幣的世界裏面來。這個肯定是需要的,因爲現在很多人已經開始用 Token 在投資了,比如說基金,比如說家族的 VC,他們是需要有一種內部管理的機制的,但是傳統的那套審批機制在技術上過不來。

問: 多籤可以解決這個問題嗎?

謝翔 :多籤是基於 腳本智能合約 的。它是設計一個規則,比如說三個人同時簽了或者兩個人同時簽了,將這些簽名傳遞給一份智能合約,合約就開始運行,把錢轉出去。多籤能解決一部分問題,它其實已經用到很多企業裏了,但是隨着時間的進展會碰到越來越多的問題,問題在哪裏呢?

多籤針對不同的主鏈需要實現不同的智能合約,現在的鏈至少有一千多個了,每個鏈的智能合約體系不一樣,每個人去寫合約寫得還不一樣。拿 VC 來說,VC 可能會投很多鏈,這些 Token 怎麼管?你要他們去寫十幾個合約,而且都還要經過安全認證?這是一個大的人力成本。

此外,區塊鏈上合約的任何細節都會被看見,這是有一層安全性問題在那裏的。任何人都可以來看這個合約有沒有漏洞,而且很多新的鏈不像比特幣或以太坊那樣經過了時間的驗證,它的合約體系本身有沒有問題是不知道的。你會發現一些新的 Token 出問題, 90% 都是合約出問題,這是一個大的風險。

所以在多鏈的情況下,多籤還能方便地支持密鑰管理嗎?目前看其實是很難的。用多籤通過合約的方式來管理密鑰,使用成本高,安全風險高。

問: 如果這些不同的鏈都是基於相同的數字簽名算法,比如 Schnorr,那麼不同鏈的密鑰管理方法是不是就可以通用?

謝翔 :不,邏輯不是這樣的,我給你畫一下。多籤是這樣的,最下邊是區塊鏈,中間是數字簽名,它有個簽名算法,可以是 ECDSA ,可以是 Schnorr 等等, 最上邊是智能合約。

安全多方計算 MPC 正熱,如何通過 MPC 管理密鑰?

多籤是怎麼做的呢?就是在最上邊的智能合約部分來數合法簽名的個數,一個、兩個、三個……夠了,就把錢轉出去。這種方式不在乎下邊用的是什麼簽名算法, Schnorr 也好、 BLS 也好,對它來說沒有半點區別。

這是多籤的一個基本原理,也可以說是好處,它能夠和底層的簽名算法做到一定程度的解耦。但它的問題是要適配不同鏈系統,一千條鏈就需要一千個智能合約,多鏈的兼容性很弱。

問: 那基於 MPC 的門限簽名是怎樣的?

謝翔 :我把這張圖重新畫一下。最下邊還是這條鏈,中間還是數字簽名,上邊是智能合約。基於 MPC 的門限簽名不會去管下邊的鏈,也不會去管上邊的合約,兩頭它都不會管,它只管右邊這部分,也就是 鏈下 創建簽名的部分。

安全多方計算 MPC 正熱,如何通過 MPC 管理密鑰?

它的思路是說一個簽名一定是有一個私鑰的,它把這個私鑰以某種方式分成很多「 碎片 」,這些碎片可以被很多人同時拿着,然後通過一套 MPC 協議,保證這些碎片不需要被拼起來就可以直接產生一個合法的簽名。「不需要被拼起來」代表着真正的私鑰始終沒有、而且也不需要出現。

問: 簽名是在鏈下完成的?

謝翔 :需要簽名的時候,比如說我們公司三個人會在鏈下跑一個協議,生成一個簽名,再把簽名放到鏈上。生成簽名的邏輯是放在 MPC 裏實現的,出來的是一個標準的簽名,但怎麼跑這個協議別人是不知道的。

把這個簽名結果放到鏈上去,別人分不清它後面是一個人籤的還是多個人籤的,因爲它的形態、樣子就是一個簽名,和直接用私鑰簽出來是一模一樣的。這一套簽名機制可以完全獨立於鏈,部署在企業的內部。

發現了沒有,多重簽名主要是去數合法簽名的個數,它不依賴於簽名算法,但要去適配鏈系統;基於 MPC門限簽名 主要是去產生一個簽名,它依賴於 簽名算法 ,但不需要去適配合約和鏈系統。

基於 MPC 的門限簽名與合約模塊是完全解耦的,合約是怎麼寫的、鏈是怎麼樣的,它完全不在乎。它只要區別簽名算法,只要簽名算法是鏈系統支持的,它就能很好地銜接。算法的話現在可能就是 ECDSA、Schnorr、BLS (以太坊 2.0 可能使用 BLS),所以兼容算法就能兼容很多鏈。基於 MPC 的密鑰管理能做到對 多鏈友好 ,這是一個大的優勢。

另外一個優勢就是這套簽名機制的策略是鏈下的,因此更加安全,它避免了合約被黑客攻擊的風險,而且設計策略可以更加靈活,因爲除了驗籤外的大部分流程都搬到鏈下了,使用方可以根據場景,制定自己的碎片管理策略。

問: MPC 在這個過程中的作用是什麼?

謝翔 :MPC 是一種基於密碼學的協同計算框架,廣義地理解就是多方各自有私密的輸入,一起來完成一個計算任務,在成功完成任務的同時,可以保證整個過程中各自的私密輸入不會泄露。

比如一個「 2-3 模式 」的基於 MPC 的密鑰管理協議,意味着一共有 3 個碎片,只要任意的 2 個碎片參與執行協議,就可以產生一個合法簽名。這裏的簽名產生過程,包括碎片產生過程,都可以看成一種安全多方計算,因爲在協議執行過程中,產生和交換的所有中間數據都不會直接或者間接地造成碎片明文的泄露。

問: 基於 MPC 的門限簽名爲什麼要跟簽名算法相關?

謝翔 :我有多塊碎片,怎麼去實現這一個簽名出來?這和算法結構是強相關的,所以會存在某個算法容易做 MPC,某個算法不容易做 MPC 的問題。比特幣要升級到 Schnorr, Schnorr 是非常兼容 MPC 的, ECDSA 不那麼兼容 MPC 。

問: 在基於 MPC 的密鑰管理中,真正的那個私鑰存儲在哪兒?

謝翔 :你會發現有個很好玩的事情,就是在整個密鑰管理的生命週期裏,真正的私鑰從來沒有出現過,也就沒有私鑰存儲在哪裏這個問題了。這是基於 MPC 的密鑰管理的精髓所在,它能夠保證密鑰能用但不存在。

在傳統的密鑰管理中,密鑰是一種確實存在的數據資產,保管它是一件非常難的事情。基於 MPC 的門限簽名在物理層面直接從系統裏剝離了密鑰,這與傳統系統在安全理念上是截然不同的。

在傳統方式下,黑客盯住一個點就行,因爲私鑰就存在那個點上;但基於 MPC 的密鑰管理將密鑰的安全性 分散多個託管節點 裏,私鑰在任何時刻都會被分成多份在多個地方,黑客可能要攻破第一個、第二個、第三個、第四個,要把四個碎片全部搞定才能拿到密鑰,而且必須在某一時間範圍內同時拿到四個碎片才能得到密鑰,因爲密鑰碎片是在不斷刷新的。

比如密鑰是 10,把它拆成兩個碎片,分在兩個地方。你可以把 10 拆成 5+5,但過一分鐘後把它拆成 1+9,再過一分鐘後把它拆成 2+8。黑客要在一分鐘之內把兩個點都攻破才能拿到 10,如果第一分鐘攻破第一個地方、第二分鐘攻破第二個地方,黑客拿到的是 5 和 9,不是正確的密鑰。

問: 多籤是無法做這種刷新的?

謝翔 :沒有辦法。對於多籤,比如參與多籤的是三個人,其中一個人的私鑰被偷了,那對應的方法不是說刷新密鑰,而是要趕緊換地址,把錢轉到新的地址裏,這在很多應用場景裏是個痛點;或者比如說現在是三個人蔘與多籤,需要加第四個人,這個時候也要換地址,然後需要一個新的多籤的合約,這是很費勁的,而且轉錢到新地址還需要手續費。

但這些對於 MPC 來說就很容易,它可以保證對外的地址一直不變,內部刷新就好。這個好處也是我們看重的點。

基於 MPC 的密鑰管理的應用

問: 基於 MPC 的密鑰管理可以降低私鑰的使用門檻嗎? 這或許是最讓普通用戶頭疼的地方。

謝翔 :它可以做到與傳統的中心化的方式沒有區別,做到用戶體驗一樣:使用數字貨幣時的操作和你使用微信錢包時的操作是一樣的,你不需要去記助記詞、或者把助記詞存硬件、用本子抄寫下來等等。

用 MPC 一個好玩的事情是什麼呢?比方說 A 和 B 用 MPC 共同管理一個賬戶,那麼他們倆就可以同時來控制這個賬戶,但同時都不需要記助記詞。如果 A 想用的時候,要發一個請求給 B,B 同意後,A 和 B 通過一套既定的規則,在本地利用各自的碎片計算出一些中間變量,通過信息交換,A 就可以在本地生成一個合法的完整簽名,驗籤通過後,A 就可以把賬戶裏的錢轉出去。

當然這裏還有一個問題,如何爲 A 和 B 生成碎片。事實上,利用 MPC 技術可以實現 A 和 B 各自在本地生成一個碎片,這兩個碎片可以隱式地拼接成一個私鑰,注意,這種拼接只是一種蘊含的數學關係,碎片實際上從未在任何時刻被拼接過。

這個時候,B 那個角色也可以是一個第三方的服務器。服務器確認一下 KYC,覈實是不是你發起的,是你發起的之後它就自動通過,也就是自動給出另一個碎片來一起生成簽名。KYC 就是通過發短信、人臉識別、發郵件等等方式,這樣一來,用戶的操作方式就和傳統的操作方式一模一樣。這就和實際的應用場景很掛鉤了。

我們做了一個叫 KeyShard 的 App,是爲了告訴用戶基於 MPC 的密鑰管理可以怎麼用,可以試着體驗一下,現在只支持以太坊。它就是模擬的傳統的權限管理,要兩個人同意才能動賬戶。

問: 回到最開始。 你說把傳統的對於錢的授權管理機制挪到數字貨幣領域。 在傳統審批流程裏,可能需要 A 先通過,然後 B 簽字,然後 C 簽字,這是 MPC 現在就可以做到的嗎?

謝翔 :這其實是一個很關鍵的問題。在傳統的流程裏這叫做 傳籤 ,傳簽在 MPC 裏會有一些障礙,我畫一下 MPC 大概的邏輯。

安全多方計算 MPC 正熱,如何通過 MPC 管理密鑰?

MPC 這個算法協議是要彼此相連和交互的,比如說經理、財務、CEO 三個人蔘與生成簽名,它是要求這三個人必須同時在線的,所以 MPC 純算法本身很難做到傳籤。

但我們可以利用工程架構在產品層面實現傳籤功能,讓上層的用戶不用去管也不用去想底層是怎麼運行的,對於用戶而言,產品的操作體驗和傳統傳籤是一樣的。所以算法和產品之間是有很大差異的,這裏有兩套東西,除了算法本身,還需要把技術和業務邏輯結合起來。

問: 可以這麼理解嗎,基於 MPC 的密鑰管理不僅是爲了安全地存儲密鑰,它更是爲了個人或企業能夠方便地、滿足業務邏輯地使用密鑰?

謝翔 :它有多個優勢,安全存儲是一方面;而讓個人或者企業更安全便捷地使用密鑰是另一方面。前者是指基於 MPC 的密鑰管理對密鑰或者資產的「託管能力」,體現了靜態的安全性;後者是指基於 MPC 的密鑰管理可以主動設計出多樣化的策略管理,是一種動態的業務賦能。

問: 如果有一個需要管理多種 Token 的投資機構,它是不是可以買一套基於 MPC 的密鑰管理算法,然後用這套算法實現對不同鏈的簽名,進而實現對不同鏈上資產的管理?

謝翔 :它不太可能直接買算法,它會買產品,比如買一套基於 MPC 的密鑰管理軟件裝在公司內部的服務器上,然後就可以通過一個界面去管理資產。你可以理解爲它買了一套基於 MPC 的 財務管理 系統。

密鑰管理的最底層是一套算法,但可以把它包成產品,也可以包成 App 、包成 SDK (軟件開發工具包)。

問: 如果有一個錢包公司,希望錢包添加一個讓用戶能基於 MPC 管理私鑰的功能,是不是可以找專業的提供 MPC 解決方案的公司合作?

謝翔 :對。你可以理解爲這個市場有投資機構、有錢包、有交易所,還有其它的一些業務公司,它們各自有自己的業務,但它們一定都會有怎麼管錢這個問題,我們就是提供一套基於 MPC 的密鑰管理能力,也就是基於 MPC 的管錢的能力,來跟它們自己現在的這套系統對接。

從公司的定位來說,PlatOn 是技術提供商或基礎設施提供商,KeyShard 是其中爲數字貨幣提供密鑰管理的基礎設施,它把自己往下沉得多一點,不碰上面的業務。它主導的是底層的密鑰管理的 SDK,希望把授權管理的業務流程揉到 SDK 裏面去,當然難點在於要抽象出一套相對來說足夠靈活、好用的 SDK。

基於 MPC 的密鑰管理面臨的挑戰

問:基於 MPC 的密鑰管理現在碰到的難點是什麼?

謝翔 :技術的、非技術的都有。非技術的是有人會問爲什麼它是安全的?給我個證書。傳統 KMS (Key Management Service)是有證書的,但因爲 MPC 技術較新,在密鑰管理上使用的時間不長,目前還沒有足夠權威和廣泛的認證。

這是這個學科的特殊性引發的問題。密碼學雖然有堅實的理論基礎,但是它分理論安全和實際安全,實際安全是不是能達到理論安全這個層面是需要時間檢驗的。所以一是需要標準機構,二是需要學術研究的推動。我們會積極地去推進類似標準、去推進工業界對這個技術的認可,但需要時間,沒那麼快。

技術上的難點就是剛纔說的,需要把這一套新的技術和複雜的業務邏輯結合起來。此外,MPC 是一套分佈式的技術,分佈式的話就會有同步,也就是 共識 的問題。

原來的授權管理是一個純中心化的東西,業務流程會很好配;但分佈式的場景下會有一定的難度,比如使用者在不在線的問題,網絡好不好的問題,如果在密鑰刷新的時候有延時,是用後面那個碎片還是用前面那個碎片的問題。這種細節會有很多,都要去考慮。

問: 基於 MPC 的密鑰管理沒有可追究性這種說法是準確的嗎? 就是說不知道誰簽了誰沒有籤,無法追查責任?

謝翔 :其實是可以知道的,從 算法層面 就可以抓到是誰籤的。算法底層可以通過引入檢查和舉報機制,追查到誰沒有籤,甚至知道是誰在簽名過程中給了不遵循規則的錯誤信息。

重新認識「私鑰」:私鑰不是鑰匙

「私鑰」這個詞帶來的直覺反應是,它是一種「鑰匙」,作用是打開保管着數字貨幣的保險櫃,想一想也似乎有道理,使用私鑰就能拿到幣。但實際上,在區塊鏈和數字貨幣領域, 私鑰 就意味着 資產本身

試想,你的保險櫃鑰匙丟了,你的錢是依然還在的,你可以再配一把鑰匙;但如果私鑰被忘了,錢可就永遠消失了。你的保險櫃鑰匙被偷了,你的錢可能依然安全,因爲小偷還需要溜進大樓、撬開房間的門鎖;但如果私鑰被偷了,錢幾乎立馬就不再屬於你。

私鑰不是那把打開保險櫃的鑰匙,它是要被放進保險櫃的資產本身。而如何設計一個保險櫃系統存放私鑰,使得櫃中的私鑰既安全、又易用,就是密鑰管理。屆時,交到用戶手中的就不是私鑰,而是一套打開保險櫃的鑰匙。

多重簽名和基於 MPC 的門限簽名都是實現資產管理的方法,但它們是截然不同的設計路線:前者在鏈上,依靠智能合約數合法簽名的個數;後者在鏈下,依靠 MPC 用碎片生成合法簽名。本文重點介紹的是後者,也就是基於 MPC 的密鑰管理,希望能對你瞭解這種技術和方案有一些幫助。

來源鏈接:mp.weixin.qq.com