Portafogli MPC contro multisig
Sia i portafogli MPC sia quelli multisig promettono lo stesso titolo: nessun singolo punto di compromissione. Entrambi mantengono la promessa. Ma ci arrivano per strade diverse, e quelle strade hanno conseguenze diverse su che cosa accade quando le cose vanno storte — l'unico momento in cui un modello di sicurezza conta davvero.
Questo articolo è il confronto tecnico diretto. Se prima vuoi il panorama più ampio delle scelte di autocustodia, confronto tra le opzioni di autocustodia copre l'intero campo, portafogli hardware e semplici frasi seme compresi.
Due risposte diverse allo stesso problema
Il problema si enuncia allo stesso modo in entrambi i casi: un solo segreto che controlla tutto è inaccettabile, quindi bisogna distribuire l'autorità.
L'MPC spezza la chiave. Concettualmente esiste una chiave privata, ma non viene mai ricomposta da nessuna parte. Piuttosto, sue quote risiedono in luoghi diversi, e un protocollo crittografico consente a quelle quote di cooperare per produrre una firma senza che alcuna parte impari la chiave intera.
Il multisig richiede più chiavi. Esistono davvero diverse chiavi private indipendenti. L'indirizzo codifica una regola — tante di queste chiavi devono firmare — e la blockchain impone la regola quando valida la transazione.
La distinzione sembra accademica. Non lo è. Una è un fatto sulla crittografia; l'altra è un fatto sulla blockchain. Ciò che la catena sa determina che cosa accade quando un pezzo del sistema si guasta.
Come funziona davvero l'MPC
L'MPC — computazione multiparte, in questo contesto di solito schemi di firma a soglia — permette a più parti di calcolare insieme una firma su un messaggio mentre ciascuna detiene solo una quota della chiave di firma. Il NIST mantiene un progetto di crittografia a soglia se vuoi la trattazione formale.
L'output è una singola, comunissima firma. On-chain, la transazione di un portafoglio MPC è indistinguibile da una firmata da una persona con una chiave. Questo porta vantaggi reali: funziona su ogni catena, costa quanto una transazione a firma singola e non rivela nulla del tuo assetto di sicurezza a chi osserva la catena.
La conseguenza di quella stessa proprietà è dove serve attenzione. Poiché la catena vede una firma normale, la catena non impone nulla neppure sulla tua politica. Quante quote esistono, chi le detiene e quante devono cooperare sono fatti relativi al software e ai server, non al registro. Cambia il software e cambi la politica.
La seconda cosa da guardare è la custodia delle quote. Molti portafogli MPC di consumo tengono una quota sull'infrastruttura del fornitore. Spesso è proprio questo a rendere possibile l'esperienza di recupero senza attriti — e significa anche che l'esistenza e la collaborazione continuate del fornitore sono parti portanti del tuo assetto. Alcuni progetti mitigano bene la cosa, con quote esportabili o percorsi di backup indipendenti. La domanda non è se l'MPC possa essere fatto bene; è se il prodotto specifico che stai valutando l'abbia fatto in un modo che tu possa verificare.
Come funziona davvero il multisig
Nel multisig la politica fa parte dell'indirizzo. Su Bitcoin e sulle altre catene UTXO, l'indirizzo deriva da uno script che nomina le chiavi pubbliche e la soglia; una spesa che non porti abbastanza firme valide è semplicemente non valida, e ogni nodo della rete la rifiuta. Sulle catene con contratti intelligenti, l'equivalente è un conto il cui codice non agisce senza le approvazioni richieste.
Non c'è nessuno di cui fidarsi perché applichi la regola, dato che applicare la regola è ciò che fa la rete. Se domani sparisse ogni software di portafoglio coinvolto, la regola reggerebbe comunque, e chiunque avesse le chiavi e uno strumento compatibile potrebbe ancora spendere.
Anche i costi sono reali. Gestisci più chiavi invece di una, i backup si complicano e la transazione è più grande — su Bitcoin, più firme significano più byte e una commissione leggermente più alta. La tua politica è inoltre visibile on-chain, il che è una considerazione di privacy: un osservatore può vedere che un indirizzo è 2 su 3 anche se non vede chi detiene che cosa.
Che cos'è il multisig e perché conta tratta il modello più a fondo.
Dove si colloca SSP, con precisione
SSP è un multisig 2 su 2, ma qui l'onestà richiede un dettaglio, perché l'implementazione non è identica su ogni catena.
Su Bitcoin e sulle altre catene UTXO è multisig nativo a livello di script tramite BIP-48. Due chiavi, uno script, imposto dal consenso.
Su Ethereum e sulle altre catene EVM non esiste uno script nativo equivalente, quindi SSP usa un conto intelligente che verifica una firma Schnorr aggregata prodotta da entrambe le chiavi. I tuoi due dispositivi eseguono un protocollo in stile MuSig2 e la catena vede una firma sola: meccanicamente, per forma questo somiglia più all'MPC che a uno script multisig di Bitcoin.
La distinzione che conta non è «aggregata o no». Sono questi due fatti, validi su ogni catena supportata da SSP:
- Entrambe le chiavi sono generate sui tuoi dispositivi e detenute solo da te. SSP non detiene alcuna quota, alcuna chiave né alcun segreto parziale. Sui nostri server non c'è nessuna quota da perdere, da requisire o da tenere in ostaggio.
- Il requisito è on-chain. Su EVM il codice del conto intelligente non autorizza una transazione senza una firma che solo le tue due chiavi possono produrre. Quel codice è distribuito, pubblico e sottoposto ad audit: non è una politica che il nostro software sceglie di applicare.
Su Solana è un programma on-chain senza creatore e senza chiave di amministrazione, dove l'indirizzo del vault è esso stesso un'impronta dell'insieme dei membri e della soglia. Meccanismo diverso, stessa garanzia.
Se ti interessa la crittografia dell'aggregazione, firme Schnorr e aggregazione multisig spiega come una firma possa richiedere due chiavi.
Modi di guasto affiancati
I modelli di sicurezza si confrontano meglio chiedendosi che cosa si rompe.
Un dispositivo viene compromesso. Entrambi i modelli reggono. L'aggressore ha una quota o una chiave e non può firmare da solo.
Il fornitore sparisce. Il multisig regge: servono soltanto le chiavi e la regola on-chain. L'MPC regge solo se puoi ottenere e usare le tue quote senza il software del fornitore, il che dipende interamente dal progetto.
Il fornitore è costretto ad agire. Se un fornitore detiene una quota, quella quota può potenzialmente essere prodotta su costrizione legale, e a seconda dello schema ciò può bastare, insieme a un'altra quota, per muovere fondi. Se un fornitore non detiene nulla — come in SSP, dove entrambe le chiavi sono tue — non c'è nulla da costringere.
Perdi una chiave o una quota. Questo dipende dalla soglia, non dalla tecnologia. Un assetto 2 su 3 di entrambi i tipi tollera una perdita; uno 2 su 2 di entrambi i tipi no. Che succede se una delle tue chiavi viene compromessa percorre nello specifico il caso SSP.
Il software del portafoglio ti mente su ciò che stai firmando. Qui nessun modello aiuta, e va detto chiaramente. Distribuire l'autorità protegge da una chiave rubata; non protegge dall'approvare la transazione sbagliata. Per questo la domanda interessante per entrambi i modelli è che cosa verificano in modo indipendente i tuoi dispositivi prima di firmare — decodificare la transazione grezza invece di fidarsi della descrizione fornita da un server.
Dove vince ciascuno
L'MPC vince sulle catene prive di buone primitive multisig, sulla dimensione delle transazioni e sulle commissioni, sulla riservatezza dell'assetto e spesso sull'esperienza d'uso — in particolare sul recupero, dove un prodotto MPC ben progettato può essere enormemente più gentile che destreggiarsi tra più backup di frasi seme.
Il multisig vince sulla verificabilità. La regola sta nel registro. Non devi credere a una descrizione del modello di sicurezza: puoi leggere l'indirizzo o il contratto e vedere la politica. Vince anche sull'indipendenza: un assetto multisig con chiavi che detieni tu non ha alcuna azienda nel proprio modello di fiducia.
Non c'è contraddizione nel preferire risposte diverse per scopi diversi. Un piccolo saldo di uso quotidiano in un portafoglio MPC ben costruito e una posizione di lungo periodo in un multisig con chiavi conservate separatamente è un assetto perfettamente coerente.
Che cosa chiedere prima di impegnarti
Da qualunque parte penda la tua preferenza, queste quattro domande separano una buona implementazione da una debole.
- Chi detiene ogni chiave o quota, e posso ottenerle tutte? Se la risposta onesta include «il fornitore, e no», hai scelto un modello con una controparte.
- Che cosa succede se il fornitore sparisce domani? Dovrebbe esistere un percorso documentato che non lo coinvolga. Provalo prima di averne bisogno.
- Dove vive la politica? In uno script o contratto on-chain, oppure nel software? Entrambe possono andare bene, ma solo una sopravvive al cambiare del software.
- Che cosa verifica ogni dispositivo prima di firmare? Una seconda chiave non aggiunge nulla se entrambi i dispositivi firmano alla cieca ciò che un server invia. Modi di guasto del multisig e come SSP li mitiga passa in rassegna questo e gli altri modi in cui un assetto a più chiavi può essere indebolito nella pratica.
Se vuoi il modello su cui SSP è costruito spiegato dall'inizio, parti da che cos'è il multisig 2 su 2. E se la preoccupazione che ti ha portato qui è perdere una chiave anziché perderne il controllo, recupero sociale contro multisig copre l'altra famiglia di risposte.
