Dzielenie seeda a multisig: Shamir, SLIP-39 i SSKR w porównaniu
„Do przeniesienia środków potrzeba kilku elementów” – to zdanie opisuje dwa zupełnie różne rozwiązania. Pierwsze to podzielony seed: jeden sekret pocięty na udziały za pomocą schematu podziału sekretu Shamira albo opartego na nim standardu, takiego jak SLIP-39 czy SSKR. Drugie to multisig: kilka niezależnych kluczy, a sam blockchain odmawia przeniesienia środków, dopóki nie podpisze ich wystarczająca liczba.
Oba rozkładają ryzyko, ale chronią przed czym innym, a ich mylenie prowadzi do konfiguracji słabszych, niż się wydają.
Jak działa schemat podziału sekretu Shamira
Schemat podziału sekretu Shamira, opublikowany przez Adiego Shamira w 1979 roku, dzieli sekret na n udziałów tak, że dowolne t z nich pozwala go odtworzyć, a mniej niż t nie ujawnia absolutnie niczego. Przy podziale 2 z 3 dowolne dwa udziały odtwarzają sekret, a pojedynczy udział nie mówi atakującemu dosłownie nic.
Opierają się na nim dwa popularne standardy portfeli:
- SLIP-39 od SatoshiLabs koduje każdy udział jako frazę z 20 lub 33 słów i obsługuje grupy (na przykład „dwa z moich trzech udziałów albo jeden od rodziny i jeden od prawnika”). Korzysta z niego kopia zapasowa Shamir w urządzeniach Trezor.
- SSKR (Sharded Secret Key Reconstruction) od Blockchain Commons robi to samo z własnym kodowaniem i jest używany przez niektóre urządzenia podpisujące offline.
Udziały SLIP-39 nie są wymienne ze zwykłą frazą BIP-39. Portfele obsługujące SLIP-39 zwykle nie potrafią zamienić istniejącej frazy 24 słów na udziały; kopia zapasowa musi być tak utworzona od samego początku.
Haczyk: do podpisu klucz znów się scala
Shamir to technika kopii zapasowej. Udziały chronią sekret, dopóki jest przechowywany. Ale udział nie może niczego podpisać. Aby wydać środki, udziały się łączy i odtwarza pełny klucz – na jednym urządzeniu, w jednym kawałku.
Oznacza to, że w chwili podpisywania portfel zabezpieczony Shamirem jest portfelem z jednym kluczem. Jeśli to urządzenie jest przejęte albo osoba odtwarzająca klucz działa pod przymusem, podział nie pomaga. Często klucz odtwarza się raz, a potem przechowuje na jednym portfelu sprzętowym.
Multisig działa odwrotnie. Każdy sygnatariusz ma własny, osobno wygenerowany klucz, a klucze nigdy się nie spotykają. Każdy podpisuje na własnym urządzeniu, a blockchain sprawdza, czy jest wystarczająco wiele ważnych podpisów. Nie ma momentu, w którym jedno urządzenie ma wszystko. Portfele MPC a multisig omawia trzecie podejście, w którym klucze dzieli kryptografia, a nie reguła egzekwowana przez sieć.
Nie tnij swoich 24 słów na trzy części
Kusząca domowa metoda to zapisanie pierwszych ośmiu słów na jednej karcie, kolejnych ośmiu na drugiej i ostatnich ośmiu na trzeciej. To nie jest Shamir i ma dwa problemy.
Po pierwsze, nie jest to schemat progowy. Potrzebujesz wszystkich trzech części, więc utrata którejkolwiek karty oznacza utratę portfela.
Po drugie, każda część ujawnia fragment sekretu. Każde słowo BIP-39 niesie 11 bitów; fraza z 24 słów zawiera 256 bitów losowości plus 8-bitową sumę kontrolną. Karta z ośmioma słowami ujawnia 88 z tych 256 bitów. Ktoś z jedną kartą musi jeszcze odgadnąć 168 bitów, co wciąż jest poza zasięgiem – ale ktoś z dwiema kartami ma do odgadnięcia tylko 80 bitów, znacznie poniżej marginesu, dla którego zaprojektowano frazę. Przy frazie z 12 słów (128 bitów) dwie z trzech części po cztery słowa zostawiają tylko 40 bitów, które da się złamać metodą siłową na zwykłym sprzęcie.
W prawdziwym schemacie Shamira udział poniżej progu nie ujawnia niczego. W pociętej frazie każda część ułatwia pracę atakującemu. Jeśli chcesz podzielić seed, użyj właściwego standardu; dobre praktyki dotyczące frazy seed opisują częstsze rozwiązania, takie jak metalowe kopie i osobne lokalizacje.
Kompromisy: widoczność i sieci
Każde podejście ma realne zalety:
- Ślad w łańcuchu. Shamir jest niewidoczny w łańcuchu: portfel wygląda i działa jak każdy portfel z jednym kluczem, w każdej sieci. Multisig jest widoczny – wydatek multisig w Bitcoinie ujawnia swój skrypt, a w sieciach opartych na kontach sejf jest inteligentnym kontraktem lub programem, który każdy może obejrzeć.
- Obsługa sieci. Shamir działa z każdą siecią obsługiwaną przez twój portfel, bo dotyczy tylko kopii zapasowej. Multisig zależy od sieci: Bitcoin używa skryptów, sieci EVM kont inteligentnych kontraktów, Solana programu, a każda ma własne opłaty i ograniczenia.
- Co chroni. Shamir chroni kopię zapasową przed utratą i kradzieżą. Multisig chroni każdą pojedynczą transakcję, bo żadne urządzenie nie może podpisać samo.
Te podejścia się nie wykluczają; ważne jest, by wiedzieć, przed jakim ryzykiem chroni każde z nich.
Gdzie jest SSP
SSP to multisig 2 z 2. SSP Wallet, rozszerzenie przeglądarki, i SSP Key, aplikacja na telefon, generują każda własną frazę odzyskiwania z 24 słów. W sieciach UTXO, takich jak Bitcoin, adres sejfu powstaje ze skryptu multisig 2 z 2 zawierającego po jednym kluczu publicznym z każdej z nich, a każda transakcja wymaga obu podpisów. Oba klucze nigdy nie są łączone na jednym urządzeniu.
SSP nie implementuje Shamira, SLIP-39 ani SSKR. Zabezpieczasz dwie zwykłe frazy z 24 słów, a odtworzenie sejfu od zera wymaga obu, więc obie kopie są równie ważne. 2 z 2, 2 z 3 czy M z N wyjaśnia ten kompromis, a dziedziczenie i dostęp awaryjny opisuje, jak zadbać o to, by ktoś inny mógł odzyskać środki, jeśli kiedyś zajdzie taka potrzeba.
Uczciwe podsumowanie
Dzielenie seeda i multisig wymagają kilku elementów, ale w innych momentach. Standardy oparte na Shamirze, takie jak SLIP-39 i SSKR, chronią kopię zapasową: udziały poniżej progu nie ujawniają niczego, a portfel pozostaje niewidoczny i niezależny od sieci. Jednak do podpisu pełny klucz jest odtwarzany, więc podpisywanie wciąż ma jeden punkt awarii. Multisig utrzymuje osobne klucze, które nigdy się nie spotykają, i każe sieci egzekwować regułę – kosztem widoczności i zależności od sieci.
Nie tnij frazy ręcznie: potrzebujesz każdej części, a każda ujawnia bity sekretu. SSP używa multisig 2 z 2 z dwiema osobnymi frazami z 24 słów i nie oferuje dzielenia seeda – dlatego dobrze chroń obie kopie.
