Shamir-Backup

Die Mathematik stammt aus Adi Shamirs Aufsatz von 1979 über das Teilen eines Geheimnisses, und die Bitcoin-Implementierung ist SLIP-39, veröffentlicht von SatoshiLabs. Eine Konfiguration mit zwei von drei erzeugt drei Listen mit 20 Wörtern, von denen zwei beliebige die Wallet wiederherstellen, während eine einzelne für sich nichts preisgibt. Sie beantwortet Diebstahl und Verlust mit demselben Backup, was eine einzelne Phrase nicht leistet.

So funktioniert es

Die Schwellenwertteilung ist keine Verschlüsselung und kein Zerlegen einer Phrase in Stücke. Das Geheimnis wird als ein Punkt auf einem Polynom behandelt, dessen Grad um eins niedriger ist als der Schwellenwert, und jeder Anteil ist ein weiterer Punkt auf dieser Kurve. Zwei Punkte definieren eine Gerade, drei definieren eine Parabel, und so weiter, sodass das Zusammenführen der Schwellenwertanzahl von Anteilen die Kurve rekonstruiert und den ursprünglichen Wert abliest. Unterhalb des Schwellenwerts gibt es keinerlei Teilinformation: Mit einem Anteil aus zwei von drei bleibt jedes mögliche Geheimnis exakt so wahrscheinlich wie zuvor, was eine stärkere Garantie ist als "computationally hard".

SLIP-39 verpackt diese Idee in ein für Handschrift gedachtes Format. Seine Wortliste enthält 1.024 Wörter statt der 2.048 von BIP-39, jedes zwischen vier und acht Buchstaben lang und durch seine ersten vier eindeutig bestimmt. Ein Anteil besteht aus 20 Wörtern für ein 128-Bit-Hauptgeheimnis und aus 33 Wörtern für ein 256-Bit-Geheimnis, wobei jedes Wort 10 Bit trägt, dazu Kennung, Schwellenwert und Prüfsummendaten, damit eine Wallet weiß, zu welcher Gruppe ein Anteil gehört. Das Verfahren unterstützt zwei Ebenen: bis zu 16 Gruppen mit je bis zu 16 Anteilen, mit einem Schwellenwert sowohl bei den Gruppen als auch innerhalb von ihnen.

Zwei Grenzen entscheiden, ob es zu Ihnen passt. Die Rekonstruktion geschieht auf einem Gerät zu einem Zeitpunkt, sodass dieses Gerät und dieser Zeitpunkt einen einzigen Kompromittierungspunkt bilden, egal wie sorgfältig die Anteile verteilt wurden. Und SLIP-39 ist nicht austauschbar mit BIP-39: Eine bestehende Phrase mit 12 oder 24 Wörtern lässt sich nicht in Anteile umwandeln, und Anteile lassen sich nicht in eine Wallet eingeben, die nur Mnemonics versteht.

Wo es vorkommt

Trezor lieferte das Shamir-Backup auf dem Model T mit der Firmware 2.1.3 im August 2019 aus, ergänzte im Oktober desselben Jahres das gruppenübergreifende "super Shamir" in 2.1.6, und die aktuellen Safe-Geräte führen die Funktion fort. Die Unterstützung anderswo ist dünn, und das ist das stärkste praktische Argument dagegen: Ihr Backup lässt sich nur auf der Hardware eines einzigen Herstellers oder über die quelloffene Referenzimplementierung python-shamir-mnemonic wiederherstellen, und nirgends sonst. Wer ein Backup für ein Jahrzehnt plant, sollte das gegen BIP-39 abwägen, das jede Wallet liest.

Die Szenarien, in denen es seinen Platz verdient, sind geografisch und sozial. Anteile in drei Städten überstehen einen Hausbrand, ohne dass ein einzelner Ort für einen Einbrecher ausreicht. Ein Schema mit drei von fünf, verteilt auf Familienmitglieder und einen Anwalt, gibt einem Nachlass einen gangbaren Weg, ohne dass jemand zu Ihren Lebzeiten die alleinige Verfügungsgewalt erhält. Beide Fälle erfordern, dass die Wiederherstellungsübung mindestens einmal geprobt wird, denn ein Schwellenwertschema versagt leise: Einen beschädigten Anteil entdecken Sie erst, wenn Sie ihn verwenden wollen.

Wenn Ihnen die Form der Idee gefällt, Sie aber breitere Unterstützung durch Werkzeuge möchten, ist codex32 die andere Option, die es zu kennen lohnt. Als BIP-93 spezifiziert, definiert es ein Anteilsformat, dessen Prüfsumme sich von Hand auf Papier überprüfen lässt, ohne Computer.

Shamir-Backup vs. Multisig

Shamir teilt ein Geheimnis; Multisig verwendet mehrere wirklich unabhängige Schlüssel. Dieser eine Unterschied bestimmt alles Weitere. Shamir-Anteile müssen auf einer Maschine zusammengeführt werden, um auszugeben, sodass ein Angreifer, der diesen Moment erwischt, alles bekommt, während Multisig-Signaturen auf getrennten Geräten erzeugt werden und die Schlüssel nie zusammentreffen. Multisig ist auf der Chain sichtbar, kostet mehr Transaktionsgebühren und erfordert, dass der Wallet-Deskriptor zusammen mit den Seeds gesichert wird. Shamir ist für alle unsichtbar, kostet beim Ausgeben nichts extra und fügt keine On-Chain-Komplexität hinzu. Für die Vererbung und den Schutz vor Feuer ist Shamir einfacher. Zum Schutz gegen ein kompromittiertes Gerät oder einen einzelnen unredlichen Beteiligten ist Multisig das, was tatsächlich hilft.