Shamirバックアップ

数学的な基盤は、秘密の分散に関するAdi Shamirの1979年の論文にあり、ビットコインでの実装はSatoshiLabsが公開したSLIP-39です。2-of-3構成では20語のリストが3つ生成され、そのうち任意の2つでウォレットを復元でき、1つだけでは何も明らかになりません。盗難と紛失の両方に同じバックアップで対応できるのであり、単一のフレーズではそれはできません。

仕組み

しきい値分散は暗号化ではなく、フレーズを断片に切り分けることでもありません。秘密はしきい値より1次低い多項式上の点として扱われ、各シェアはその曲線上の別の点です。2点は直線を定め、3点は放物線を定め、以下同様に続くため、しきい値の数のシェアを集めると曲線が再構成され、元の値が読み取れます。しきい値未満では部分的な情報はまったく得られません。2-of-3のシェア1つでは、どのような秘密も以前とまったく同じ確率のままであり、これは「計算上困難」よりも強い保証です。

SLIP-39はその考えを手書き向けに設計した形式で包みます。その単語リストはBIP-39の2,048語ではなく1,024語を収録し、各語は4～8文字で、先頭4文字によって一意に識別されます。シェアは128ビットのマスターシークレットで20語、256ビットのもので33語となり、各語が10ビットを担い、さらに識別子、しきい値、チェックサムのデータが付くため、ウォレットはシェアがどのグループに属するかを把握できます。この方式は2つの階層に対応し、最大16グループ、各グループに最大16シェアを持ち、グループ間にもグループ内にもしきい値を設定できます。

適しているかどうかは2つの限界で決まります。復元は1つの端末で1つの時点に行われるため、シェアをどれほど慎重に分散していても、その端末とその時点が単一の侵害点となります。またSLIP-39はBIP-39と互換性がなく、既存の12語または24語のフレーズをシェアに変換することはできず、シェアをニーモニックしか理解しないウォレットに入力することもできません。

採用されている場所

Trezorは2019年8月にファームウェア2.1.3のModel TでShamirバックアップを提供し、同年10月に2.1.6でマルチグループの「スーパーShamir」を追加し、現在のSafeデバイスにもその機能を引き継いでいます。他の場所での対応は乏しく、これが実用面で最も強い反対理由です。バックアップは1社のハードウェアか、オープンソースのリファレンス実装であるpython-shamir-mnemonicを通じてしか復元できず、それ以外では復元できません。10年間使うバックアップを計画する人は、すべてのウォレットが読み取るBIP-39とこれを比較検討するべきです。

この方式が真価を発揮するのは、地理的および人的な構成です。3つの都市にシェアを置けば、家屋の火災を生き延び、しかも単一の場所だけでは強盗に十分ではありません。家族と弁護士の間に広げた3-of-5は、あなたの生存中に誰かに一方的な管理を渡すことなく、相続に実行可能な道筋を与えます。どちらの場合も復元の訓練を少なくとも1回は練習する必要があります。しきい値方式は静かに失敗するからです。破損したシェアは、使おうとしたときに初めて分かります。

考え方の形は気に入ったがより広いツール対応を望むなら、codex32が知っておく価値のあるもう1つの選択肢です。BIP-93として規定され、コンピューターを一切使わずに紙の上で手作業でチェックサムを検証できるシェア形式を定義しています。

Shamirバックアップvsマルチシグ

Shamirは1つの秘密を分割し、マルチシグは真に独立した複数の鍵を使います。この単一の違いが他のすべてを左右します。Shamirのシェアは支出のために1台のマシンに集めなければならないため、その瞬間を狙った攻撃者はすべてを手に入れますが、マルチシグの署名は別々の端末で生成され、鍵が集まることはありません。マルチシグはチェーン上で可視であり、トランザクション手数料がよりかかり、シードと併せてウォレットディスクリプタをバックアップする必要があります。Shamirは誰にも見えず、支出に追加コストはかからず、オンチェーンの複雑さも加えません。相続と火災への備えにはShamirがより簡単です。侵害された端末や1人の不誠実な参加者への備えには、実際に役立つのはマルチシグです。