Резервная копия Shamir

Математика восходит к работе Ади Шамира 1979 года о разделении секрета, а реализация для биткоина представляет собой SLIP-39, опубликованный SatoshiLabs. Конфигурация «два из трех» дает три списка по 20 слов, любые два из которых восстанавливают кошелек, тогда как любой один сам по себе не раскрывает ничего. Она отвечает на кражу и на потерю одной и той же резервной копией, чего не может одна фраза.

Как это работает

Пороговое разделение не является шифрованием и не является разрезанием фразы на куски. Секрет рассматривается как точка на многочлене степени на единицу меньше порога, и каждая доля является другой точкой на этой кривой. Две точки задают прямую, три задают параболу, и так далее, поэтому сбор порогового числа долей восстанавливает кривую и позволяет прочитать исходное значение. Ниже порога частичной информации нет вовсе: с одной долей из схемы «два из трех» каждый возможный секрет остается ровно настолько же вероятным, как и раньше, что является более сильной гарантией, чем "computationally hard".

SLIP-39 облекает эту идею в формат, рассчитанный на рукописную запись. Его список слов содержит 1024 слова вместо 2048 у BIP-39, каждое длиной от четырех до восьми букв и однозначно определяется по первым четырем. Доля состоит из 20 слов для мастер-секрета в 128 бит и из 33 слов для секрета в 256 бит, при этом каждое слово несет 10 бит, плюс данные идентификатора, порога и контрольной суммы, чтобы кошелек знал, к какой группе относится доля. Схема поддерживает два уровня: до 16 групп, в каждой до 16 долей, с порогом как на группы, так и внутри них.

Два ограничения решают, подходит ли она вам. Восстановление происходит на одном устройстве в один момент, поэтому это устройство и этот момент являются единой точкой компрометации, как бы тщательно ни были распределены доли. И SLIP-39 не взаимозаменяем с BIP-39: существующую фразу из 12 или 24 слов нельзя преобразовать в доли, а доли нельзя ввести в кошелек, который понимает только мнемонические фразы.

Где это встречается

Trezor выпустила резервную копию Shamir на Model T в прошивке 2.1.3 в августе 2019 года, добавила многогрупповой "super Shamir" в 2.1.6 в октябре того же года, и ее текущие устройства Safe продолжают эту функцию. Поддержка в других местах скудна, и это самый сильный практический довод против нее: ваша резервная копия восстанавливается на оборудовании одного производителя или через открытую эталонную реализацию python-shamir-mnemonic, и больше нигде. Тому, кто планирует резервную копию на десятилетие, стоит взвесить это против BIP-39, который читает каждый кошелек.

Схемы, где она оправдана, являются географическими и социальными. Доли в трех городах переживают пожар в доме, при этом ни одно место само по себе не достаточно для вора. Схема «три из пяти», распределенная между членами семьи и юристом, дает наследству работоспособный путь, не передавая никому односторонний контроль, пока вы живы. Оба случая требуют, чтобы учебное восстановление было проведено хотя бы один раз, потому что пороговая схема отказывает тихо: вы обнаружите поврежденную долю только тогда, когда попытаетесь ее использовать.

Если вам нравится сама идея, но нужна более широкая поддержка инструментов, codex32 является другим вариантом, о котором стоит знать. Определенный как BIP-93, он задает формат доли, контрольную сумму которой можно проверить вручную на бумаге, без участия компьютера.

Резервная копия Shamir vs мультиподпись

Shamir делит один секрет; мультиподпись использует несколько по-настоящему независимых ключей. Это единственное различие определяет все остальное. Доли Shamir необходимо собрать на одной машине, чтобы потратить средства, поэтому злоумышленник, заставший этот момент, получает все, тогда как подписи мультиподписи создаются на отдельных устройствах и ключи никогда не встречаются. Мультиподпись видна в блокчейне, стоит больше комиссий за транзакции и требует резервной копии дескриптора кошелька вместе с сид-фразами. Shamir невидим для всех, ничего не стоит дополнительно при трате и не добавляет ончейн-сложности. Для наследования и защиты от пожара Shamir проще. Для защиты от скомпрометированного устройства или одного нечестного участника именно мультиподпись действительно помогает.