Любая система, шифрующая данные, обязана прежде всего ответить на один вопрос: кто может их расшифровать? У большинства честный ответ звучит неудобно: ключ держит компания, либо ключ лежит в аппаратном анклаве, которому приходится доверять, либо небольшая группа операторов при желании могла бы его восстановить. Шифрование никогда не бывает сильнее ответа на этот вопрос, а ответом обычно оказывается единая точка доверия в техническом камуфляже.
Ответ Celar состоит в том, что ни одна отдельная сторона не может расшифровать — ни команда, ни валидатор, ни одно место само по себе. При обычной работе ключ расшифровки сети нигде не собирается; смогла бы лишь коалиция больше порога. Он не лежит в хранилище с хорошим контролем доступа и нигде не существует целиком.
01 /Рождён по частям
Ключ создаётся распределённо. Он существует только в виде долей, распределённых по пороговому комитету, и получение любого открытого текста требует, чтобы пороговый кворум этих мест сотрудничал в этой конкретной расшифровке. Ни одно место не держит ключ, и пороговая расшифровка его никогда не восстанавливает — даже в момент использования, — хотя при проверенной конфигурации 13 сговорившихся мест смогли бы, тогда как до 12 не узнают ничего.
проактивное обновление проверено · частичные расшифровки по замыслу подписываемы и наказуемы
Так «кому вы доверяете» превращается из стороны в порог. Чтобы нарушить конфиденциальность, атакующий не взламывает сервер и не присылает повестку компании — ему нужно захватить полный кворум независимых мест со стейком одновременно. Сколько стейка на это потребуется и насколько это вероятно, изложено кривой на health dashboard и в белой книге §7.7. И это не число, которое приходится принимать на веру: каждый его входной параметр опубликован (см. метрику ℋ).
02 /Движущаяся мишень
Распределённый ключ, который никогда не меняется, всё ещё остаётся мишенью, которую можно точить годами. Поэтому доли обновляются: проактивное обновление заново рандомизирует каждую долю, не восстанавливая ключ. Оно реализовано и проверено. Когда будет построено подтверждаемое удаление устаревших долей, это даст выигрыш во времени: атакующему придётся держать полный набор текущих долей одновременно, а не собирать их месяцами.
03 /Атрибутируемо и наказуемо слэшингом
Распределение отвечает на вопрос могут ли они; ответственность отвечает на вопрос а что, если попробуют. Каждая частичная расшифровка, которую выдаёт член комитета, подписана и атрибутируема — анонимного вклада в расшифровку не существует. Поэтому участник, обслуживший несанкционированную расшифровку, не просто обнаружим: подписанная частичная расшифровка является уликой, а улика ложится в доказательство нарушения, за которым следует серьёзный слэшинг.
Кроме того, любая расшифровка требует разрешения владельца данных или управляющего ими контракта; частичная расшифровка вопреки этому условию — именно то, для наказания чего и существует механизм слэшинга. Недобросовестное поведение — не молчаливый риск, на который остаётся надеяться, а зафиксированное в сети нарушение с залоговым штрафом.
04 /Ни анклава, ни вендора, ни судебного запроса
Обратите внимание, чего нет в корне доверия. Здесь нет аппаратного анклава — нет требования «доверьтесь этому чипу и его производителю», — а значит, не нужно беспокоиться ни о побочных каналах, ни о прошивке вендора. Нет и внешнего сервиса управления ключами, которым владеет компания, — значит, нет юридического лица, которое можно скомпрометировать, принудить или обязать судебным решением. Корень доверия — это пороговая криптография плюс места с залогом внутри собственного консенсуса Celar, которые можно наказать слэшингом. Безопасность держится на распределении и экономике — и то и другое видимо и имеет цену — а не на физическом или корпоративном секрете, в который вас просят верить.
05 /Честная оговорка
Вот та часть, которую мы вписали в собственную маркировку PF-1, а не спрятали: это HIDDEN-C, а не HIDDEN-U. Конфиденциальность сохраняется, если только комитет не сговорится в объёме порога: кворум, действующий сообща, смог бы расшифровать. Это реальное и раскрытое допущение, и именно поэтому уровень с FHE-шифрованием даёт гарантию, основанную на доверии комитету, а не гарантию против неограниченного сговора. (За свойство, выдерживающее даже полный сговор, отвечает экранированный ZK-пул — другой уровень, другая задача.)
Это допущение оправдано не обещанием, что кворум честных людей останется честным, а тем, что сговор одновременно сделан экономически невыгодным правилом ℋ — захват порога обязан стоить дороже, чем он способен принести, — и операционно трудным за счёт переразделения долей по эпохам и слэшинга. Мы предпочитаем назвать допущение точно и показать, почему оно держится, вместо того чтобы продавать вам «отсутствие доверия», а комитет вы обнаружите потом. На генезисе комитет работает по разрешению (проверенный набор мест); он открывается для свободного участия по мере зрелости механики стейкинга и проверки.
06 /Суть
Большинство шифрованных систем отвечают на вопрос «кто может расшифровать?» указанием на сторону, которой приходится доверять, и рассказом о том, почему она не злоупотребит. Celar отвечает порогом, недостижимым в одиночку, проактивным обновлением, которое заново рандомизирует каждую долю, и частичными расшифровками, подписываемыми и наказуемыми по замыслу, — ключом, который не держит ни одно место, который при обычной работе никогда не собирается и предел которого мы публикуем, а не скрываем.
КОНТАКТ — press@celar.cc · МЕТРИКА ℋ — celar.cc/health · $CELAR