Пороговое управление ключами: ключ, которого не существует
Если состояние зашифровано, напрашивается вопрос: у кого ключ? Ответ Celar: ни одно отдельное место и ни одна сторона ниже порога. Ключ расшифровки TFHE существует только в виде долей, распределённых по комитету, и создаётся распределённой церемонией. Пороговая расшифровка его никогда не восстанавливает; коалиция больше порога (13 мест и более) смогла бы, и этот предел указан ниже.
Как это работает
- Распределённая генерация ключа. Публично проверяемая церемония создаёт доли ключа с публикуемыми протоколами; недобросовестные участники исключаются до генезиса.
- Пороговая расшифровка. Любая расшифровка или перешифрование требует согласованных действий порогового кворума мест. Частичные расшифровки по замыслу подписываемы и атрибутируемы, поэтому, когда будет построен модуль доказательств мошенничества, неавторизованное обслуживание можно будет доказать и наказать. Конфигурация комитета — 50 мест, порог 12 — проведена и проверена сквозным образом в тестовой церемонии и пока не защищает никакой стоимости. До 12 мест не узнают ничего; 13 сговорившихся мест смогли бы восстановить ключ, и мы это публикуем, а не скрываем. Комитеты большего размера недостижимы на этом движке, и никакие работы на это не запланированы. Белая книга §7.1 приводит конфигурацию и её пределы.
- Проактивное обновление. Проактивное обновление реализовано и проверено: комитет заново рандомизирует каждую долю, не меняя ключ. Когда будет построено подтверждаемое удаление устаревших долей, обновление начнёт также ограничивать время, за которое атакующий должен собрать кворум. Ротация мест со смещёнными сроками спроектирована, но отложена.
- Расшифровка с зашумлением. Разрешённые частичные расшифровки несут калиброванный шум, поэтому повторные расшифровки остаются безопасными даже против шифротекстов, специально созданных противником.
Показатель безопасности, который можно проверить
Большинство сетей говорят «децентрализовано». Celar называет границу и публикует её входные данные. Сколько стейка потребуется, чтобы захватить кворум расшифровки, и насколько это вероятно в скользящем 10-летнем окне, изложено кривой на health dashboard и в белой книге §7.7 — это кривая, а не одно число, и при таком размере комитета достаточно крупный противник захватывает любую конфигурацию. Поверх этого действует живое правило здоровья ℋ ≥ 2: атака всегда должна обходиться минимум вдвое дороже того, что она может принести.