门限密钥管理：永不存在的密钥

如果状态是加密的，那么显而易见的问题就是： 谁持有密钥？ Celar（瑟拉） 的回答是： 没有任何单一席位，也没有任何低于门限的参与方。TFHE 解密密钥仅以份额形式分散存在于委员会中，由一场分布式仪式生成。门限解密从不重建该密钥；而超过门限的联盟（13 个及以上席位）则可以，该限度在下文说明。

运作方式

• 分布式密钥生成。 一次可公开验证的仪式产出密钥份额，并公开全部记录；行为不当的参与方会在创世之前被剔除。
• 门限解密。 任何解密或重加密都需要达到门限的席位法定人数协作完成。部分解密在设计上可签名、可归因，因此一旦欺诈证据模块构建完成，未经授权的服务即可被证明并罚没。委员会配置为 50 个席位，门限 12 —— 已在一次测试仪式中端到端运行并验证，尚未用于保护任何价值。最多 12 个席位无法获知任何信息；13 个串通席位可以重建密钥，我们选择公开这一点而非加以隐瞒。更大的委员会在当前引擎上无法达到，也没有任何工作以此为目标。白皮书 §7.1 载明该配置及其限度。
• 主动刷新。 主动刷新已实现并经过验证：委员会在不改变密钥的前提下对每份份额重新随机化。一旦构建出对已失效份额的可证明擦除，刷新还将限制攻击者凑齐法定人数的可用时间。席位按交错任期轮换的机制已完成设计，但尚未实施。
• 带噪声淹没的解密。 经授权的部分解密都携带经过标定的噪声，因此即便面对攻击者精心构造的密文，反复解密依然安全。

一个你可以自行核验的安全数字

多数链只说“去中心化”。Celar 给出一个上界，并公开其全部输入。攻陷一个解密法定人数需要多少质押、在 10 年滚动窗口内的可能性有多大，均以曲线形式载于 health dashboard 以及白皮书 §7.7 —— 它是一条曲线而非单一数字，而在当前委员会规模下，足够庞大的攻击者会攻陷所有配置。在此之上还有实时健康规则 ℋ ≥ 2：发动攻击的成本必须始终至少是其可能窃取价值的两倍。