Um Esquema de Assinatura de Limiar (TSS, na sigla em inglês) é um protocolo criptográfico que distribui o processo de assinatura entre várias partes, de forma que um número mínimo de participantes (o "limiar") precise cooperar para produzir uma assinatura digital válida, sem jamais reconstruir ou expor a chave privada completa.
Em um esquema de assinatura de limiar t-de-n, um chave privada é dividida em n partes distribuídas entre n participantes, e qualquer t (limiar) desses participantes pode gerar colaborativamente uma assinatura válida que é indistinguível de uma assinatura padrão de uma única parte no blockchain.
Ao contrário do tradicional multi-assinatura Em esquemas multisig, onde múltiplas assinaturas distintas são combinadas na blockchain, as assinaturas de limiar produzem uma única assinatura padrão, tornando-as mais eficientes em termos de gás, preservando a privacidade e compatíveis com qualquer blockchain que suporte o algoritmo de assinatura subjacente.
O TSS emprega técnicas criptográficas avançadas, incluindo o Compartilhamento Secreto de Shamir. geração de chaves distribuídas (DKG)e computação multipartidária (MPC), para garantir que nenhuma das partes possua a chave privada completa em nenhum momento durante a geração ou assinatura da chave.
Essa tecnologia é fundamental para soluções de custódia de criptomoedas de nível institucional, segurança de pontes descentralizadas, protocolos entre cadeias e infraestrutura de carteiras, onde a eliminação de pontos únicos de falha é crucial. As principais implementações incluem os protocolos GG18, GG20 e CGGMP21 para assinaturas de limite ECDSA e o FROST para assinaturas de limite baseadas em Schnorr, usadas na atualização Taproot do Bitcoin.
Origem e história
|
Data |
Evento |
|
1979 |
Adi Shamir publica “Como Compartilhar um Segredo”, estabelecendo o Shamir's Secret Sharing. |
|
1989 |
Yvo Desmedt e Yair Frankel propõem o primeiro conceito de esquema de assinatura de limiar. |
|
2001 |
Dan Boneh, Ben Lynn e Hovav Shacham desenvolvem assinaturas BLS, possibilitando esquemas de limiar eficientes. |
|
2018 |
Gennaro e Goldfeder publicam o GG18, um protocolo ECDSA de limiar prático para uso em blockchain. |
|
2019 |
A Binance introduz assinaturas de limite para sua arquitetura de ponte Binance Chain. |
|
2020 |
Gennaro e Goldfeder aprimoram seu protocolo com o GG20, reduzindo as rodadas de comunicação. |
|
2021 |
O protocolo CGGMP21 foi publicado, oferecendo garantias de segurança mais robustas com aborto identificável. |
|
2021 |
A atualização do Bitcoin Taproot foi ativada, habilitando assinaturas de limite baseadas em Schnorr via FROST. |
|
2022 |
Fireblocks, Copper e outros provedores de custódia MPC ultrapassam US$ 1 trilhão em transações acumuladas protegidas por TSS. |
|
2023 |
Carteiras de computação multipartidária que utilizam TSS ganham ampla aceitação como alternativas às carteiras de hardware. |
“As assinaturas de limiar representam o padrão ouro para gerenciamento de chaves em ativos digitais — elas eliminam pontos únicos de falha sem a sobrecarga on-chain das assinaturas multisig.” — Yehuda Lindell, CEO da Unbound Tech
Como Funciona
ESQUEMA DE ASSINATURA DE LIMIAR (Exemplo 2 de 3) ============================================
FASE 1: GERAÇÃO DE CHAVES DISTRIBUÍDAS (DKG) ─────────────────────────────────────────── Nenhuma das partes envolvidas jamais vê a chave privada completa!
┌──────────┐ ┌──────────┐ ┌──────────┐ │ Festa A │ │ Festa B │ │ Festa C │ │ Compartilhar: a │ │ Compartilhar: b │ │ Compartilhar: c │ └────┬─────┘ └────┬─────┘ └────┬─────┘ │ │ │ └──────────────┼───────────────┘ │ [Chave Pública Combinada: P] (visível no blockchain)
FASE 2: ASSINATURA DO CONTRATO (Partes A + B cooperam) ───────────────────────────────────────────────────────
┌──────────┐ ┌──────────┐ │ Festa A │◄═══════►│ Festa B │ Festa C é │ Compartilhar: a │ MPC │ Compartilhar: b │ NÃO é necessário └────┬─────┘ rodadas └────┬─────┘ │ │ └──────────┬──────────┘ │ ┌──────┴──────┐ │ Válido │ │ Assinatura σ │ ← Parece idêntico a uma │ (única) │ assinatura regular de uma única tecla └──────┬──────┘ │ ▼ ┌──────────────────┐ │ Blockchain │ │ Verifica com P │ ← Nenhuma verificação especial necessária │ (verificação padrão) │ (igual a qualquer outra transação) └──────────────────┘
ATUALIZAÇÃO DE CHAVE (Segurança Proativa): ┌───────────────────────────────────────────────┐ │ As ações podem ser rotacionadas sem alterar │ │ a chave pública ou exigir ação na blockchain │ │ a → a' b → b' c → c' │ │ A chave pública P permanece a mesma! │ └────────────────────────────────────────────────┘ “`
|
Característica |
Assinatura de Limiar (TSS) |
Multi-assinatura (Multisig) |
Assinatura de tecla única |
|
Estrutura Chave |
Uma divisão fundamental em ações |
Múltiplas chaves independentes |
Uma chave, um suporte |
|
Pegada On-Chain |
Assinatura padrão única |
Assinaturas múltiplas + lógica de verificação |
Assinatura padrão única |
|
Custo do gás |
Custo de transação padrão |
Maior (múltiplas assinaturas verificadas) |
Custo de transação padrão |
|
Política de Privaciade |
Política de assinatura oculta na blockchain |
Política visível na blockchain (n-de-m) |
N/D |
|
Rotação da chave |
As ações podem ser rotacionadas sem alterar o endereço. |
Requer uma atualização na blockchain. |
É necessário gerar uma nova chave. |
|
Compatibilidade Blockchain |
Qualquer cadeia que suporte o esquema de assinatura |
Requer suporte nativo ou de contrato inteligente. |
Universal |
|
Ponto unico de falha |
Eliminado (limiar necessário) |
Eliminado (várias chaves necessárias) |
Presente (uma chave comprometida = perda total) |
|
Recuperacao |
Redistribuição flexível de ações |
Requer todas as chaves originais ou recuperação predefinida. |
Apenas a frase-semente |
Em termos simples
- Separar um segredo sem revelá-loImagine um cofre que exige que dois dos três detentores das chaves o abram, mas em vez de terem fechaduras separadas, eles combinam suas chaves parciais para criar uma chave mestra que abre uma única fechadura — sem que nenhuma pessoa jamais possua a chave mestra completa.
- Trabalho em equipe invisívelNa blockchain, uma assinatura de limite é exatamente igual a qualquer outra transação. Ninguém consegue saber que várias pessoas colaboraram para assiná-la, preservando a privacidade das suas configurações de segurança.
- Nenhum ponto único de falhaMesmo que a chave de um dos participantes seja roubada ou perdida, o atacante não pode assinar transações sozinho, e as partes restantes podem atualizar suas chaves para invalidar a comprometida, tudo isso sem alterar o endereço da carteira.
- Melhor que multisigAs carteiras tradicionais com múltiplas assinaturas exigem recursos especiais. smart contracts e revelam a política de assinatura na blockchain. Assinaturas de limite alcançam as mesmas garantias de segurança com custos de transação mais baixos, maior privacidade e compatibilidade universal com blockchains.
- Padrão de Segurança InstitucionalBancos, corretoras e provedores de custódia usam assinaturas de limite para proteger bilhões em ativos digitais, garantindo que nenhum funcionário, servidor ou centro de dados possa movimentar fundos unilateralmente.
Exemplos do mundo real
|
Cenário |
Implementação |
Resultado |
|
Custódia Institucional |
A Fireblocks utiliza assinaturas de limite baseadas em MPC para mais de 1,800 clientes institucionais, visando proteger as operações de ativos digitais. |
Garante a transferência de mais de US$ 6 trilhões em ativos digitais sem nenhuma violação de chave privada desde sua criação. |
|
Pontes de Cadeia Cruzada |
A THORChain utiliza esquemas de assinatura de limite para gerenciar pools de liquidez em Bitcoin, Ethereum e outras blockchains sem tokens encapsulados. |
Permite trocas nativas entre cadeias com gerenciamento de chaves distribuídas, reduzindo o risco de ataques de ponte decorrentes de vulnerabilidades de chave única. |
|
Infraestrutura de carteira |
A carteira Zengo implementa assinaturas de limite 2 de 2 entre o dispositivo do usuário e o servidor da Zengo para recuperação sem chave. |
Os usuários acessam um carteira sem custódia sem frases-semente, mantendo a segurança por meio de assinatura distribuída. |
|
Gestão de Tesouraria DAO |
Organizações descentralizadas usam TSS para gerenciar fundos de tesouraria com limites configuráveis entre os signatários eleitos. |
Flexibilidade operacional com segurança alinhada à governança, permitindo gastos automatizados dentro dos limites aprovados. |
Vantagens
|
A Vantagem |
Descrição |
|
Nenhum ponto único de falha |
A chave privada completa nunca existe em um único local, eliminando a vulnerabilidade mais crítica no gerenciamento de chaves. |
|
Eficiência On-Chain |
Gera uma única assinatura padrão, reduzindo o tamanho da transação e os custos de gás em comparação com a assinatura multisig. |
|
Preservação da privacidade |
A política de assinatura (limiar, número de participantes) é invisível na blockchain, impedindo a engenharia social direcionada. |
|
Atualização proativa de teclas |
As ações podem ser rotacionadas periodicamente sem alterar a chave pública ou o endereço da carteira, limitando a exposição a possíveis violações. |
|
Compatibilidade Universal |
Funciona em qualquer blockchain que suporte o algoritmo de assinatura subjacente (ECDSA, Schnorr, EdDSA) sem exigir suporte para contratos inteligentes. |
Desvantagens e Riscos
|
Gestão de |
Descrição |
|
Despesas gerais de comunicação |
Protocolos interativos de múltiplas rodadas entre signatários introduzem latência e exigem que todas as partes envolvidas estejam online simultaneamente. |
|
Complexidade de implementação |
Os protocolos TSS são criptograficamente complexos e erros de implementação sutis podem introduzir vulnerabilidades críticas. |
|
Desafio da Responsabilização |
Como a assinatura final não revela quais partes a assinaram, são necessários mecanismos adicionais fora da blockchain para fins de auditoria. |
|
Problemas de configuração confiáveis |
Alguns protocolos DKG exigem inicialização cuidadosa; a geração de chaves comprometida pode prejudicar toda a segurança subsequente. |
|
Padronização limitada |
A existência de múltiplos protocolos TSS concorrentes (GG18, GG20, CGGMP21, FROST) não possui um padrão dominante único, o que dificulta a interoperabilidade. |
Dicas de gerenciamento de risco:
- Escolha implementações de TSS que tenham passado por auditorias de segurança formais realizadas por empresas de criptografia conceituadas.
- Implementar mecanismos de registro e atestação fora da cadeia para manter a responsabilidade, apesar do anonimato em nível de assinatura.
- Utilize a atualização proativa de chaves em intervalos regulares para limitar a janela de vulnerabilidade a possíveis comprometimentos de compartilhamento.
- Garantir a distribuição geográfica e organizacional das ações principais para evitar coerção ou comprometimento físico.
- Teste os procedimentos de recuperação de desastres regularmente, incluindo cenários em que um ou mais acionistas fiquem indisponíveis.
Perguntas frequentes
Qual a diferença entre uma assinatura de limiar e uma assinatura múltipla?
Uma assinatura multisig exige que cada participante assine independentemente com sua própria chave privada, produzindo múltiplas assinaturas verificadas na blockchain. Uma assinatura de limite (TSS) utiliza computação multipartidária, de modo que os participantes produzem colaborativamente uma única assinatura padrão, sem que nenhuma das partes jamais possua a chave completa. A TSS é mais barata na blockchain, mais privada e universalmente compatível.
O que acontece se um participante em um esquema de limiar for comprometido?
Enquanto o número de partes comprometidas estiver abaixo do limite, o atacante não poderá produzir assinaturas válidas. As partes honestas restantes podem realizar uma atualização do compartilhamento de chaves para gerar novas partes que invalidem as comprometidas, tudo isso sem alterar a chave pública ou o endereço da carteira.
Assinaturas de limite podem funcionar com Bitcoin?
Sim. Os protocolos TSS baseados em ECDSA (GG18, GG20, CGGMP21) funcionam com o esquema de assinatura existente do Bitcoin. Além disso, a atualização Taproot do Bitcoin (2021) introduziu as assinaturas Schnorr, possibilitando o protocolo de assinatura de limite FROST para uma assinatura de limite ainda mais eficiente.
As assinaturas de limiar são realmente confiáveis?
O processo de geração de chaves distribuídas pode ser projetado para ser confiável, o que significa que nenhuma das partes ou coordenadores precisa ser confiável. No entanto, o protocolo específico é importante — alguns esquemas mais antigos tinham configurações de distribuidores confiáveis, enquanto os protocolos DKG modernos eliminam completamente esse requisito.
O que é o protocolo FROST?
FROST (Flexible Round-Optimized Schnorr Threshold signatures) é um protocolo de assinatura de limiar otimizado para assinaturas Schnorr. Ele requer apenas duas rodadas de comunicação para assinatura, suporta pré-processamento para assinatura em tempo real mais rápida e é particularmente relevante para o Bitcoin Taproot e outras blockchains baseadas em Schnorr.
Fontes
- Gennaro, R. & Goldfeder, S. — “ECDSA de Limiar Multipartidário Rápido” (GG18/GG20)
- Canetti, R., et al. — “UC Non-Interactive, Proactive, Threshold ECDSA” (CGGMP21)
- Komlo, C. & Goldberg, I. — “FROST: Assinaturas de Limiar de Schnorr Flexíveis e Otimizadas para Rodadas”
- Documento técnico do Fireblocks MPC-CMP
- Bitcoin Optech — “Assinaturas de Limiar e FROST”
- Revista de Criptologia — Pesquisa em Criptografia de Limiar
> Dica UPay: Ao escolher uma solução de custódia de criptomoedas ou uma carteira, procure por tecnologia de assinatura de limite baseada em MPC em vez da assinatura multisig tradicional — ela oferece maior privacidade, taxas mais baixas e a capacidade de rotacionar as chaves proativamente sem alterar o endereço da sua carteira.
Aviso: Este conteúdo tem fins meramente educativos e não constitui aconselhamento financeiro. Sempre realize sua própria pesquisa (DYOR) e consulte consultores financeiros qualificados antes de tomar decisões de investimento.
UPay — Tornando as criptomoedas uma enciclopédia
