Wallet MPC

Les parts ne sont pas des morceaux de clé que l'on recolle. Chacune est un secret indépendant, et le protocole de signature fait échanger des messages aux détenteurs pour compléter ensemble le calcul d'une signature valide, sans qu'aucune partie n'apprenne rien des secrets des autres. Ce mécanisme s'appelle un schéma de signature à seuil, souvent abrégé TSS.

Le schéma se configure comme un seuil sur un total, par exemple deux sur trois ou trois sur cinq. Sous le seuil, aucune combinaison de parts ne peut signer ni reconstituer la clé, si bien qu'un ordinateur portable volé avec une part ne vaut rien. Le glossaire de Ledger décrit la même répartition en parts détenues par des parties distinctes. Sur la blockchain apparaît une signature unique ordinaire, identique à celle d'un portefeuille classique.

Le multisig poursuit un but voisin, mais sur la chaîne et non en dehors. Une adresse multisig exige plusieurs clés privées complètes et distinctes, chacune produisant sa propre signature, et le smart contract ou le protocole vérifie qu'il y en a assez. Chaque clé existe quelque part en entier.

Quatre différences décident du choix d'un établissement. Le multisig exige un support du protocole, et les implémentations varient selon la chaîne, alors que le MPC fonctionne sur toute chaîne qui accepte une signature standard, un point important pour un conservateur aux nombreux actifs. Le multisig inscrit sa structure sur la chaîne, donc la règle est publique et chaque signature coûte des frais; le MPC montre une signature et garde la règle privée. Le quorum du multisig est figé dans l'adresse, et changer de signataires impose de déplacer les fonds, alors que le MPC modifie ses parts sans transaction. Enfin, la sécurité du multisig s'audite publiquement dans le contrat, ce que certains détenteurs préfèrent justement parce que rien n'est caché. Kaleido dresse la même comparaison sur le support des chaînes, les frais et les modes de défaillance.

Un module de sécurité matériel (HSM) est un appareil certifié et résistant aux manipulations qui génère et stocke les clés et signe à l'intérieur de son propre périmètre, sans que la clé n'en sorte jamais en clair. Le HSM règle un autre problème que le MPC: il protège très bien une clé, et le MPC supprime la clé unique.

Les dispositifs de conservation peuvent associer les deux et placent chaque part MPC dans son propre HSM, sur un site distinct. Un attaquant doit alors vaincre la protection matérielle et atteindre assez de sites pour atteindre le seuil. Le HSM apporte aussi ce que le MPC n'a pas: une certification selon une norme reconnue comme FIPS 140, une preuve qu'un superviseur sait lire. La page conservation de crypto-actifs couvre l'ensemble du dispositif, et Tangany est l'un des conservateurs agréés en Allemagne dans ce domaine.

Trois processus opérationnels portent le risque réel, et la technologie n'en exécute aucun à votre place.

La cérémonie génère les parts dans des conditions contrôlées, avec un script, des participants nommés, un double contrôle et un procès-verbal signé par des témoins, puis les parts sont distribuées pour qu'aucune personne ni aucun site n'en détienne assez pour signer.

La rotation, aussi appelée rafraîchissement des clés, remplace les parts existantes sans changer l'adresse du portefeuille. Les parties recalculent de nouvelles parts de la même clé, les anciennes deviennent inutiles et l'adresse du portefeuille ne change pas. Un attaquant qui a volé une part le trimestre dernier ne détient plus rien après le rafraîchissement, et la part d'un salarié qui quitte l'entreprise est retirée sans déplacer un seul jeton.

La récupération traite le cas des parts perdues. Un schéma à seuil supporte la perte de parts jusqu'à sa tolérance, au-delà les actifs sont irrécupérables, donc la sauvegarde, en général des copies chiffrées des parts réparties entre plusieurs sites, doit exister et être testée. Un plan de récupération jamais testé laisse ces dispositifs exposés à la perte des parts nécessaires.

En Allemagne, la conservation de crypto-actifs est une activité réglementée, et le conservateur doit prouver son dispositif, pas le décrire. Un contrôle demande les procès-verbaux de cérémonie, la configuration du seuil et l'emplacement de chaque part, les règles d'autorisation d'un transfert avec la preuve que le double contrôle est imposé techniquement et non par convention, la ségrégation des actifs des clients, le calendrier de rotation avec la preuve de son exécution, et la procédure de récupération testée.

Un rapport d'assurance établi par un tiers sur l'environnement de contrôle rend ces affirmations exploitables par l'auditeur d'un autre établissement, un point traité sous audit crypto. La page conservation de crypto-actifs en Allemagne détaille l'agrément lui-même.

Quatre risques opérationnels subsistent, le premier concernant le moteur de règles: le logiciel qui décide des transferts autorisés avant la signature est un logiciel ordinaire, et un attaquant qui le contrôle peut faire signer aux parts un transfert d'apparence légitime vers une mauvaise adresse.

Le deuxième est la collusion d'initiés au niveau du seuil. Un schéma deux sur trois tombe face à deux détenteurs complices, c'est pourquoi les parts sont réparties entre équipes, sites et parfois organisations. Le troisième est l'implémentation: les protocoles MPC sont difficiles à bien coder, et les attaques publiées contre cette technologie visaient des bogues d'implémentation, pas les mathématiques sous-jacentes. Le quatrième est le risque opérationnel décrit plus haut, la perte de parts au-delà de la tolérance. La gestion des risques des actifs numériques les intègre dans un cadre de limites.

En général non, parce que ses avantages sont organisationnels. Le MPC justifie sa complexité quand il faut empêcher plusieurs personnes d'agir seules, quand les parts peuvent être réparties entre plusieurs sites et quand un calendrier de rotation peut être tenu. Un détenteur seul ne remplit aucune de ces conditions et dépend alors du logiciel d'un prestataire pour ce qu'un portefeuille matériel fait avec moins de moyens, comme l'explique la page sur les portefeuilles matériels.

Les wallets grand public vendus comme MPC désignent souvent quelque chose de plus étroit: le prestataire détient une part et l'appareil de l'utilisateur une autre. La phrase de récupération disparaît, mais une dépendance envers le prestataire apparaît. Ce compromis est raisonnable pour certaines personnes, mais il diffère du MPC institutionnel, comme l'explique la page sur les portefeuilles crypto.