什么是分布式密钥生成（DKG）？

# 什么是分布式密钥生成（DKG）？ 来源：https://stoffelmpc.com/stoffel-blog/what-is-distributed-key-generation-(dkg) 在之前的文章中，我们解释了如何创建份额以及如何使用这些份额进行算术运算。通过具体示例，你已经大致了解了如何将MPC的基础用于你的需求。然而，它仍然非常抽象。所以现在是时候介绍一个我们有解决方案的MPC真实用例：分布式密钥生成（DKG）。在本文中，我们将讲解一个非常简单且朴素的DKG协议。 假设你和你的朋友们想要共享一个加密货币钱包（或者GitHub SSH密钥，思路相同）。但是，伙伴们无法聚在一起来生成密钥，然后再将其拆分成份额。因此，你需要一种方式来生成共享密钥，同时没有任何单个人持有完整密钥。朋友群体中的阈值成员应当能够重建该密钥。 这种场景与许多真实世界用例相似。分布式密钥生成适用于： - 生成新的加密货币钱包，而不让完整私钥出现在单一位置 - 在不改变底层秘密的情况下更改秘密共享秘密的份额，这被称为份额刷新 - 在MPC协议中替换分发者（dealer） 就本文而言，我们将只关注公钥/私钥密码系统中的密钥。不过，这里的概念可以应用于任何不是密钥的底层秘密。 更正式地说，我们想要计算 key ← rG，其中 r 是 Z 中的随机整数，G 是某个生成元。具体来说，在MPC中，我们实际上想要计算 [r]G。如果你读过之前的文章，你已经有足够的知识来完成这件事。 从根本上说，我们只是在生成 [r]。由于 G 是已知的标量元素，[r]G 只是与公开常数的标量乘法。因此，只需展示如何得到 [r] 即可。 具体而言，协议如下： 1. 每一方生成自己的随机数 ri，例如通过本地机器上的TRNG或 /dev/urandom。 2. 他们将 ri 秘密共享给其他方，得到 [ri]。因此，方 i 拥有自己的 ri，以及所有 j ≠ i 的 [rj]。 3. 为了得到 [r]，每一方计算 Σ[ri]。由于加法在秘密份额上是线性的，求和不需要各方之间进行通信。 4. 然后每一方都可以自行计算 [r]G。 瞧，我们以分布式方式生成了一把密钥。 让我们把这个过程具体化。在 Z17 中运行，包含3方，阈值为2，因此每方使用一个1次多项式进行共享。 - 方1选择 r1 = 5，多项式 f1(x) = 5 + 3x。份额：f1(1) = 8，f1(2) = 11，f1(3) = 14 - 方2选择 r2 = 11，多项式 f2(x) = 11 + 7x。份额：f2(1) = 1，f2(2) = 8，f2(3) = 15 - 方3选择 r3 = 9，多项式 f3(x) = 9 + 2x。份额：f3(1) = 11，f3(2) = 13，f3(3) = 15 每一方将他们收到的份额相加： - 方1：8 + 1 + 11 = 20 = 3（mod 17） - 方2：11 + 8 + 13 = 32 = 15（mod 17） - 方3：14 + 15 + 15 = 44 = 10（mod 17） 这些正好是 f(x) = 8 + 12x 的份额，其常数项为 r = 5 + 11 + 9 = 25 = 8（mod 17）。任意两方都可以通过插值恢复 r = 8，并且每一方可以计算自己的份额乘以 G，从而共同推导出公钥 rG。没有人曾经看到过 r。 注意这个协议的几个特点： - 除了发送 ri 的份额之外，各方之间不需要通信 - 假设网络是同步的 - 假设所有方都是半诚实的 在实践中，网络是混乱且不可预测的。我们的异步DKG解决方案解决了网络异步且各方可能是恶意的情况。 立即预约演示（https://tally.so/r/1A9yOW），分发你的秘密。