联邦分布式密钥生成

《Future Generation Computer Systems》：Federated Distributed Key Generation

联邦分布式密钥生成（FDKG）通过让每个参与者自主选择守护集和本地阈值，解决传统DKG在动态参与和异构信任中的不足，支持任意子集生成密钥并适应节点不可用性，适用于区块链和投票场景。

　　分布式密钥生成（Distributed Key Generation, DKG）是现代密码学中一种关键的技术，它允许一组互不信任的参与者共同创建一个公钥/私钥对，并通过阈值共享的方式将私钥分散存储。这种机制广泛应用于多个领域，包括去中心化资产托管和钱包、验证者/委员会密钥仪式、跨链桥接、阈值签名、安全多方计算（Secure Multi-Party Computation, MPC）以及互联网投票等场景。DKG的核心理念是通过分布式方式消除单一实体作为关键节点的风险，从而提高系统的安全性和可用性。

然而，传统的DKG协议，如经典的（t, n）-DKG，存在一些显著的局限性。这类协议通常要求预先确定参与者的数量n，并基于此设定全局阈值t。在这些协议中，参与者必须在规定时间内完全参与，否则整个密钥生成过程将无法完成，或者需要重新配置和重启，这在时间敏感的环境中可能会造成严重的延迟或失败。此外，传统DKG假设所有参与者之间具有相同的信任水平，即所谓的“同质信任”（homogeneous trust），这种设定忽略了实际网络中可能存在的信任差异和动态变化，限制了其在复杂场景中的适用性。

为了解决这些问题，本文提出了一种新的协议——联邦分布式密钥生成（Federated Distributed Key Generation, FDKG）。FDKG借鉴了联邦拜占庭协议（Federated Byzantine Agreement, FBA）的思想，允许参与者在不确定的参与环境下进行密钥生成，并支持不同信任水平的参与者。每个参与者可以选择自己的“守护者集合”（guardian set）G_i，该集合包含k个其他参与者，同时定义一个本地阈值t，用于确保其部分私钥可以被守护者集合中的至少t个成员恢复。这种方式使得FDKG能够灵活适应不同场景，例如在公链或临时网络中，参与者数量可能不确定，而FDKG则可以动态处理这些情况，避免因参与者的缺席而导致整个系统的失败。

在FDKG中，参与者可以自由选择是否加入密钥生成过程，无需预先确定所有参与者。这种“可选参与”（optional participation）机制大大提高了用户体验，减少了不必要的交互，同时也避免了因实际参与人数与预期不符而导致的系统重启和参数重新配置。此外，FDKG允许每个参与者根据自身需求和信任关系构建不同的守护者集合，从而形成了一个“异质信任”（heterogeneous trust）模型。这一特性使得FDKG能够更好地适应现实世界中信任结构的多样性和动态性，例如在某些情况下，参与者可能更信任特定的节点，而这些节点则可以作为其守护者。

FDKG还具有良好的容错能力，特别是在节点不可用的情况下。通过守护者集合的本地阈值机制，即使某个参与者本身无法提供其部分私钥，只要其守护者集合中有足够的诚实成员，该部分私钥仍可以被成功恢复。这种机制显著提高了系统的可用性，使其能够在参与者数量波动或部分节点失效的情况下继续运行。例如，在一个时间敏感的披露场景中，举报人希望在限定时间内将文件发送给尽可能多的独立记者，而传统DKG则要求所有记者必须在线参与，否则整个过程将失败。相比之下，FDKG允许举报人基于实际参与情况动态生成密钥，从而避免了因少数记者未能及时响应而导致的系统中断。

在实际应用中，FDKG的灵活性和容错性使其成为许多新兴应用场景的理想选择。例如，在互联网投票系统中，FDKG可以用于构建一个分布式密钥管理系统，确保选举结果的机密性和可验证性。通过将私钥分散存储在参与者及其守护者集合中，FDKG能够有效防止密钥被单点攻击或集中控制，同时支持多个参与者的独立验证，确保整个系统的透明性和公正性。此外，FDKG还可以与其他密码学技术结合，如零知识证明（Zero-Knowledge Proof, ZKP）和阈值加密（Threshold Encryption），以进一步增强系统的安全性和效率。

为了确保FDKG的安全性，本文进行了详细的分析。在密钥生成阶段，FDKG达到了正确性（correctness）、隐私性（privacy）和鲁棒性（robustness）的要求。正确性意味着所有合法参与者都能成功生成并分发他们的部分私钥，而隐私性则保证了即使某些参与者被攻击者控制，他们的部分私钥也不会被泄露。鲁棒性则确保了即使部分参与者未能完成整个生成过程，整个密钥生成仍然可以继续进行，只要满足一定的条件。在密钥恢复阶段，FDKG提供了活跃性（liveness）和隐私性（privacy）的保障。活跃性意味着只要每个参与者及其守护者集合中至少有k?t+1个成员未被攻击者控制，密钥就可以被成功恢复。隐私性则要求除非攻击者本身具备密钥恢复能力，否则无法获取任何参与者的部分私钥。

在具体实现方面，FDKG的通信成本和计算成本是其重要考量因素。以一个实际场景为例，当n=100个潜在参与者中，有50个实际参与（|D|=50），每个参与者选择40个守护者（k=40），并且有80%的参与者在计票阶段保持在线（retention rate=80%），FDKG的密钥生成过程需要广播约336 kB的数据，而密钥恢复过程则需要约525 kB的数据。对于每个参与者而言，密钥生成阶段的客户端Groth16证明时间约为5秒，而密钥恢复阶段的证明时间则根据实际披露的份额数量在0.6到29.6秒之间变化。这些数据表明，FDKG在中等规模的场景中具有较高的效率，但在大规模或时间敏感的应用中可能面临一定的挑战。

FDKG的设计不仅在理论上具有创新性，而且在实践中也展现出良好的适应性和可行性。例如，在一个典型的互联网投票应用中，FDKG可以用于构建一个基于阈值ElGamal加密的密钥生成系统。该系统允许所有合法投票者共同生成一个公钥，并将私钥分布式存储在各自的守护者集合中。投票结果可以通过这些守护者集合中的成员进行验证和计票，从而确保选举的透明性和安全性。此外，FDKG还可以与其他技术如非交互式零知识证明（NIZK）结合，以实现更高的可验证性和更低的计算开销。

在部署方面，FDKG对网络环境的适应性较强。它仅需要一个共享的通信空间（如消息板），参与者可以在其中公开发布和读取消息。这种特性使得FDKG可以应用于多种不同的场景，包括公共区块链、临时网络以及去中心化应用（DApps）。在公共区块链上，FDKG可以通过智能合约实现，从而确保所有参与者的行为受到链上规则的约束。此外，一些区块链平台如ERC-4337（账户抽象）可以进一步简化FDKG的部署，使参与者能够更加便捷地加入和退出密钥生成过程。

尽管FDKG在多个方面展现了优势，但它仍然存在一些局限性。例如，FDKG的计算开销相对较高，尤其是在需要生成和验证零知识证明的情况下。虽然Groth16证明系统在中等规模的场景中表现良好，但在大规模或时间敏感的应用中，可能会面临性能瓶颈。此外，FDKG的安全性依赖于守护者集合的结构和信任关系，如果守护者集合中的成员被攻击者控制，可能会对整个系统的安全性产生影响。因此，如何选择合适的守护者集合，以及如何在实际部署中确保其安全性，是未来研究的一个重要方向。

总的来说，FDKG作为一种新型的分布式密钥生成协议，为解决传统DKG在动态参与环境中的不足提供了新的思路。它通过引入守护者集合和本地阈值机制，实现了更灵活、更安全的密钥管理方式。同时，FDKG在实际应用中的表现也证明了其在去中心化系统中的可行性。未来的研究可以进一步优化FDKG的性能，探索其在更大规模网络中的适用性，并结合其他先进的密码学技术，以提升其在各种应用场景中的安全性和效率。