Shamir's Secret Sharing und Drops hybrides Modell
Wie ein Wallet deinen Schlüssel schützt, sieht nach einer technischen Entscheidung aus. Es ist auch eine Entscheidung über Menschen: wer dein Geld bewegen kann, wer es verlieren kann und wem du vertrauen musst. Technische Entscheidungen sind moralische Entscheidungen.
Die Seite Sicherheitsmodell beschreibt, wie Drop deinen Schlüssel schützt. Diese Seite behandelt eine Entscheidung dahinter: warum wir Shamir's Secret Sharing, das gängigste Verfahren zum Aufteilen eines Schlüssels, nicht verwenden und was diese Entscheidung kostet.
Shamir's Secret Sharing in Kürze
Shamir's Secret Sharing (SSS) teilt einen privaten Schlüssel in Teile, sogenannte Anteile, und lässt dich wählen, wie viele davon nötig sind, um ihn wiederherzustellen, zum Beispiel beliebige 2 von 3. Wer weniger besitzt, erfährt nichts über den Schlüssel, und ein Anteil kann verloren gehen, ohne dass der Schlüssel verloren ist. Das Verfahren stammt aus dem Jahr 1979 und wird in der gesamten Branche eingesetzt.
Ein typisches SSS-Wallet hält einen Anteil auf deinem Gerät, einen beim Anbieter und einen Wiederherstellungsanteil, den du selbst aufbewahrst.
Drop teilt einen Schlüssel stattdessen in zwei Anteile, und beide werden immer benötigt. Anders als bei SSS gibt es keinen zusätzlichen Anteil, mit dem sich der private Schlüssel rekonstruieren ließe.
Drei Entscheidungen
Wer bewahrt den Ersatzanteil auf?
Bei SSS du. Dass ein Anteil verloren gehen darf, ist der größte Vorzug des Verfahrens, und das setzt einen Ersatz voraus, der irgendwo liegt: eine Datei, ein Cloud-Speicher, ein ausgedruckter Code. Das ist eine weitere Sache, die du verlieren kannst oder die durchsickern kann.
Bei Drop gibt es keinen Ersatzanteil und nichts Zusätzliches, das du aufbewahren musst.
Der Preis: Einen Anteil zu verlieren ist keine Option, also liegt die Sicherung bei uns und bei deinem zweiten Gerät.
Wer wird gefragt, wenn etwas gestohlen wird?
Bei SSS womöglich niemand. Landet der Wiederherstellungsanteil neben dem Geräteanteil, auf demselben Telefon, in demselben Cloud-Konto oder Laptop-Backup, dann hat jeder, der an diesen einen Ort gelangt, den ganzen Schlüssel. Es gibt keinen Freigabeschritt, kein Limit und keine Warnung, weil zwei Anteile genügen.
Bei Drop reicht eine kopierte Datei oder ein gestohlenes Backup nie aus. Mit einem unterstützten Passkey ist der Anteil auf deiner Seite ohne diesen Passkey nutzlos, und unser Dienst gibt den anderen Anteil nur für eine Anfrage frei, die dein Passkey bestätigt hat.
Wie viel kann in der Arithmetik schiefgehen?
Bei SSS mehr, als man erwarten würde. Es beruht auf Arithmetik, die Raum für Fehler lässt, die gewöhnliche Tests nicht finden. Ein unabhängiges Audit der Open-Source-Bibliothek von Privy, die sorgfältig gebaut und weit verbreitet ist, ergab, dass in manchen Fällen weniger Anteile als vorgesehen einen Teil eines Geheimnisses wiederherstellen konnten. Privy hat das behoben und offen darüber geschrieben. SSS kann außerdem nicht erkennen, dass ein Anteil falsch ist: Wird ein fehlerhafter kombiniert, entsteht ohne Warnung ein anderer Schlüssel.
Bei Drop werden die zwei Anteile auf die einfachste Weise kombiniert, die es gibt. Das bewahrt die Eigenschaft, für die SSS geschätzt wird, nämlich dass ein Anteil allein nichts verrät, bei deutlich weniger Fehlerquellen. Drop prüft außerdem, ob der wiederhergestellte Schlüssel zur Adresse deines Wallets passt, bevor er verwendet wird.
Der Preis: Flexibilität. „Beliebige 2 von 3“ ist genau das, was die zusätzliche Arithmetik erkauft.
Wie wir den Preis abfedern
- Drei Sicherungskopien auf unserer Seite. Wir halten derzeit drei Sicherungskopien der verschlüsselten serverseitigen Anteile vor und erweitern das möglicherweise um weitere Replikate: eine in einer Backup-Datenbank, eine in einer Datenbank in einem getrennten und isolierten AWS-Konto und eine auf Offline-Hardware
- Ein zweites Gerät auf deiner Seite. Kopple eines mit Passkey sichern, damit dich der Verlust eines Geräts nicht aussperrt
- Ein Ausweg. Du kannst deinen privaten Schlüssel jederzeit exportieren. Von da an liegt der Schutz dieser Kopie allein bei dir