[论文解读] Decentralized Certificate Authorities

Bargav Jayaraman, Hannah Li+1 more|arXiv (Cornell University)|Jun 11, 2017

Cryptography and Data Security参考文献 51被引用 7

一句话总结

本文提出了一种去中心化的证书颁发机构（DCA）模型，利用安全多方计算（MPC）将CA的私钥签名密钥拆分至多个参与方，确保密钥从未以明文形式重建。通过利用通用MPC协议——特别是针对secp192k1曲线上的ECDSA——该系统实现了无需暴露私钥的联合证书签名，原型实现表明其具备可行性与实用性，性能开销可接受。

ABSTRACT

The security of TLS depends on trust in certificate authorities, and that trust stems from their ability to protect and control the use of a private signing key. The signing key is the key asset of a certificate authority (CA), and its value is based on trust in the corresponding public key which is primarily distributed by browser vendors. Compromise of a CA private key represents a single point-of-failure that could have disastrous consequences, so CAs go to great lengths to attempt to protect and control the use of their private keys. Nevertheless, keys are sometimes compromised and may be misused accidentally or intentionally by insiders. We propose splitting a CA's private key among multiple parties, and producing signatures using a generic secure multi-party computation protocol that never exposes the actual signing key. This could be used by a single CA to reduce the risk that its signing key would be compromised or misused. It could also enable new models for certificate generation, where multiple CAs would need to agree and cooperate before a new certificate can be generated, or even where certificate generation would require cooperation between a CA and the certificate recipient (subject). Although more efficient solutions are possible with custom protocols, we demonstrate the feasibility of implementing a decentralized CA using a generic two-party secure computation protocol with an evaluation of a prototype implementation that uses secure two-party computation to generate certificates signed using ECDSA on curve secp192k1.

研究动机与目标

• 为解决传统证书颁发机构（CA）中因私钥被攻破而破坏TLS信任机制的单点故障问题。
• 通过将私钥份额分发至多个实体，降低内部滥用、意外签发或外部入侵的风险。
• 支持新型信任模型，包括CA与域名所有者之间的联合签名，或多个CA之间的联合签名，提升可问责性与共识机制。
• 证明可使用通用MPC协议实现ECDSA基础的证书签名，而无需定制协议设计。

提出的方法

• 将私钥签名密钥拆分为份额，并分发至两个或更多参与方，确保任一参与方均无法持有完整密钥。
• 使用通用两方安全计算协议（Yao的混淆电路或双执行）执行ECDSA签名，而无需在明文形式下重建私钥。
• 在Obliv-C（一种安全计算框架）中实现签名过程，使用obig算术类型处理大整数，并通过不经意I/O处理秘密输入。
• 在签名前以明文形式协商并验证待签名消息（tbsCert哈希），以确保输入一致性。
• 使用秘密共享技术合并私钥份额与随机数份额，以计算签名分量r和s。
• 仅向双方公开最终签名（r, s）和零校验结果，同时保持所有中间值与输入内容的私密性。

实验结果

研究问题

• RQ1 能否通过安全多方计算消除传统证书颁发机构中因私钥管理集中化而导致的单点故障？
• RQ2 与定制化优化协议相比，使用通用MPC协议实现ECDSA签名在实际应用中是否可行？
• RQ3 在真实世界部署场景中，使用MPC进行证书签名的性能特征与开销如何？
• RQ4 MPC签名是否能够支持新型信任模型，例如CA与域名所有者之间的联合签名，或多个独立CA之间的联合签名？
• RQ5 该系统如何在不修改客户端信任库的前提下，与现有TLS和PKI生态系统集成？

主要发现

• 原型实现成功使用通用MPC协议在secp192k1曲线上执行了ECDSA签名，证明了去中心化证书颁发机构的可行性。
• 通过确保密钥份额始终处于加密状态，并仅在MPC协议内部组合，系统可防止任何参与方以明文形式获取私钥签名密钥，即使其被攻破。
• 性能开销在可接受范围内：在通用硬件上，每方签名证书耗时约10–15秒，表明该方法适用于实际部署。
• 该方法支持多种信任模型，包括仅CA参与的密钥共享，以及CA与组织联合签名，显著提升了安全性和可问责性。
• 该方案可适配其他密码学协议，并可通过现有MPC技术（如Araki等人提出的方法）扩展至三个或更多参与方。
• 该系统可与现有PKI机制（如证书透明度和公钥固定）结合，以应对客户端信任部署的挑战。