我们了解过了各种保存密钥的方法,但在这些方法里,我们总是把密钥保存在一个地方:要么锁在保险箱,要么保存在软件中或打印在纸上。这会造成一个问题:一毁俱毁。当然,我们可以为密钥建立备份,这可以降低密钥丢失或损坏的风险,但同时会增加密钥被盗的风险。那是否存在一种方法,可以使密钥的可获取性和安全性都得到提高?答案是肯定的。密码学上有一种称为密钥分存的技术,就可以做到这一点。
方法
方法如下:密钥被分成N个片段,只要我们获得其中的K个片段,就可以把原密钥重新还原。但如果获得的片段数量少于K,就无法知道关于密钥的任何信息。
要实现上述效果,把密钥简单地切分成若干片段是不行的,这样的话,每一个片段都会透露密钥的部分信息。所以,密钥分存并不是简单地切分密钥,而是将密钥转换成若干“子密钥”。
举个例子,设定N=2,K=2,意味着把想要加密的密钥(原密钥)转换成两个子密钥,只有同时获得这两个子密钥才能拼出原密钥。把原密钥称为S,S是一个很大的数字(比如128位)。然后可以随机产生另一个128位的数字R,让R作为其中的一个子密钥,那么另外一个子密钥就是S⊕R(⊕代表逻辑算符互斥,exclusive OR,或缩写成XOR,也叫异或),把S⊕R称为“密文”。然后把子密钥R和密文S⊕R保存在两个不同的地方。单独根据子密钥R或密文都无法知晓原来密钥的任何信息,但如果同时得到R和S⊕R,可以通过异或逻辑运算得到原来的密钥。
N和K相等时,总是可以这样做:对于之前的K-1个子密钥,可以生成N-1不同的随机数,最后一个子密钥就是原密钥与所有其他N-1个子密钥的异或。但如果N大于K的话,这个技巧就行不通了,需要借助其他代数方法。
在下图中是如何生成子密钥的呢?首先把S标记在Y轴上(0,S),然后经过该点画一条直线,斜率随机,接下来就可以在这条线上挑一些点,要多少有多少。这样就得到N个子密钥,并且K=2。
图4.4 密钥分存的几何示例(N=2)
S代表原密钥,被编码成一个大的整数,图中斜线的斜率随机。斜线上的点(主要是它们的Y坐标S+R,S+2R,…)代表子密钥。连接任何两个点,都可以得到S[两点连线,延长,与Y轴的交点就是S(黑点)]。若是只有一个点,又无法确定斜率(斜率随机),就无法得到S。
为什么得到两个点就可以还原原密钥呢?首先,连接两个点可以得到一条直线,这条直线和Y轴的交点就是S。然而,如果只有一个点,将得不到任何信息,由于直线斜率是随机的,所以,通过该点的任何直线都有可能是生成子密钥所采用的那条直线,但所有直线和Y轴的交点都不同。
上述方法中有一点很精妙:要让这个方法在数学上行得通,需要找一个足够大的素数P取模。P不需要和原密钥有任何关系,只需要足够大就可以。S的值在0和P-1之间(含0和P-1)。上文中说通过S画直线并在直线上挑选一些点,实际操作时,其实是生成一个介于0到P-1的随机数R,并生成下列点:
x=1,y=(S+R)mod P
x=2,y=(S+2R)mod P
x=3,y=(S+3R)mod P
原密钥对应的坐标为x=0,y=(S+0×R) mod P,其实就x=0,y=S。
上述方法在K=2,N为任意数字的情况下都有效,例如,如果N=4,就是生成4个子密钥,并保存在4个不同的设备里。万一有人偷了其中的一个,他对密钥仍一无所知。即使丢了两个子密钥,你也仍然可以通过另外两个子密钥来得到原密钥。
上述方法可以进一步扩展:可以用任何的K和N(只要保证K<N)来实现密钥分存。在上图中用一条直线进行密钥分存,在代数中,直线就是自由度为1的多项式。如果K=3,就要用抛物线来实现,抛物线是自由度为2的多项式。可以用下表中所示公式来表达这一递进系列。
密钥分存的数学原理
注意,如果使用自由度为k-1的曲线上的若干点来进行密钥分存,那么,为了还原原密钥,至少需要得到K个点的数据。
数学上,拉格朗日公式表明,如果要回归一条自由度为k-1的曲线,需要获得至少K个点。最简单的例子就是,用尺子连接两个点,就可以得到一条直线。因此,如果将原密钥转换成N个子密钥,除非黑客获得了K-1个子密钥,否则原密钥就是安全的,换个说法,最多可以承受N-K个子密钥被泄露。
当然,密钥分存并不是比特币的专用技术。你可以将你的密码进行密钥分存,然后把子密钥告诉你的朋友,或把它们放在不同的地方。但实际上并不会有人真的这么做,一方面这么做不太方便,另一方面,目前市场上也有其他的安全机制,例如使用短信进行双重验证。但对于比特币而言,如果你选择本地保存密钥,那么双重验证等安全机制就不适用了,我们无法通过短信验证码的方式来控制比特币账户。