División de la clave (key split)

Dividir la clave es repartir una clave privada (o una semilla) en varias partes, de modo que cualquier conjunto que alcance cierto umbral pueda reconstruir el secreto y uno menor no pueda. La matemática canónica es el secreto compartido de Shamir (SSS), publicado en 1979: cualesquiera k de las n partes reconstruyen el secreto, y k-1 partes no revelan absolutamente nada.

En la práctica de Bitcoin, la forma estándar es SLIP-39, que divide la semilla maestra (BIP 32) de una billetera en partes escritas como palabras de su propia lista de 1024 palabras. Es un reemplazo del BIP 39, propuesto por los mismos autores del BIP 39, no una capa encima de él: una frase existente de 12 o 24 palabras solo puede convertirse dividiendo la semilla de 512 bits que deriva de ella, lo que deja cada parte en 59 palabras, y la especificación aconseja más bien mover los fondos a una billetera SLIP-39 nueva. Trezor lo implementa de forma nativa. Configuraciones comunes: 2 de 3 o 3 de 5 partes repartidas entre distintos lugares geográficos o personas de confianza.

La advertencia crucial que casi todas las introducciones omiten: dividir la clave no es el mismo modelo de seguridad que una multisig.

• Multisig: cada cofirmante firma por su cuenta con su propia clave, y el script combina las M firmas. Ningún dispositivo tiene nunca, por sí solo, la capacidad de gastar.
• División de la clave al estilo Shamir: en el momento de firmar, el umbral de partes tiene que volver a combinarse en una sola clave privada dentro de un dispositivo, que es el que firma. Ese dispositivo tiene la clave completa por un instante.

Los esquemas de firma por umbral como FROST son un tercer modelo: la clave se divide en partes que firman cada una su pedazo, y las partes nunca se vuelven a juntar. En términos de seguridad se parecen más a una multisig, pero apenas empiezan a aparecer en las billeteras de Bitcoin.

Así que dividir la clave es excelente para repartir un respaldo en frío (ningún lugar basta por sí solo para robar la billetera), pero peor que una multisig para el uso operativo en caliente o templado (el momento de la reconstrucción es un blanco muy apetecible). Un patrón común es usar multisig para la capa operativa y reservar SSS solo para repartir el respaldo de una de las claves.