Resumo

  • A RFC 9591 coordena compromissos e parcelas de assinatura em duas rodadas e entrega uma assinatura (R, z) verificável pela chave pública do grupo.
  • A saída não carrega os nomes dos participantes, as parcelas individuais nem a decisão de negócio. A atribuição depende de identidade autenticada, transcript íntegro e política versionada.

Uma única prova saiu de várias máquinas

Em um esquema de limiar, nenhum participante precisa manter sozinho o segredo coletivo. Um subconjunto suficiente usa suas parcelas para produzir contribuições que o coordenador agrega. Para quem recebe o resultado, porém, a experiência pode ser igual à verificação de uma assinatura Schnorr comum. Algumas suítes FROST inclusive geram assinaturas compatíveis com Ed25519 ou Ed448.

Essa normalidade externa é útil. Sistemas existentes não precisam aprender a estrutura interna do grupo. Mas ela também limita o que a assinatura consegue testemunhar. A equação confirma grupo, mensagem e resultado. Não revela se participaram os membros A, C e E, se o coordenador escolheu outro conjunto permitido ou se cada membro examinou o mesmo pedido operacional.

O limiar criptográfico não é, por si só, quórum societário. Transformá-lo em aprovação exige uma regra institucional e um recibo de execução.

A seleção acontece antes da matemática

Cada participante recebe um identificador escalar distinto, uma parcela secreta e uma parcela pública de verificação. O grupo compartilha uma chave pública. Em cada execução, o coordenador escolhe ao menos o número mínimo de participantes, distribui mensagens, agrega as respostas e publica a assinatura.

A RFC diz que tanto o coordenador quanto o conjunto de signatários são escolhidos externamente. Também é possível eliminar o coordenador único e fazer todos trocarem dados. Mesmo assim, a aplicação ainda decide elegibilidade, limiar, mensagem, prazo e condição de liberação.

Um identificador criptográfico não registra cargo, procuração, vínculo empregatício ou conflito de interesses. A associação entre parcela e principal precisa ter emissor, versão, vigência e revogação. Sem isso, uma chave tecnicamente ativa pode representar uma autoridade organizacional já encerrada.

Compromissos de uma rodada não servem para a próxima

Na primeira rodada, cada membro cria dois nonces secretos e publica dois compromissos. Na segunda, recebe a mensagem e a lista completa e ordenada de compromissos. A chave do grupo, essa lista, a mensagem e o identificador individual entram no cálculo do fator de vinculação e da parcela final.

Os nonces são estado descartável. A RFC proíbe seu reuso e exige exclusão depois de sign. Reaproveitá-los pode permitir a recuperação completa da parcela secreta. Um mecanismo de failover que repõe um snapshot antigo de nonces não é apenas um problema contábil; pode quebrar a chave que deveria proteger.

Há também uma garantia sobre a composição. A RFC não recomenda uma otimização mais rápida porque ela elimina a certeza de que o conjunto que iniciou a primeira rodada é o mesmo que concluiu a segunda. Uma medição de desempenho que omita esse custo não descreve a decisão inteira.

O agregador conhece mais do que o verificador final

Antes de somar as parcelas, o coordenador pode verificar cada uma contra a chave pública individual, os compromissos, a lista completa, a mensagem e a chave grupal. Se a assinatura agregada falhar, essa verificação ajuda a apontar quem enviou uma parcela inválida. Para atribuir a origem, o canal precisa ser autenticado.

Depois da soma, restam R e z. O formato final não inclui participantes, compromissos, parcelas, limiar ou decisões locais. A compactação não é reversível. Se a organização apaga o transcript, a assinatura válida não reconstrói quem participou.

O silêncio também não é uma parcela inválida. FROST não identifica por conta própria quem se recusou a responder. A aplicação pode registrar entrega e prazo, mas não deve transformar ausência em prova de intenção. A ação corretiva sobre participantes problemáticos fica fora do protocolo.

Calcular sobre a mensagem não autoriza o conteúdo

A RFC recomenda validação específica do aplicativo para que os participantes não virem oráculos de assinatura. Uma transação pode exigir verificação de formato e de intenção dos interessados. Um uso em TLS pode exigir as mensagens originais do handshake antes de confiar no hash do transcript.

Logo, uma parcela válida demonstra o uso da parcela secreta nos bytes fornecidos. Ela não demonstra que a tela exibiu o mesmo objeto, que a política vigente permitia o ato, que o operador tinha mandato atual ou que o sistema de destino executará exatamente o que foi revisado.

O registro defensável relaciona objeto canônico, mensagem assinada, política e versão, decisão local, identidade do participante, validação da parcela, agregação, publicação e efeito. Chamar tudo isso de “assinatura aprovada” destrói as diferenças que uma investigação precisará.

Aborto identificável não é robustez

Uma parcela malformada pode ser localizada, mas um participante pode impedir o resultado ao não colaborar. A RFC 9591 declara que FROST não oferece robustez. ROAST é um protocolo de envolvimento separado para necessidades assíncronas mais resistentes. Também não há segurança pós-quântica: FROST depende da dificuldade do logaritmo discreto.

O documento é Informacional da IRTF e expressa consenso do CFRG. Não é padrão IETF nem ordem de implantação. Vetores de teste e suporte em biblioteca comprovam interoperabilidade limitada; não provam cadastro, canal, nonce, política, arquivo ou ação em produção.

Pela primazia do código em execução de Lu Heng, o fato deve permanecer do tamanho da observação. “Assinatura válida” é realidade criptográfica. “Conselho autorizou” é uma afirmação de mandato. A segunda só é executável quando a organização preserva identidade, regra e consequência.

Fontes