Multisig:Više ključeva umesto jedne fraze

Najvažnije u nekoliko reči:

Fraza za oporavak je ceo novčanik. Ko je nađe, ima tvoje bitcoine, a ko je izgubi, ostaje bez njih, kako objašnjava tekst Privatni i javni ključevi. Sve stoji na jednom papiru, na jednom mestu.

Multisig (novčanik sa više ključeva) to menja. To je novčanik kod koga bitcoine čuva više ključeva, a za slanje je potreban unapred dogovoren broj potpisa. Zapisuje se kao „m od n“, gde je n broj ključeva, a m broj potpisa koji je potreban.

Kasa koja se otvara sa bilo koja dva od tri ključa

Zamisli kasu sa tri brave i tri različita ključa. Jedan ključ držiš kod kuće, drugi u sefu banke, treći kod rođaka. Kasa se otvara kad se okrenu bilo koja dva ključa. Jedan ključ sam ne otvara ništa.

Novčanik 2 od 3 radi isto. Izlaz transakcije obično kaže koji ključ sme da ga potroši. Ovde izlaz nosi tri javna ključa i broj potrebnih potpisa. Da bi ga potrošio, novčanik mora da donese dva ispravna potpisa, napravljena sa dva od tri privatna ključa, a svaki čvor to proverava (BIP 11).

Svaki ključ ima svoju frazu za oporavak i, najbolje, svoj uređaj, na primer svoj hardverski novčanik. Lopov tako mora da dođe do dva mesta, a ne do jednog.

Ideja je skoro stara koliko i Bitcoin. Naredba za proveru više potpisa već je postojala kad je predlog BIP 11 u oktobru 2011. uveo „m od n“ kao običnu vrstu transakcije. Jedan od primera u njemu je posao sa posrednikom, gde od kupca, prodavca i posrednika bilo koja dva odlučuju kome ide novac (BIP 11).

Od 1. aprila 2012. ceo uslov može da stoji iza kratke adrese koja počinje sa 3, pa onaj ko ti šalje ne mora da zna koliko ključeva imaš (BIP 16). Danas isti uslov može da stoji i iza SegWit adrese sa bc1q (BIP 141) i iza Taproot adrese sa bc1p (BIP 342).

Šta se desi kad nestane ili bude ukraden jedan ključ

Kod jedne fraze odgovor je kratak. Izgubljena fraza znači izgubljen novac čim i uređaj otkaže, a nađena fraza znači ukraden novac.

Kod novčanika 2 od 3 ima četiri slučaja:

Zato dva ključa nikad ne stoje na istom mestu.

Zašto se fraza ne seče na delove

Mnogi se dosete jednostavnijeg rešenja. Frazu od 24 reči iseceš na tri kartice po osam reči i čuvaš ih na tri mesta. Lopov sa jednom karticom nema celu frazu, pa to deluje kao multisig. Ali nije.

Svaka reč fraze nosi 11 bita, jer na spisku ima 2.048 reči. Fraza od 24 reči nosi 264 bita, od toga 256 nasumičnih i 8 bita kontrolnog zbira, koji se računa heširanjem nasumičnog dela i stoji u poslednjoj reči (BIP 39). Svaka reč koju lopov nađe je 11 bita koje više ne mora da pogađa.

Tri kartice po osam reči imaju još jednu manu. Treba ti sve tri, pa svaka izgubljena kartica ugrožava ceo novac. Zato se podela često pravi kao 2 od 3, kao u tabeli. Svaka kartica nosi 16 reči, a bilo koje dve zajedno nose svih 24.

Izgubljena kartica tada nije problem. Ali jedna kartica u tuđim rukama sada otkriva dve trećine fraze. Lopovu fali samo osam reči, a to je 2.048⁸ = 2⁸⁸ kombinacija. Kontrolni zbir od 8 bita propušta samo jednu od 256 kombinacija, pa ostaje 2⁸⁰ ispravnih fraza. Kad lopovu fali poslednja trećina, taj broj je tačan, a inače je prosečan.

Cela fraza od 24 reči ima 2²⁵⁶ mogućnosti, a fraza od 12 reči 2¹²⁸. Tih 2¹²⁸ je, kako piše tekst o ključevima, i mera bezbednosti same krive na kojoj Bitcoin počiva. Lopovu sa jednom karticom od 16 reči ostaje oko 2⁸⁰, a to je 2⁴⁸ puta manje od 2¹²⁸, oko 281 hiljadu milijardi puta. Taj broj je i dalje veliki, ali od zaštite cele fraze ostao je samo deo. Lopov sa jednim ključem multisiga, za poređenje, i dalje mora da pogodi ceo drugi ključ.

Ni tri kartice po osam reči nisu bolje. Jedna kartica lopovu ostavlja oko 2¹⁶⁸ mogućnosti, što je i dalje mnogo. Ali dve kartice ostavljaju isto, oko 2⁸⁰.

Izgubljen deo može da odnese celu frazu

Kod tri kartice po osam reči jedna izgorela kartica te stavlja tačno tamo gde je lopov sa dve kartice. Fali ti osam reči i pred tobom je oko 2⁸⁰ mogućnosti. Podela je napravila tri mesta na kojima novac može da propadne, umesto jednog.

Kod multisiga 2 od 3 izgubljen ključ ne otkriva ništa. Svaki ključ je nastao iz svog nasumičnog broja, pa jedan ključ ništa ne govori o druga dva. Lopov sa jednim ključem nema „dve trećine“ novčanika. Nema ništa što može da potroši.

Shamirova podela deli tajnu ispravno, ali je sklapa na jednom mestu

Postoji i matematički ispravan način da se jedna tajna podeli. To je Shamirova podela tajne (engl. Shamir's secret sharing), nazvana po kriptografu Adiju Šamiru (Adi Shamir). Za novčanike je opisana u standardu SLIP-0039 iz 2017. Tajna se deli na više delova, a za vraćanje treba unapred određen broj njih. Ko ima manje delova od toga, o tajni ne saznaje ništa (SLIP-0039). Tu je velika razlika od isečene fraze, gde svaki deo otkriva svoje reči.

Delovi se zapisuju rečima sa drugog spiska, od 1.024 reči, po 20 ili 33 reči u delu. Sam standard kaže da sa BIP 39 uglavnom nije usaglašen (SLIP-0039). Fraza od 12 ili 24 reči i Shamirovi delovi se ne mešaju, a program mora da podržava baš taj standard.

Važnije je ono što se dešava pri vraćanju. Delovi se unose u jedan uređaj i tajna na njemu opet postoji cela. Ko u tom trenutku vlada uređajem, vlada i novcem. Kod multisiga se to ne dešava. Svaki ključ potpisuje na svom uređaju, a u transakciji se sreću samo potpisi.

Shamirova podela ima i prednosti. Novčanik posle vraćanja je običan novčanik sa jednim ključem, pa je i naknada ista kao za jedan ključ, a uz delove ne treba čuvati ništa drugo.

Uz multisig se čuva i opis novčanika

Kod multisiga same fraze nisu cela rezervna kopija. Adresa novčanika 2 od 3 nastaje iz sva tri javna ključa i broja potrebnih potpisa (BIP 67). Ko ima dva ključa, a nema javni ključ trećeg, ne može ni da nađe svoje adrese.

Zato se uz ključeve čuva i opis novčanika (engl. output descriptor). To je kratak zapis koji kaže koji su javni ključevi, koliko potpisa treba i koja je vrsta adrese, na primer wsh(sortedmulti(2,…)) (BIP 383, BIP 380). Opis ne daje pristup novcu, ali otkriva sve adrese, kao prošireni javni ključ. Kako se čuva i gde multisig ume još da zakaže, tema je sledećeg teksta o multisigu.

Kada multisig ima smisla, a kada ne

Multisig nije besplatan. Kod SegWit novčanika 2 od 3 svako trošenje nosi dva potpisa i skriptu sa sva tri javna ključa, pa je transakcija veća. Uplata sa jednim ulazom, uplatom i kusurom iz novčanika sa jednim ključem ima 141 virtuelni bajt, kao u tekstu SegWit nadogradnja. Ista uplata iz SegWit novčanika 2 od 3 (adresa bc1q) ima 189 virtuelnih bajtova, 34% više.

Pri izmišljenoj naknadi od 10 satošija po virtuelnom bajtu razlika je 0,0000048 bitcoina (480 satošija), oko 42 dinara po ceni i kursu od 21.10.2026. Broj smo izračunali po pravilima težine transakcije i proverili na stvarnoj uplati iz novčanika 2 od 3 iz bloka 974.100.

Veća briga od naknade je složenost. Umesto jedne fraze čuvaš tri, svaku na svom mestu, i opis novčanika uz njih. Svaka greška u tom planu može da zaključa tebe, a ne lopova.

Naše mišljenje. Za manji iznos i prve korake dovoljan je jedan hardverski novčanik sa dobro čuvanom frazom, uz passphrase ako ti treba još jedan sloj. Multisig ima smisla za iznos čiji bi gubitak zaista boleo, za ušteđevinu koju čuvaš godinama, i kad hoćeš da nijedno mesto i nijedan uređaj ne nose sve. Frazu ne bismo sekli na delove ni u jednom slučaju.

Praktičan savet. Pre većeg iznosa probaj ceo put malim. Napravi novčanik 2 od 3, pošalji mu mali iznos i potroši ga potpisima sa dva uređaja. Ponovi to sa drugim parom ključeva, da znaš da rade sva tri. Kako se proverava fraza, piše u tekstu Bitcoin novčanici, Kod multisiga probaj i vraćanje. Iz dve fraze i opisa novčanika treba da vidiš isti mali iznos.

Šta iz ovoga sledi za tebe

Ključne lekcije:

Šta dalje?

Sledeći tekst, Multisig i najslabija karika: gde novčanik sa više ključeva zakaže, ide kroz mesta na kojima multisig najčešće puca: opis novčanika, program koji povezuje uređaje, ključeve na istom mestu i nasleđivanje.

Jedan ključ je jedno mesto na kome sve pada. Sa dva od tri ključa jedna nezgoda nije kraj.