Assinaturas digitais: ECDSA e Schnorr

Curiosidade

1. Como uma assinatura prova o controle de um número secreto sem revelá-lo?
2. Por que o PlayStation 3 da Sony e várias carteiras de Bitcoin para Android perderam suas chaves por causa de nonces reutilizados ou previsíveis?
3. O que torna as assinaturas Schnorr menores, mais rápidas e capazes de agregação em comparação com a ECDSA?

Explorar

1. A assinatura digital comprova a propriedade de uma chave privada sem revelá-la. No Bitcoin, para gastar um valor de transação, é necessário assinar o hash da transação com a chave privada correspondente à chave pública presente no script de bloqueio desse valor. A assinatura é verificada por qualquer pessoa que utilize a chave pública e o hash da mensagem. Esse mecanismo garante que apenas quem possui a chave possa autorizar transferências, mantendo assim a privacidade.
2. O ECDSA, padronizado na ANSI X9.62 (1999), tem sido o principal esquema de assinatura do Bitcoin desde 2009. Ele gera um par de valores (r, s) a partir do hash da mensagem e de um nonce secreto k. O valor r é a coordenada x do ponto k·G; o valor s é k⁻¹(hash + x·r) mod n, onde x é a chave privada. Como cada assinatura requer um k aleatório novo, reutilizar ou vazar o k permite que um atacante calcule diretamente a chave privada.
3. A chave de assinatura do PlayStation 3 da Sony foi comprometida em 2010, quando o fail0verflow demonstrou que a Sony reutilizava o mesmo nonce para todas as assinaturas. O Bitcoin sofreu roubos semelhantes em agosto de 2013 devido a uma falha no SecureRandom do Android, que gerava nonces previsíveis. A RFC 6979 (2013) resolveu isso ao derivar k de forma determinística a partir da chave privada e do hash da mensagem, eliminando a dependência de fontes externas de aleatoriedade.
4. As assinaturas ECDSA são maleáveis: para um determinado r, existem dois valores válidos de s (s e n−s). Terceiros poderiam substituir pela assinatura equivalente, alterando o ID da transação sem invalidá-la. A política do Bitcoin exige normalização “low-S”, restringindo s à metade inferior da ordem da curva. Essa restrição garante que cada mensagem tenha apenas uma assinatura canônica por nonce.
5. As assinaturas Schnorr, patenteadas por Claus-Peter Schnorr (patente dos EUA concedida em 1991 e expirada em 2008) e padronizadas para o Bitcoin no BIP340, geram assinaturas de tamanho fixo de 64 bytes, sem a sobrecarga da codificação DER. Elas são lineares: com um protocolo adequado, várias chaves públicas podem ser combinadas em uma única chave agregada e suas assinaturas em uma única assinatura. Isso possibilita esquemas multisig como o MuSig2, que aparecem como saídas de assinante único na cadeia, reduzindo o tamanho das transações e aumentando a privacidade.
6. O Taproot foi ativado em novembro de 2021 (bloco 709.632), introduzindo suporte nativo à assinatura Schnorr para saídas P2TR. Um gasto por meio de um caminho de chave requer apenas uma assinatura de 64 bytes em seu “witness”, em comparação com uma assinatura ECDSA de 71–72 bytes mais uma chave pública de 33 bytes no caso de gastos P2WPKH. O tamanho fixo simplifica a análise dos dados, e o Schnorr permite a verificação em lote, permitindo verificar várias assinaturas de chaves diferentes ao mesmo tempo, de forma mais rápida do que uma por uma – uma funcionalidade que o Bitcoin Core ainda não utiliza.

Fatos-chave

Exercício nove, seis, três, um

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

• BIP340: Schnorr Signatures for secp256k1 (P. Wuille, J. Nick & T. Ruffing, 2020)
• RFC 6979: Deterministic Usage of DSA and ECDSA (T. Pornin, 2013)
• A. M. Antonopoulos & D. A. Harding, Mastering Bitcoin, 3rd ed. (2023)
• fail0verflow, 'Console Hacking 2010: PS3 Epic Fail', 27C3 (December 2010)