Technische Samenvatting: PIVOT – Proactieve en Verifieerbare Drempelwaarde Oblivious Pseudorandom Functions uit Isogenie Groepsacties

1. Probleemstelling

Oblivious Pseudorandom Functions (OPRFs) stellen een cliënt in staat om een met een sleutel gekoppelde functie te evalueren op een private input zonder de input aan de server te onthullen. In een threshold OPRF (drempelwaarde OPRF) is de geheime sleutel verdeeld over $n$ servers, waarbij ten minste $t$ servers nodig zijn om de evaluatie uit te voeren. Terwijl standaard drempelwaardeschema's bescherming bieden tegen statische corruptie (waarbij een vaste set servers gecompromitteerd is), falen ze tegen een mobiele tegenstander. In een mobiel dreigingsmodel kan een aanvaller over de tijd heen verschillende servers compromitteren en shares verzamelen uit verschillende epochs. Als shares statisch blijven, kan een tegenstander uiteindelijk $t$ shares verzamelen uit dezelfde deelingsstatus en de master sleutel reconstrueren, zelfs als hij nooit gelijktijdig $t$ servers onder controle heeft.

Bestaande isogenie-gebaseerde threshold OPRFs zijn primair ontworpen voor statische corruptiemodellen. Bovendien laten bestaande proactieve secret sharing-mechanismen in klassieke groepen zich niet gemakkelijk vertalen naar de isogenie-setting vanwege de noodzaak om polynoomcommittments (in het scalaire veld) te koppelen aan isogenie groepsacties (op elliptische curves). Er is een gebrek aan een constructie die gelijktijdig biedt:

1. Post-quantum veiligheid (gebaseerd op isogenieën).
2. Verifieerbaarheid (waarborgen dat servers evalueren onder de juiste sleutel).
3. Proactieve veiligheid (het periodiek verversen van shares om mobiele tegenstanders te dwarsbomen).
4. Dealerless sleutelgeneratie (geen vertrouwde setup).
5. Committee migratie (het wijzigen van de servergroep of drempelwaarde zonder de applicatiegegevens opnieuw te versleutelen).

2. Methodologie en Constructie

Het artikel introduceert PIVOT (Proactive Isogeny-based Verifiable Oblivious Threshold PRF), een framework gebouwd op effectieve isogenie groepsacties (bijv. CSIDH). De kernalgebraïsche structuur berust op de commutatieve eigenschap van isogenie-acties: $[a]([b]E) = [a+b]E$.

Kernarchitectuur

PIVOT onderhoudt een enkele langdurige master sleutel $k$ en een publieke sleutel $pk = [k]E_0$. Echter, de representatie van $k$ verandert in de loop van de tijd. Het systeem werkt in epochs. In epoch $e$ houden de servers shares $s^{(e)}_i = F_e(i)$ van een Shamir-polynoom $F_e(X)$ waar $F_e(0) = k$. De publieke coëfficiënt commitment vector $A^{(e)}$ certificeert het polynoom $F_e$.

Het protocol bestaat uit vijf hoofdprocedures:

1. Dealerless Distributed Key Generation (DKG):

   • Elke server fungeert als een Verifiable Secret Sharing (VSS) dealer, die een willekeurig polynoom samplet en shares distribueert.
   • Gekwalificeerde bijdragen worden geaggregeerd om de initiële master polynoom $F_0(X) = \sum f_j(X)$ te vormen.
   • Link Proofs: Een cruciale innovatie is het gebruik van Non-Interactive Zero-Knowledge (NIZK) bewijzen om de constante term van het gecommitteerde polynoom (de scalaire share) te koppelen aan de exponent die wordt gebruikt in de sequentiële isogenie actieketen die de publieke sleutel $pk$ genereert. Dit zorgt ervoor dat de publieke sleutel overeenkomt met het gedeelde geheim zonder $k$ te reconstrueren.

2. Threshold Evaluatie:

   • De cliënt blindert zijn input $x$ door deze te mappen naar een curve $X = H_1(ctx \| x)$ en een willekeurige actie $[r]$ toe te passen, wat resulteert in $B = [r]X$, en stuurt $B$ naar de servers.
   • Een quorum van $t$ servers past hun Lagrange-gewogen shares sequentieel toe: $Q_h = [\lambda^I_{i_h} s^{(e)}_{i_h}] Q_{h-1}$.
   • Vanwege de additieve eigenschap van de actie is de uiteindelijke curve $Q_t = [k]B$.
   • De cliënt unblindert om $Y = [k]X$ te verkrijgen en leidt de output af.
   • Verificatie: Elke server levert een NIZK bewijs ($\pi_{eval}$) dat certificeert dat de uitgevoerde actie overeenkomt met de share die gecommit is in de publieke vector $A^{(e)}$ van de huidige epoch.

3. Proactieve Share Refresh:

   • Om mobiele tegenstanders te bestrijden, verversen servers periodiek de shares zonder $k$ te veranderen.
   • Gekwalificeerde "refresh dealers" samplen zero-sharing polynomen $z_j(X)$ waarbij $z_j(0)=0$.
   • Het nieuwe polynoom is $F_{e+1}(X) = F_e(X) + \sum z_j(X)$. Omdat de constante termen optellen tot nul, geldt $F_{e+1}(0) = k$.
   • Coëfficiënt commitments worden homomorfisch bijgewerkt. Oude shares worden veilig gewist na de transitie.

4. Verificatie, Blame en Robuuste Restart:

   • Als een server een malafide bewijs of share indient, genereert de detecterende partij een blame certificate (een ondertekend transcript van de fout).
   • De beschuldigde server wordt verwijderd en het protocol start opnieuw met een nieuw quorum. Dit zorgt voor identificeerbare aborts.

5. Committee Resharing:

   • Maakt migratie naar een nieuwe set servers of een nieuwe drempelwaarde $t'$ mogelijk.
   • Een oud quorum behandelt hun Lagrange-gewogen shares als constante termen voor nieuwe polynomen die aan de nieuwe commissie worden gedistribueerd.
   • Cruciaal is dat dit de geheime sleutel $k$ overdraagt zonder deze te reconstrueren, waardoor de publieke sleutel en alle eerder gegenereerde OPRF-outputs behouden blijven.

Geadresseerde Technische Uitdagingen

• Cross-Domain Witness Consistentie: Het artikel formaliseert de noodzaak van gezamenlijke NP-relaties (bijv. $R_{link}, R_{eval}$) die een in het veld gecommitte scalaire koppelen aan dezelfde scalaire die wordt gebruikt in de isogenie-actie. Het apart bewijzen hiervan is onvoldoende; de witness moet identiek zijn over de domeinen heen.
• Epoch Consistentie: Het protocol dwingt af dat evaluatieketens shares gebruiken uit een enkele epoch certificate om het mengen van shares uit verschillende polynomen te voorkomen.

3. Belangrijkste Bijdragen

1. Formele Functionaliteit: De auteurs definiëren een ideale functionaliteit $\mathcal{F}_{pTVOPRF}$ voor een langdurige proactieve threshold VOPRF, waarbij mobiele tegenstanders die tussen epochs door de set gecorrumpeerde servers kunnen veranderen, expliciet worden gemodelleerd.
2. Dealerless Constructie: Een constructie die effectieve isogenie groepsacties combineert met Shamir secret sharing en additief homomorfe commitments, waarbij de master sleutel nooit door een enkele partij wordt gereconstrueerd.
3. Proactief Onderhoud: Een mechanisme om server shares te vernieuwen tegen mobiele tegenstanders terwijl de master sleutel, publieke sleutel en alle historische OPRF-outputs behouden blijven. Dit omvat een gecoördineerd epoch transitie protocol.
4. Gezamenlijke NP-relaties: De identificatie en formalisering van specifieke NIZK-relaties die vereist zijn om het secret-sharing domein (polynoom coëfficiënten) te koppelen aan het isogenie-actie domein (curve transformaties).
5. Committee Resharing: Een protocol om de geheime sleutel te migreren naar een nieuwe commissie of de drempelwaarde te wijzigen zonder bestaande versleutelde databases die door OPRF-outputs worden geïndexeerd ongeldig te maken.
6. Veiligheidsanalyse: De constructie is bewezen veilig in het random oracle model onder de vectorization en one-more hidden-group-action aannames, wat input privacy en sleutelgeheimhouding garandeert tegen mobiele semi-honest tegenstanders.

4. Resultaten en Prestaties

• Correctheid: Het artikel bewijst dat het protocol de invariant handhaaft dat de master sleutel $k$ en de publieke sleutel $pk$ constant blijven tijdens DKG, evaluatie, refresh en resharing operaties.
• Veiligheid: De constructie is bewezen veilig tegen een mobiele semi-honest tegenstander die in elke enkele epoch minder dan $t$ servers corrumpeert. De veiligheid rust op de veilige verwijdering van oude shares en de informatie-theoretische privacy van Shamir sharing.
• Efficiëntie Trade-offs:
  • Transcript Grootte: In tegen tegenstelling tot MPC-gebaseerde virtuele server benaderingen die een constante grootte client transcript bieden, heeft PIVOT een $O(t)$ client transcript omdat het de sequentiële keten van $t$ partiële evaluaties en bewijzen blootstelt.
  • Latentie: Evaluatie vereist $t$ sequentiële groepsacties en bewijzen, wat een lineaire latentie bottleneck creëert relatief aan de drempelwaarde.
  • Onderhoud: Proactieve refresh en committee resharing brengen $O(n^2)$ communicatie met zich mee (vanwege point-to-point share distributie) maar vereisen geen isogenie acties, waardoor ze geschikt zijn voor amortisatie over lange perioden.
  • Applicaties: Het artikel benadrukt dat hoewel de online kosten hoger zijn, de mogelijkheid om shares te verversen en commissies te migreren zonder de onderliggende databases (bijv. in private lookup services) opnieuw te versleutelen, een aanzienlijke operationele efficiëntie biedt voor langdurige services.

5. Betekenis en Claims

Het artikel claimt de eerste threshold VOPRF vanuit isogenie groepsacties te presenteren die proactieve veiligheid biedt tegen een mobiele tegenstander.

De auteurs positioneren PIVOT niet als een prestatie-optimalisatie ten opzichte van bestaande single-server of MPC-gebaseerde OPRFs, maar als een feature-complete framework voor langdurige services. De betekenis ligt in de architecturale keuze om de threshold structuur expliciet te maken in plaats van deze te verbergen achter een virtuele server. Deze explicitering maakt het volgende mogelijk:

• Directe toepassing van proactieve refresh (het toevoegen van zero-sharing polynomen).
• Individuele verantwoording (blame attribution).
• Naadloze committee migratie zonder sleutel reconstructie.

Het artikel concludeert dat voor services die jarenlange operationele levensduur vereisen in aanwezigheid van geleidelijke corruptie, de kosten van een $O(t)$ transcript een noodzakelijke trade-off zijn voor de mogelijkheid om de beveiligingsstatus van het systeem periodiek te vernieuwen zonder de onderliggende cryptografische dienst of de afhankelijke data te verstoren.