Οι 24 λέξεις: τι είναι μια κρυπτογραφική ταυτότητα

Η διαφορά μεταξύ ενός κωδικού πρόσβασης και μιας ταυτότητας

Ένας κωδικός πρόσβασης, στο κλασικό μοντέλο του διαδικτύου, δεν είναι η ταυτότητα του χρήστη. Είναι ένα αποδεικτικό. Ο χρήστης έχει μια ταυτότητα —ένα όνομα, ένα email, έναν αριθμό πελάτη— και, για να αποδείξει σε έναν διακομιστή ότι είναι αυτός που λέει, παρουσιάζει έναν κωδικό πρόσβασης τον οποίο ο διακομιστής συγκρίνει με ένα αποθηκευμένο αποτύπωμα. Εάν τα αποτυπώματα συμπίπτουν, ο διακομιστής επιτρέπει τη συνεδρία. Εάν ο κωδικός πρόσβασης χαθεί, ο χρήστης παραμένει ο ίδιος χρήστης· αυτό που χάνει είναι το αποδεικτικό, και υπάρχει μια διαδικασία ανάκτησης —ένα email στην εγγεγραμμένη διεύθυνση, μια ερώτηση ασφαλείας— για την αποκατάστασή του.

Μια κρυπτογραφική ταυτότητα λειτουργεί διαφορετικά. Δεν είναι ένα διαπιστευτήριο που κάποιος συγκρίνει με ένα αποθηκευμένο αποτύπωμα· είναι ένα πλήρες μαθηματικό μυστικό από μόνο του. Δεν έχει σημασία πού βρίσκεται —σε ένα χαρτί, σε μια συσκευή, ακόμα και σε έναν ξένο διακομιστή—: η ταυτότητα υπάρχει λόγω των μαθηματικών της, όχι λόγω αυτού που την επικυρώνει. Εδώ εμφανίζεται μια ιδιότητα παρόμοια με αυτή που είδαμε στο «Τι είναι πραγματικά το SHA-256»: η κατοχή δεν αποδεικνύεται επιδεικνύοντας το μυστικό, αλλά χρησιμοποιώντας το για υπογραφή. Την υπογραφή που παράγεται με αυτόν τον τρόπο μπορεί ο καθένας να την ελέγξει με μια δημόσια τιμή που προκύπτει μαθηματικά από το ίδιο το μυστικό, χωρίς να χρειάζεται να γνωρίζει το μυστικό και χωρίς τη μεσολάβηση τρίτου μέρους στον έλεγχο. Όποιος έχει το μυστικό, είναι η ταυτότητα· όποιος το χάσει, παύει να είναι. Η απόφαση είναι κατηγορηματική: δεν υπάρχει κανένας να του ζητήσετε να σας επιστρέψει την ταυτότητα. Αυτός ο κάποιος δεν υπάρχει, γιατί δεν την είχε εξαρχής.

Τι αντιπροσωπεύουν είκοσι τέσσερις λέξεις

Η κρυπτογραφική ταυτότητα αντιπροσωπεύεται συνήθως από ένα μαθηματικό μυστικό τριάντα δύο byte —διακοσίων πενήντα έξι bit—. Ένας αριθμός δύσκολος στη συγκράτηση και ακόμα πιο δύσκολος στη μεταγραφή χωρίς σφάλμα. Η βιομηχανία της κρυπτογραφίας έλυσε αυτό το πρόβλημα το 2013 με ένα μικρό και κομψό πρότυπο που ονομάζεται BIP39: ένας τρόπος αναπαράστασης αυτών των διακοσίων πενήντα έξι bit ως μια ακολουθία είκοσι τεσσάρων λέξεων παρμένων από μια επίσημη λίστα δύο χιλιάδων σαράντα οκτώ λέξεων. Η αριθμητική από πίσω ταιριάζει με κομψότητα· όποιος θέλει να τη δει λεπτομερώς τη βρίσκει στο περιθώριο.

Η μέτρηση δεν είναι διακοσμητική. Εάν κάποιος μεταγράψει σωστά είκοσι τρεις λέξεις και κάνει λάθος στην εικοστή τέταρτη, το άθροισμα ελέγχου θα το εντοπίσει: το λογισμικό θα του πει «αυτή η ακολουθία δεν είναι έγκυρη». Εάν κάποιος μεταγράψει και τις είκοσι τέσσερις σωστά, το λογισμικό θα αντλήσει την ίδια ταυτότητα χωρίς ασάφεια. Η επιλογή της λίστας λέξεων είναι επίσης σκόπιμη: οι λέξεις του λεξιλογίου BIP39 είναι σύντομες, διακριτές μεταξύ τους, χωρίς διακριτικά, επιλεγμένες για την ελαχιστοποίηση φωνητικών και ορθογραφικών συγχύσεων. Είναι ένα λεξιλόγιο σχεδιασμένο να απομνημονεύεται, να γράφεται και να υπαγορεύεται από ανθρώπους χωρίς απώλεια.

Από τη φράση στο κλειδί

Οι είκοσι τέσσερις λέξεις δεν είναι το κρυπτογραφικό κλειδί που υπογράφει μηνύματα. Είναι μια ανακτήσιμη αναπαράσταση της αρχικής εντροπίας που, μέσω μιας ντετερμινιστικής διαδικασίας που ονομάζεται PBKDF2, μετατρέπεται σε έναν «σπόρο» (seed) εξήντα τεσσάρων byte. Από αυτόν τον σπόρο παράγονται, επίσης ντετερμινιστικά, τα συγκεκριμένα κρυπτογραφικά κλειδιά που χρησιμοποιεί ο χρήστης: ένα ιδιωτικό κλειδί για υπογραφή και ένα αντίστοιχο δημόσιο κλειδί που δημοσιεύεται για την επαλήθευση των υπογραφών. Ο ίδιος μηχανισμός σε διαφορετικά συστήματα: τα κρυπτονομίσματα χρησιμοποιούν την καμπύλη secp256k1· το πρωτόκολλο Signal και πολλά σύγχρονα συστήματα χρησιμοποιούν το Ed25519 πάνω στην καμπύλη Curve25519. Για μια συγκεκριμένη καμπύλη όπως η Ed25519, τα πρότυπα BIP32 και SLIP-0010 λαμβάνουν αυτόν τον σπόρο των εξήντα τεσσάρων byte και παράγουν, ντετερμινιστικά, τα τριάντα δύο byte που αποτελούν το αποτελεσματικό κλειδί υπογραφής — τα ίδια τριάντα δύο byte με τα οποία ξεκινά το παράδειγμα κώδικα στην επόμενη ενότητα.

Αυτός είναι ο τυπικός τρόπος με τον οποίο ολόκληρη η βιομηχανία παρουσιάζει τον μηχανισμό στον χρήστη —πορτοφόλια κρυπτονομισμάτων, διαχειριστές αποκεντρωμένης ταυτότητας, το Signal στο τμήμα της μόνιμης ταυτότητάς του, το Solo2 μεταξύ αυτών—: ο χρήστης, στην πράξη, δεν βλέπει ποτέ τον σπόρο ούτε τα παραγόμενα κλειδιά. Βλέπει τις είκοσι τέσσερις λέξεις κατά τη δημιουργία της ταυτότητάς του και, προαιρετικά, τις σημειώνει σε ένα χαρτί. Οι λέξεις ταξιδεύουν στη συνέχεια μεταξύ των συσκευών του όταν θέλει να μεταφέρει την ταυτότητα: τις εισάγει στη νέα εφαρμογή, η εφαρμογή παράγει τον ίδιο σπόρο, τα ίδια κλειδιά, την ίδια ταυτότητα. Είναι ένας φορητός μηχανισμός, κρυπτογραφικά στιβαρός και, εντός των ορίων του λογικού, απομνημονεύσιμος.

Πώς υπογράφουμε με το κλειδί (μια πινελιά Zig)

Στη Zig, μόλις έχετε τον σπόρο των τριάντα δύο byte που προέρχεται από τις είκοσι τέσσερις λέξεις, η υπογραφή ενός μηνύματος με Ed25519 χωράει σε λίγες γραμμές:

const std = @import("std");
const Ed25519 = std.crypto.sign.Ed25519;

// 'semilla' son los 32 bytes derivados de las 24 palabras.
const par = Ed25519.KeyPair.create(semilla);

// Firmar un mensaje con la clave privada:
const mensaje = "Este mensaje lo escribí yo.";
const firma = try par.sign(mensaje, null);

// Cualquiera con la clave pública del par puede verificar:
try Ed25519.Signature.verify(firma, mensaje, par.public_key);

Η λειτουργία της υπογραφής παράγει εξήντα τέσσερα byte —που ονομάζονται υπογραφή— τα οποία θα μπορούσαν να έχουν δημιουργηθεί μόνο από το αντίστοιχο ιδιωτικό κλειδί. Η επαλήθευση είναι δημόσια: οποιοσδήποτε με το δημόσιο κλειδί μπορεί να ελέγξει ότι η υπογραφή αντιστοιχεί στο μήνυμα. Χωρίς το ιδιωτικό κλειδί, κανείς δεν μπορεί να παράγει μια έγκυρη υπογραφή για αυτό το μήνυμα· με το δημόσιο κλειδί, όλοι μπορούν να ανιχνεύσουν εάν μια υπογραφή είναι έγκυρη. Αυτή η ασυμμετρία είναι που επιτρέπει στον υπογράφοντα να αποδείξει την πατρότητα χωρίς να μοιραστεί το μυστικό.

Το προηγούμενο παράδειγμα είναι η ελάχιστη έκδοση του εγχειριδίου. Στον πραγματικό κώδικα του Solo2, η αλυσίδα διασχίζει δύο αρχεία, ένα σε JavaScript που ζει στον περιηγητή του χρήστη και ανακατασκευάζει την εντροπία από τις είκοσι τέσσερις λέξεις, και ένα άλλο σε Zig μέσα στη βιβλιοθήκη zcatcrypto που παίρνει αυτή την εντροπία και παράγει τα συγκεκριμένα κρυπτογραφικά κλειδιά. Ξεκινώντας από την πλευρά του περιηγητή:

// solo2/web-app/js/lib/bip39.js
async function mnemonicToEntropy(mnemonic, lang) {
    const validation = await validateMnemonic(mnemonic, lang);
    if (!validation.valid) {
        return { entropy: null, valid: false, error: validation.error };
    }
    const wordlist = WORDLISTS[lang || 'en'];
    const words = mnemonic.trim().split(/\s+/);

    // Cada palabra aporta 11 bits (su índice en la lista de 2048).
    let bits = '';
    for (let i = 0; i < words.length; i++) {
        bits += wordlist.indexOf(words[i]).toString(2).padStart(11, '0');
    }

    // 24 palabras = 264 bits. Los primeros 256 son la entropía.
    const entropyBytes = new Uint8Array(32);
    for (let j = 0; j < 32; j++) {
        entropyBytes[j] = parseInt(bits.slice(j * 8, (j + 1) * 8), 2);
    }
    return { entropy: entropyBytes, valid: true };
}

Αυτά τα τριάντα δύο bytes εντροπίας, μαζί με άλλα τριάντα δύο που παράγονται στο ίδιο βήμα, ταξιδεύουν στη μονάδα WebAssembly της Zig που δημιουργεί τα ίδια τα κλειδιά Ed25519. Η πλήρης συνάρτηση, με τον τελικό καθαρισμό της μνήμης, χωράει σε μία οθόνη:

// zcatcrypto/wasm/bindings/identity.zig
const Ed25519 = std.crypto.sign.Ed25519;
const X25519  = std.crypto.dh.X25519;

export fn identity_generate() ?*IdentityHandle {
    var seed: [64]u8 = undefined;
    if (!common.getRandomBytes(&seed)) return null;

    const handle = common.wasm_allocator.create(IdentityHandle) catch return null;

    // Bytes 0..31: semilla determinista del par Ed25519 (firma).
    const sign_kp = Ed25519.KeyPair.generateDeterministic(seed[0..32].*) catch {
        common.wasm_allocator.destroy(handle);
        return null;
    };
    handle.sign_secret = sign_kp.secret_key.toBytes();
    handle.sign_public = sign_kp.public_key.toBytes();

    // Bytes 32..63: secreto X25519 (para acordar claves de cifrado con el otro).
    handle.exchange_secret = seed[32..64].*;
    handle.exchange_public = X25519.recoverPublicKey(handle.exchange_secret) catch {
        common.wasm_allocator.destroy(handle);
        return null;
    };

    @memset(&seed, 0);  // Borra la semilla de la memoria.
    return handle;
}

Δύο λεπτομέρειες αξίζει να σημειωθούν. Η πρώτη: ένας ίδιος σπόρος (seed) παράγει πάντα το ίδιο ζεύγος κλειδιών — αυτό ακριβώς επιτρέπει την ανάκτηση της ταυτότητας εισάγοντας τις είκοσι τέσσερις λέξεις σε μια νέα συσκευή. Η δεύτερη: ο σπόρος διαγράφεται ρητά από τη μνήμη στην τελευταία γραμμή. Μετά από αυτό το σημείο, ούτε καν η ίδια η συνάρτηση δεν θα μπορούσε να ανακατασκευάσει τα κλειδιά· οι λέξεις του χρήστη θα ήταν η μόνη πηγή.

Εδώ ενδείκνυται μια σύντομη στάση, γιατί ολόκληρη η αλυσίδα μπορεί να συγχέεται με μια γρήγορη ματιά με μια άλλη πρωταρχική της τριάδας: το hash. Δεν είναι. Ένα hash είναι μια μοναδική συνάρτηση που συμπιέζει — εισέρχονται πολλά bytes, εξέρχεται ένα σύντομο αποτύπωμα, εκεί τελειώνει η διαδρομή. Μια κρυπτογραφική ταυτότητα είναι ένα συμπληρωματικό μαθηματικό ζεύγος: το μυστικό μένει και υπογράφει· το δημόσιο αντίστοιχό του δημοσιεύεται και επαληθεύει. Εκεί που το hash καταρρέει τις πληροφορίες προς μία κατεύθυνση, η ταυτότητα εγκαθιστά μια ασυμμετρία μεταξύ δύο μισών. Το hash πιστοποιεί τι ειπώθηκε· η ταυτότητα πιστοποιεί ποιος το είπε.

Τι δεν είναι η φράση

Τρεις συχνές παρανοήσεις πρέπει να αποσαφηνιστούν. Η φράση δεν είναι κωδικός πρόσβασης με την κυριολεκτική έννοια: δεν συγκρίνεται με ένα αποτύπωμα αποθηκευμένο σε έναν διακομιστή· εισάγεται στη συσκευή του χρήστη για να ανακατασκευάσει μαθηματικά την ταυτότητα. Η φράση δεν ανακτάται: εάν χαθεί, δεν υπάρχει κανείς να τη ζητήσετε· εάν αναπαραχθεί, αναπαράγεται και η ταυτότητα. Η φράση δεν είναι ένα διαπιστευτήριο διαχωρίσιμο από την ταυτότητα: η φράση είναι η ταυτότητα. Όποιος την έχει μπορεί να ενεργεί ως αυτή, χωρίς πρόσθετη άδεια, χωρίς διαδικασία εξουσιοδότησης, χωρίς δυνατότητα ανάκτησης.

Αυτή η τρίτη ιδιότητα είναι που αλλάζει το βάρος του ζητήματος. Ένας χαμένος κωδικός πρόσβασης είναι μια διοικητική ενόχληση. Μια χαμένη κρυπτογραφική ταυτότητα είναι η ίδια η ταυτότητα. Ένα χαρτί με τη φράση που βρέθηκε από τρίτους δεν είναι κίνδυνος κλοπής λογαριασμού: είναι η παράδοση ολόκληρης της ταυτότητας. Η υπόσχεση του συστήματος —ότι κανείς δεν μπορεί να σας ανακαλέσει την ταυτότητά σας ή να σας μπλοκάρει αυθαίρετα— συνοδεύεται αναπόσπαστα από την ευθύνη —ότι εσείς είστε ο μόνος θεματοφύλακας κάτι που κανείς δεν μπορεί να αποκαταστήσει για εσάς.

Η υπόσχεση και το βάρος

Το μοντέλο της κρυπτογραφικής ταυτότητας δέχεται συχνά τον χαρακτηρισμό αυτοκυρίαρχη —self-sovereign στην αγγλοσαξονική βιβλιογραφία—. Η επιλογή της λέξης είναι σκόπιμη και περιγράφει με μεγάλη ακρίβεια την κατάσταση. Ο χρήστης είναι κυρίαρχος της ταυτότητάς του με μια σχεδόν μεσαιωνική έννοια: δεν την παραχωρεί κανένας βασιλιάς, κανένας εκδότης, καμία κεντρική αρχή· ούτε μπορεί να την αφαιρέσει κανένας από τους παραπάνω. Αλλά επίσης, όπως ο μεσαιωνικός μονάρχης, ο χρήστης φέρει ολόκληρη τη συνέπεια των λαθών του: δεν υπάρχει αντιβασιλέας που να λαμβάνει αποφάσεις στη θέση του εάν χάσει τη σφραγίδα.

Η επιλογή μεταξύ ταυτότητας που διαχειρίζεται τρίτος και αυτοκυρίαρχης ταυτότητας δεν έχει μία παγκόσμια σωστή απάντηση. Για τον λογαριασμό ενός ασήμαντου φόρουμ, η διαχειριζόμενη ταυτότητα είναι πιθανώς ανάλογη του κινδύνου. Για μια επαγγελματική ταυτότητα που υπογράφει νομικά δεσμευτικά έγγραφα, για μια οικονομική ταυτότητα που φυλάσσει προσωπικές αποταμιεύσεις, για μια ταυτότητα επαγγελματικής επικοινωνίας με πελάτες που έχουν εμπιστευθεί ευαίσθητες πληροφορίες, το ζήτημα αλλάζει. Εκεί η ερώτηση παύει να είναι «είναι βολικό;» και γίνεται «ποιος, εκτός από εμένα, έχει τη δύναμη να ενεργεί ως εγώ, και υπό ποιες συνθήκες;».

Πού εμφανίζεται αυτός ο μηχανισμός σε πραγματικά συστήματα

Το BIP39 γεννήθηκε στον κόσμο του Bitcoin το 2013 και εξαπλώθηκε γρήγορα σε ολόκληρο το οικοσύστημα των κρυπτονομισμάτων: οποιοδήποτε σοβαρό πορτοφόλι σήμερα δέχεται μια φράση BIP39 δώδεκα ή είκοσι τεσσάρων λέξεων ως εφεδρικό αντίγραφο της οικονομικής ταυτότητας του κατόχου του. Εκτός των κρυπτονομισμάτων, η ίδια υποκείμενη έννοια — ένα κρυπτογραφικό ζεύγος που αποδεικνύει την πατρότητα χωρίς μεσάζοντα — εμφανίζεται σε άλλα συστήματα με διαφορετική σύνταξη. Τα κλειδιά SSH που χρησιμοποιεί ένας διαχειριστής συστημάτων για την πρόσβαση στους διακομιστές του είναι μια κλασική περίπτωση: ένα ιδιωτικό κλειδί που ο διαχειριστής φυλάσσει στο μηχάνημά του και ένα δημόσιο που αντιγράφεται σε κάθε διακομιστή· δεν παρεμβαίνει καμία οντότητα συγκρίσιμη με μια κεντρική υπηρεσία. Το πρωτόκολλο Signal χρησιμοποιεί Ed25519 με μόνιμο υλικό κλειδιού στη συσκευή· το ευρωπαϊκό eIDAS, στο μέρος της ειδικής υπογραφής, βασίζεται στην ίδια κρυπτογραφική αρχή, με τη διαφορά ότι το κλειδί φυλάσσεται από έναν ειδικό πάροχο υπηρεσιών εμπιστοσύνης αντί για τον χρήστη.

Το Solo2, η πλατφόρμα έκδοσης αυτού του εντύπου, χρησιμοποιεί μια φράση BIP39 είκοσι τεσσάρων λέξεων ως ταυτότητα για κάθε χρήστη. Ο χρήστης, κατά τη δημιουργία του λογαριασμού του, βλέπει τις λέξεις μία φορά. Δεν αποθηκεύονται σε κανέναν διακομιστή του Solo2 ούτε κανενός άλλου: εάν ο χρήστης τις σημειώσει και τις φυλάξει, διατηρεί την ταυτότητά του για πάντα. Εάν τις χάσει, τις έχασε. Είναι η συνεπής συνέπεια μιας αρχιτεκτονικής χωρίς μεσάζοντα χειριστή: εάν το Solo2 μπορούσε να επιστρέψει την ταυτότητα στον χρήστη που την έχασε, θα μπορούσε επίσης να τη δώσει σε οποιονδήποτε πιέσει το Solo2 για να του τη δώσει.

Για τον επαγγελματία αναγνώστη

Τέσσερις σκέψεις για όσους αξιολογούν την υιοθέτηση κρυπτογραφικής αυτοκυρίαρχης (autosoberana) ταυτότητας σε επαγγελματικό πλαίσιο:

1. Η φράση είναι η ταυτότητα. Η φυσική φύλαξη — χαρτί, πολλά αντίγραφα σε διαφορετικά μέρη, τελικά χαραγμένο μέταλλο για μακροχρόνια χρήση — προσφέρει περισσότερες εγγυήσεις από την ψηφιακή φύλαξη, η οποία προσθέτει επιφάνεια επίθεσης χωρίς να μειώνει τον κίνδυνο απώλειας.
2. Δεν υπάρχει ανάκτηση. Ο σχεδιασμός της διαδικασίας με την υπόθεση ότι μια μέρα θα χαθεί το κύριο αντίγραφο είναι πολύ προτιμότερος από το να το ανακαλύψετε την ημέρα που θα χαθεί. Ένα δεύτερο γεωγραφικά διαχωρισμένο αντίγραφο επιλύει σχεδόν όλα τα σενάρια.
3. Δεν είναι το ίδιο με ένα ειδικό πιστοποιητικό eIDAS. Για ειδική υπογραφή στην Ένωση — συμβολαιογραφικές πράξεις, ορισμένες διαδικασίες με τη Διοίκηση — η νομοθεσία απαιτεί έναν ειδικό πάροχο που φυλάσσει το κλειδί. Η κρυπτογραφική αυτοκυρίαρχη ταυτότητα χρησιμεύει για την επαγγελματική επικοινωνία και την υπογραφή εγγράφων με αποδεικτική αξία, αλλά δεν αντικαθιστά αυτόματα το ειδικό πιστοποιητικό στις περιπτώσεις όπου ο κανόνας το απαιτεί.
4. Εάν η ταυτότητα πρόκειται να μεταβιβαστεί — κληρονομιά, επαγγελματική διαδοχή, παύση δραστηριότητας — είναι σκόπιμο να προετοιμαστεί η διαδικασία πριν, όχι μετά. Οι επίσημες διαδικασίες με φακέλους σφραγισμένους με βουλοκέρι (lacre), οι οδηγίες σε έναν εκτελεστή διαθήκης, η κατάθεση σε συμβολαιογραφείο, είναι κλασικές ρυθμίσεις απόλυτα συμβατές με την κρυπτογραφική φύση του περιουσιακού στοιχείου.

---

Αυτό το άρθρο κλείνει την εννοιολογική τριάδα που άνοιξε τον κύκλο — hash, κρυπτογράφηση, ταυτότητα —. Οι τρεις ιδέες χτίζονται η μία πάνω στην άλλη: το hash δίνει το αναλλοίωτο αποτύπωμα, η κρυπτογράφηση δίνει την εμπιστευτικότητα χωρίς αξιόπιστο τρίτο μέρος, η ταυτότητα δίνει την πατρότητα χωρίς τρίτο μέρος παραχώρησης. Και οι τρεις μοιράζονται μια ιδιότητα που επίσης δεν είναι ιδεολογική: μεταφέρουν, από αυτόν που διαχειρίζεται μια υπηρεσία σε αυτόν που τη χρησιμοποιεί, τεχνικές δυνατότητες που παραδοσιακά ανήκαν στον χειριστή. Μεταφέρουν μαζί τους και ευθύνες. Το να μιλάς με ειλικρίνεια για οποιαδήποτε από τις τρεις απαιτεί να μιλάς και για τις άλλες δύο.