Fase 4: Recuperação de Chaves por Herdeiros com Shamir's Secret Sharing

2026-02-15

O que acontece com suas memórias quando você morre? Até agora, Tesseras -conseguia preservar conteúdo ao longo de milênios — mas as chaves privadas e -seladas morriam com o dono. A Fase 4 continua com uma solução: Shamir's Secret -Sharing, um esquema criptográfico que permite dividir sua identidade em -fragmentos e distribuí-los para as pessoas em quem você mais confia.

A matemática é elegante: você escolhe um limiar T e um total N. Qualquer T -fragmentos reconstroem o segredo completo; T-1 fragmentos não revelam -absolutamente nada. Isso não é "quase nada" — é informação-teoricamente seguro. -Um atacante com um fragmento a menos que o limiar tem exatamente zero bits de -informação sobre o segredo, independentemente do poder computacional que tenha.

O que foi construído

Aritmética de corpo finito GF(256) (tesseras-crypto/src/shamir/gf256.rs) — -Shamir's Secret Sharing requer aritmética em um corpo finito. Implementamos -GF(256) usando o mesmo polinômio irredutível do AES (x^8 + x^4 + x^3 + x + 1), -com tabelas de lookup para logaritmo e exponenciação computadas em tempo de -compilação. Todas as operações são em tempo constante via consulta a tabelas — -sem ramificações baseadas em dados secretos. O módulo inclui o método de Horner -para avaliação de polinômios e interpolação de Lagrange em x=0 para recuperação -do segredo. 233 linhas, exaustivamente testado: todos os 256 elementos para -propriedades de identidade/inverso, comutatividade e associatividade.

ShamirSplitter (tesseras-crypto/src/shamir/mod.rs) — A API principal de -split/reconstruct. split() recebe uma fatia de bytes do segredo, uma -configuração (limiar T, total N) e a chave pública Ed25519 do dono. Para cada -byte do segredo, constrói um polinômio aleatório de grau T-1 sobre GF(256) com o -byte do segredo como termo constante, e então o avalia em N pontos distintos. -reconstruct() recebe T ou mais fragmentos e recupera o segredo via -interpolação de Lagrange. Ambas as operações incluem validação extensiva: -limites do limiar, consistência de sessão, correspondência de impressão digital -do dono e verificação de checksum BLAKE3.

Formato HeirShare — Cada fragmento é um artefato autocontido e serializável -com:

Versão do formato (v1) para compatibilidade futura
Índice do fragmento (1..N) e metadados de limiar/total
ID de sessão (8 bytes aleatórios) — impede mistura de fragmentos de sessões -diferentes
Impressão digital do dono (primeiros 8 bytes do hash BLAKE3 da chave pública -Ed25519)
Dados do fragmento (os y-values de Shamir, mesmo comprimento do segredo)
Checksum BLAKE3 sobre todos os campos anteriores

Os fragmentos são serializados em dois formatos: MessagePack (binário -compacto, para uso programático) e texto base64 (legível por humanos, para -impressão e armazenamento físico). O formato texto inclui um cabeçalho com -metadados e delimitadores:

--- TESSERAS HEIR SHARE ---
-Format: v1
-Owner: a1b2c3d4e5f6a7b8 (fingerprint)
-Share: 1 of 3 (threshold: 2)
-Session: 9f8e7d6c5b4a3210
-Created: 2026-02-15
-
-<dados MessagePack codificados em base64>
---- END HEIR SHARE ---
-

Este formato é projetado para ser impresso em papel, armazenado em um cofre -bancário ou gravado em metal. O cabeçalho é informacional — apenas o payload -base64 é analisado durante a reconstrução.

Integração com CLI (tesseras-cli/src/commands/heir.rs) — Três novos -subcomandos:

tes heir create — divide sua identidade Ed25519 em fragmentos de herdeiros. -Solicita confirmação (sua identidade completa está em jogo), gera arquivos -.bin e .txt para cada fragmento e escreve heir_meta.json no diretório de -identidade.
tes heir reconstruct — carrega arquivos de fragmentos (detecta -automaticamente formato binário vs texto), valida consistência, reconstrói o -segredo, deriva o par de chaves Ed25519 e opcionalmente o instala em -~/.tesseras/identity/ (com backup automático da identidade existente).
tes heir info — exibe metadados do fragmento e verifica o checksum sem expor -nenhum material secreto.

Formato do blob secreto — As chaves de identidade são serializadas em um -blob versionado antes da divisão: um byte de versão (0x01), um byte de flags -(0x00 para somente Ed25519), seguido da chave secreta Ed25519 de 32 bytes. Isso -deixa espaço para expansão futura quando as chaves privadas X25519 e ML-KEM-768 -forem integradas ao sistema de fragmentos de herdeiros.

Testes — 20 testes unitários para ShamirSplitter (roundtrip, todas as -combinações de fragmentos, fragmentos insuficientes, dono errado, sessão errada, -limite threshold-1, segredos grandes até o tamanho de chave ML-KEM-768). 7 -testes unitários para aritmética GF(256) (propriedades de campo exaustivas). 3 -testes baseados em propriedades com proptest (segredos arbitrários até 5000 -bytes, configurações T-de-N arbitrárias, verificação de segurança -informação-teórica). Testes de roundtrip de serialização para ambos os formatos -MessagePack e texto base64. 2 testes de integração cobrindo o ciclo de vida -completo de herdeiros: gerar identidade, dividir em fragmentos, serializar, -desserializar, reconstruir, verificar par de chaves e assinar/verificar com -chaves reconstruídas.

Decisões de arquitetura

GF(256) ao invés de GF(primo): usamos GF(256) ao invés de um corpo primo -porque ele mapeia naturalmente para bytes — cada elemento é um único byte, -cada fragmento tem o mesmo comprimento do segredo. Sem aritmética de inteiros -grandes, sem redução modular, sem padding. Esta é a mesma abordagem usada pela -maioria das implementações reais de Shamir, incluindo SSSS e Hashicorp Vault.
Tabelas de lookup em tempo de compilação: as tabelas LOG e EXP para -GF(256) são computadas em tempo de compilação usando const fn. Isso -significa zero custo de inicialização em tempo de execução e operações em -tempo constante via consulta a tabelas ao invés de loops.
ID de sessão previne mistura entre sessões: cada chamada a split() gera -um novo ID de sessão aleatório. Se um herdeiro acidentalmente usar fragmentos -de duas sessões diferentes de divisão (por exemplo, antes e depois de uma -rotação de chaves), a reconstrução falha de forma limpa com um erro de -validação ao invés de produzir dados corrompidos.
Checksums BLAKE3 detectam corrupção: cada fragmento inclui um checksum -BLAKE3 sobre seu conteúdo. Isso captura degradação de bits, erros de -transmissão e truncamento acidental antes de qualquer tentativa de -reconstrução. Um fragmento impresso em papel e escaneado via OCR vai falhar no -checksum se um único caractere estiver errado.
Impressão digital do dono para identificação: os fragmentos incluem os -primeiros 8 bytes de BLAKE3(chave pública Ed25519) como impressão digital. -Isso permite aos herdeiros verificar a qual identidade um fragmento pertence -sem revelar a chave pública completa. Durante a reconstrução, a impressão -digital é verificada contra a chave recuperada.
Formato duplo para resiliência: ambos os formatos binário (MessagePack) e -texto (base64) são gerados porque mídias físicas têm modos de falha diferentes -de armazenamento digital. Um pendrive pode falhar; papel sobrevive. Um QR code -pode ficar ilegível; texto base64 pode ser digitado manualmente.
Versionamento do blob: o segredo é envolvido em um blob versionado -(versão + flags + material de chave) para que versões futuras possam incluir -chaves adicionais (X25519, ML-KEM-768) sem quebrar compatibilidade com -fragmentos existentes.

O que vem a seguir

Fase 4 continuada: Resiliência e Escala — NAT traversal avançado -(STUN/TURN), ajuste de performance (pool de conexões, cache de fragmentos, -SQLite WAL), auditorias de segurança, integração de nós institucionais, -empacotamento para sistemas operacionais
Fase 5: Exploração e Cultura — navegador público de tesseras por -era/localização/tema/idioma, curadoria institucional, integração com -genealogia, exportação para mídia física (M-DISC, microfilme, papel livre de -ácido com QR)

Com Shamir's Secret Sharing, Tesseras fecha a última lacuna crítica na -preservação a longo prazo. Suas memórias sobrevivem a falhas de infraestrutura -através de erasure coding. Sua privacidade sobrevive a computadores quânticos -através de criptografia híbrida. E agora, sua identidade sobrevive a você — -passada adiante para as pessoas que você escolheu, exigindo a cooperação delas -para desbloquear o que você deixou para trás.

- -