Computação multipartidária aplicada à segurança

Três colegas querem saber se ganham, em média, acima do mercado. Nenhum quer contar o próprio salário aos outros. A solução óbvia é entregar os números a uma pessoa de confiança, que faz a conta e divulga só a média. Mas e se não houver ninguém em quem os três confiem?

A computação multipartidária (em inglês, secure multiparty computation, ou MPC) é a resposta da criptografia a esse problema. Ela permite que várias partes calculem um resultado juntas sem que nenhuma delas veja os dados das outras. Este texto explica a ideia, mostra como ela é usada para proteger chaves e assinaturas e onde estão os limites.

O que é computação multipartidária

O NIST, instituto de padrões dos Estados Unidos, define a técnica como o cálculo conjunto de uma função sobre dados distribuídos entre várias partes, sem que cada uma revele o seu dado (NIST, Privacy-Enhancing Cryptography). O instituto a considera uma das principais técnicas de interesse em seu projeto de criptografia para aumento de privacidade (NIST, MPC e esquemas de limiar).

Uma forma útil de pensar: imagine um intermediário perfeito, que recebe os dados de todos, faz a conta, anuncia o resultado e esquece tudo. A computação multipartidária substitui esse intermediário por um protocolo, um roteiro de mensagens trocadas entre os próprios participantes. Essa é a imagem usada no artigo que generalizou a técnica, de 1987, que descreve a “parte confiável extra” que o protocolo torna desnecessária (Goldreich, Micali e Wigderson).

De onde veio: o problema dos milionários

A pergunta foi formulada em 1982 pelo cientista da computação Andrew Yao. Dois milionários querem saber qual deles é mais rico sem descobrir mais nada sobre a fortuna um do outro. Como conduzir essa conversa (Yao, 1982)?

Yao tratou o caso como exemplo de um problema geral: várias pessoas, cada uma com um valor secreto, querem calcular uma função desses valores sem entregar mais informação do que o necessário. Já naquele artigo ele apontava aplicações como votação secreta, consulta privada a bancos de dados e negociação.

Em 1987, Oded Goldreich, Silvio Micali e Avi Wigderson mostraram que qualquer função pode ser calculada assim, com um algoritmo eficiente, desde que a maioria dos participantes seja honesta. Eles também observaram que, sem maioria honesta, alguns problemas não têm solução eficiente (Goldreich, Micali e Wigderson). Essa condição, quantos participantes podem trapacear sem quebrar a segurança, volta sempre que se avalia um sistema real.

Como funciona, em versão simplificada

Uma das ferramentas mais usadas é o compartilhamento de segredo: dividir um dado em pedaços, chamados partes ou shares, de modo que cada pedaço sozinho não revele nada.

Volte aos três colegas. Um exemplo didático, preparado pela redação:

1. Ana ganha 9. Ela sorteia dois números aleatórios, digamos 25 e -4, e calcula o terceiro para que a soma dê 9: 9 - 25 - (-4) = -12. Fica com uma parte e entrega as outras duas, uma a cada colega.
2. Bruno e Carla fazem o mesmo com seus salários.
3. Cada um soma as partes que tem em mãos e anuncia só essa soma parcial.
4. A soma das três somas parciais é o total dos salários. Dividida por três, dá a média.

Nenhuma parte isolada diz nada, porque é um número sorteado. O que se revela é apenas o total. Protocolos reais usam aritmética modular e técnicas mais elaboradas para comparar, multiplicar e lidar com participantes desonestos, mas a lógica é essa: calcular sobre pedaços que, sozinhos, não significam nada.

Em 1979, Adi Shamir publicou um método mais flexível, o esquema de limiar (k, n). O segredo é dividido em n partes. Quaisquer k delas reconstroem o segredo; com k - 1 ou menos, todos os valores possíveis continuam igualmente prováveis (Shamir, 1979).

Aplicação à segurança: chaves que nunca ficam inteiras

O próprio Shamir apontou o problema que a técnica resolve. Guardar uma chave criptográfica em um só lugar é arriscado: uma pane, uma morte ou uma sabotagem a torna inacessível. Fazer várias cópias resolve isso, mas multiplica as chances de vazamento (Shamir, 1979).

O exemplo do artigo é o de uma empresa que assina cheques digitalmente. Em vez de dar a chave a cada diretor, cada um recebe uma parte, e qualquer três podem assinar. Um diretor desleal precisaria de pelo menos dois cúmplices para falsificar uma assinatura.

A criptografia de limiar moderna vai um passo além. Ela aplica os princípios da computação multipartidária para que as partes produzam a assinatura, decifrem uma mensagem ou gerem uma chave juntas, sem precisar remontar a chave inteira em nenhum momento. O NIST descreve o objetivo como uma “distribuição segura de confiança” na operação de primitivas criptográficas (NIST, criptografia de limiar).

Na prática, isso muda o modelo de ameaça:

• Um invasor precisa comprometer várias partes, não um único servidor, para roubar ou usar a chave.
• A perda de algumas partes não é fatal, desde que restem as necessárias para atingir o limiar.
• Nenhuma pessoa sozinha consegue agir, o que protege contra fraude interna.

Em criptoativos, esse desenho aparece na guarda de chaves por empresas e em algumas carteiras. O papel da MPC na custódia profissional está em Custódia institucional de criptoativos, e a diferença entre quem controla as chaves, em Carteiras custodiais e não custodiais.

O NIST está preparando padrões

O NIST mantém um projeto dedicado a esquemas de limiar com várias partes. Ele cobre assinaturas, cifragem e decifragem com chave pública, geração de chaves, criptografia totalmente homomórfica e técnicas relacionadas, como provas de conhecimento zero (NIST, criptografia de limiar).

Segundo a página do projeto, consultada em 8 de outubro de 2026, a chamada pública por propostas (NIST IR 8214C) teve versão final publicada em 20 de janeiro de 2026, e o processo seguia com fases de apresentação das propostas ao longo de 2026. A página não indica, até essa data, um padrão final do NIST para esses esquemas.

Um caso real: o leilão de beterraba na Dinamarca

A primeira aplicação prática em larga escala da técnica, segundo seus autores, aconteceu em janeiro de 2008 (Bogetoft et al.).

Agricultores dinamarqueses precisavam negociar entre si contratos de produção de beterraba para açúcar. A compradora única era a Danisco. Os lances revelam a situação econômica de cada produtor, e os agricultores não aceitariam a Danisco como leiloeira, porque ela poderia usar essa informação em renegociações.

A solução foi um leilão em que o papel de leiloeiro era dividido entre três partes: a Danisco, a associação dos produtores (DKS) e o projeto de pesquisa SIMAP. Cada lance saía cifrado e dividido do computador do agricultor. Juntas, as três partes calcularam o preço de equilíbrio do mercado sem que nenhuma visse um lance aberto. Participaram 1.229 licitantes.

O artigo registra um ganho que vai além da técnica: como ninguém precisava ver os lances, não foi necessário negociar quem teria acesso a eles nem quem responderia por um vazamento.

Limites e riscos

A computação multipartidária reduz a confiança necessária, mas não a elimina. Na avaliação da redação, com base nas fontes acima, os pontos a observar são:

• Limiar de conluio. A segurança vale enquanto o número de partes desonestas fica abaixo do limite do protocolo. Se as partes forem, na prática, controladas pela mesma empresa ou rodarem na mesma infraestrutura, a divisão é só aparente.
• Modelo de adversário. Alguns protocolos só protegem contra partes “curiosas”, que seguem as regras mas tentam aprender algo. O leilão dinamarquês, por exemplo, adotou esse modelo, porque nenhuma das três partes suspeitava de ataque ativo das outras. Proteger contra quem desvia do roteiro exige mecanismos extras, como provas de conhecimento zero.
• O resultado também informa. No problema dos milionários, quem perde descobre que o outro tem mais dinheiro. A técnica protege as entradas, não o que se deduz da resposta.
• Desempenho. As partes trocam muitas mensagens. O custo é maior do que fazer a mesma conta num servidor só.
• Implementação. Um protocolo seguro no papel pode falhar por erro de código, gerador de números aleatórios fraco ou má gestão das partes. A ausência de padrão oficial dificulta comparar soluções.
• Pontas do sistema. Se o computador de quem digita a senha ou aprova a operação estiver comprometido, a matemática do protocolo não ajuda.

O que levar deste texto

• A computação multipartidária troca o intermediário de confiança por um protocolo: as partes calculam juntas e só o resultado aparece.
• Em segurança, ela permite dividir chaves para que nenhuma pessoa ou servidor sozinho consiga assinar, decifrar ou perder tudo.
• A proteção real depende de quantas partes podem conspirar, de quem controla cada parte, da qualidade da implementação e do que o próprio resultado revela. O NIST ainda trabalha em padrões para esses esquemas.