當單一管理員的權限足以釀成災難，Quorum-based Authentication（基於法定人數的認證）提供了一個優雅的解法：將信任分散，讓 N 人中至少 M 人同意，才能執行高風險操作。
什麼是 M of N 多人控制？
Quorum-based Authentication 的核心是 M of N 門檻機制：系統預先登錄 N 個授權實體（人員或裝置），每次執行特權操作時，必須蒐集至少 M 份有效憑證才能解鎖。例如 3 of 5 代表五位管理員中任意三位同意即可通過。這套機制廣泛部署於 HSM（硬體安全模組）、企業金鑰管理系統（KMS）及區塊鏈多簽錢包。其數學基礎源自 Shamir's Secret Sharing，將秘密拆分為 N 份，任意 M 份可重建，單份洩漏不影響安全性。門檻值的設定直接決定安全與可用性的平衡——M 越高，安全性越強，但協調成本也越高。
為什麼它能防止單點授權濫用？
傳統 Root 金鑰由單人掌管，一旦該帳號遭竊或內部濫用，後果不可逆。Quorum 機制將 授權權力強制分散，攻擊者必須同時攻破 M 個獨立實體，攻擊成本呈指數級上升。在實際部署中，各 Quorum 成員通常持有實體智慧卡或硬體金鑰，且彼此獨立儲存，物理隔離進一步加固防線。現代 HSM（如 Thales Luna、AWS CloudHSM）皆原生支援 Quorum 認證，在金鑰生成、備份還原、策略變更等高風險操作前強制要求多方同意。審計日誌也會完整記錄每次 Quorum 參與者，提供不可否認性（Non-repudiation）。
💡 重點整理
- 分散信任：單一憑證洩漏不影響整體系統安全。
- 數學保證：基於 Shamir's Secret Sharing，低於 M 份的碎片無法重建秘密。
- 原生 HSM 支援：Thales、AWS CloudHSM 等主流方案均內建 Quorum 功能。
- 不可否認性：每次授權皆有參與者審計紀錄，符合金融與合規需求。
Quorum-based Authentication 是高安全性系統中防止權力濫用的最後防線。正確設定 M 與 N 的門檻比例，搭配實體隔離與審計機制，能在不犧牲可用性的前提下，大幅提升系統的整體信任基礎。
📚 參考文獻
- Shamir, A. (1979). How to Share a Secret. Communications of the ACM — Quorum 機制的數學基礎原始論文。
- AWS CloudHSM — Quorum Authentication 官方文件（Amazon Web Services）
- Thales Luna HSM — M of N Split Knowledge 操作指南
⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。
留言
張貼留言