David Chaum

Představte si novinářku, které někdo posílá citlivou informaci. Zašifrování skryje obsah zprávy, ale pozorovatel stále může vidět, kdo s kým komunikuje. Právě tento rozdíl řeší Chaumův návrh z roku 1981. Zprávy procházejí počítačem zvaným mix, který odstraní vnější vrstvu šifrování a odešle je v jiném pořadí. Příjemce pak otevře jejich vnitřní šifrovanou část. Cílem není jen utajit slova, ale ztížit spojení konkrétního odesílatele s konkrétním příjemcem. [1]

Kdyby do prostředníka přišla jediná zpráva a hned zase odešla, její cestu by šlo snadno odhadnout. Návrh z roku 1981 proto pracuje s dávkami stejně velkých položek. Mix musí také odmítat opakování: útočník by jinak mohl poslat tutéž položku několikrát a hledat odpovídající vzor na výstupu. Změna pořadí a podoby zpráv tedy tvoří součást konkrétního postupu. Samotné přesměrování přes další počítač ještě stejnou ochranu neposkytuje. [1]

Chaum v roce 1981 popsal i řetězec mixů. Zpráva má několik šifrovaných vrstev, které jednotlivé uzly postupně odstraňují. V popsaném modelu může spojení mezi vstupem a výstupem celé řady skrýt i jediný nekompromitovaný mix. Závěr však stojí na předpokladech o šifrování a správném provedení protokolu. Není to příslib anonymity v každé skutečné síti. Pro naši novinářku by například napadený telefon zůstal problémem, i kdyby přenos zprávy fungoval správně. [1]

U plateb se podobná otázka objeví znovu: lze ověřit pravost peněz, aniž by vydavatel spojil každý nákup s výběrem? Chaum v článku z roku 1985 vysvětluje Blind Signatures, tedy podpisy vytvořené nad skrytou podobou zprávy. Uživatel připraví digitální poukázku, matematicky ji zaslepí a banka tuto podobu podepíše a odepíše odpovídající částku z jeho účtu. Uživatel poté zaslepení odstraní; podpis na původní poukázce zůstane platný. Poukázku lze ověřit, ale samotný tento podpis bance neprozradí, ke kterému výběru později předložená poukázka patří. [2]

Digitální soubor lze zkopírovat. Kdyby Petr stejnou poukázkou zaplatil v obchodě a potom ji nabídl znovu, podpis by v obou kopiích vypadal správně. V online variantě popsané roku 1985 proto banka vede seznam již přijatých čísel poukázek a opakované použití odmítne. Příjemce potřebuje tuto kontrolu, ne pouze kontrolu podpisu. Ověření pravosti odpovídá na otázku, kdo poukázku vydal; kontrola opakování zjišťuje, zda už byla uplatněna. Jde o dvě různé věci. [2]

Tento platební model zachovává vydavatele. Banka podepisuje poukázky a má je přijmout zpět; ochrana před sledováním sama nezaručí, že banka skutečně splní svůj závazek. Bitcoin řeší jinou část problému: historii převodů BTC ověřuje síť podle společných pravidel a Proof of Work, tedy výpočetního důkazu práce, bez centrálního vydavatele poukázek. Zaslepeně podepsaný token proto není automaticky BTC. Při porovnávání systémů se ptejme zvlášť na soukromí platby a zvlášť na to, na čím plnění jsme závislí. [3] [2]

Chaumův text z roku 1985 přesahuje platby. Zabývá se také tím, jak doložit oprávnění nebo vlastnost pod různými pseudonymy, aniž by organizace snadno spojily všechny záznamy o jednom člověku. Představme si členskou slevu: obchod potřebuje ověřit nárok, ne nutně získat přehled všech předchozích návštěv. Takový doklad se označuje jako credential. Návrh ovšem neruší ověřování ani pravidla služby. Snaží se oddělit důkaz potřebné skutečnosti od údajů, které pro danou transakci nejsou nutné. [2]

Silný matematický postup může oslabit okolní provoz. V článku z roku 1985 Chaum upozorňuje, že okamžité opačné změny zůstatků mohou propojit účty, přestože podpis vazbu neodhaluje. V našem příkladu by zase Petr mohl sám uvést své jméno při doručení nákupu. Čas, účty a údaje sdělené obchodníkovi proto patří do stejné úvahy jako podpisy. Chaumův přínos spočívá i v této otázce: které informace služba opravdu potřebuje a které o nás sbírá jen proto, že je její systém tak navržen? [2]