In Chaums RSA-Konstruktion verblendet der Antragsteller eine kodierte Nachricht mit einem Zufallsfaktor, erhält eine Signatur des verborgenen Werts und entfernt die Verblendung. Korrektheit, Blindheit und Unfälschbarkeit sind getrennte Eigenschaften; die Signatur allein verhindert weder Kopien noch Doppelausgaben.
Gewöhnliche Signaturen zeigen dem Signierer die Nachricht. Ein Blindprotokoll trennt Berechtigung und Inhalt, sodass sich ein Anspruch oder Wert ohne Kenntnis des endgültigen Tokens bestätigen lässt. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Mit dem öffentlichen RSA-Schlüssel (n,e) kodiert der Antragsteller die Nachricht m, wählt ein zufälliges invertierbares r und sendet m′ = m·r^e mod n. Die Verblendung verbirgt die Nachricht vor dem Signierer. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Der Signierer verwendet den privaten Exponenten d und gibt nach Prüfung der Berechtigung s′ = (m′)^d mod n zurück. Er sieht den verblendeten Wert und das Autorisierungsereignis, nicht die endgültige Nachricht. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Der Antragsteller berechnet s = s′·r⁻¹ mod n. Die Algebra entfernt die Verblendung und hinterlässt dieselbe RSA-Signatur wie das direkte Signieren des kodierten m. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Jeder mit dem öffentlichen Schlüssel kann prüfen, ob s^e der kodierten Nachricht entspricht. Das endgültige Paar aus Nachricht und Signatur muss keine Kennung der interaktiven Ausgabe enthalten. [RFC 9474 — RSA Blind Signatures] [CFRG — RSA Blind Signatures security analysis]
Blindheit bedeutet, dass der Signierer einen späteren Token keiner bestimmten Signatursitzung zuverlässig zuordnen kann. Sichere Kodierung und frische unvorhersehbare Faktoren sind wesentlich; Lehrbuch-RSA ist kein Produktionsprotokoll. [RFC 9474 — RSA Blind Signatures] [CFRG — RSA Blind Signatures security analysis]
Unfälschbarkeit verhindert mehr gültige Signaturen als autorisierte Signaturinteraktionen. Die Eigenschaft one-more unforgeability berücksichtigt auch Angreifer mit mehreren gleichzeitig laufenden Sitzungen. [RFC 9474 — RSA Blind Signatures] [CFRG — RSA Blind Signatures security analysis]
Bei chaumschem Bargeld belastet die Münzstätte bei der Abhebung Guthaben oder prüft den Anspruch und signiert das Münzgeheimnis blind. Später prüft sie ihre Verbindlichkeit, ohne automatisch das Ursprungskonto zu kennen. [David Chaum — Blind Signatures for Untraceable Payments] [GNU Taler — Blind signatures]
Eine blinde Signatur verhindert keine Tokenkopien, verbirgt weder Händlerdaten noch Netzwerkmetadaten und garantiert weder Solvenz des Emittenten noch Sicherheit einer kompromittierten Wallet. Ein Register bereits eingelöster Token oder ein weiteres Protokoll verhindert Doppelausgaben. [RFC 9474 — RSA Blind Signatures] [GNU Taler — Blind signatures]
Cashu und Fedimint verwenden blind signierte Ansprüche gegenüber einer Münzstätte oder Föderation im Umfeld von Bitcoin und Lightning Network. Ihre konkreten kryptografischen Konstruktionen unterscheiden sich von der RSA-Illustration oben. Transaktionsprivatsphäre geht mit Verwahrungs- und Verfügbarkeitsrisiken des Emittenten einher. [Cashu protocol specifications] [Fedimint documentation]
Für ein möglichst vollständiges Bild lies diesen Eintrag zusammen mit David Chaum, Chaumsches eCash, DigiCash, Cashu, Fedimint, Bitcoin-Privatsphäre. Auf diesen Eintrag verweisen außerdem DigiCash, Chaumsches eCash, Cashu, David Chaum.