Dans la construction RSA de Chaum, le demandeur masque un message encodé avec un facteur aléatoire, obtient la signature de la valeur cachée puis retire le masquage. Correction, aveuglement et infalsifiabilité sont distincts; la signature seule n’empêche ni copie du jeton ni double dépense.
Une signature ordinaire montre le message au signataire. Un protocole aveugle sépare autorisation et contenu, permettant de certifier un droit ou une valeur sans connaître le jeton final. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Avec la clé publique RSA (n,e), le demandeur encode le message m, choisit un r aléatoire inversible et envoie m′ = m·r^e mod n. Le masquage cache le message au signataire. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Le signataire utilise l’exposant privé d et renvoie s′ = (m′)^d mod n après contrôle de l’autorisation. Il voit la valeur masquée et l’événement d’autorisation, non le message final. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Le demandeur calcule s = s′·r⁻¹ mod n. L’algèbre retire le masquage et laisse la même signature RSA que produirait la signature directe du m encodé. [David Chaum — Blind Signatures for Untraceable Payments] [RFC 9474 — RSA Blind Signatures]
Toute personne disposant de la clé publique vérifie que s^e correspond au message encodé. La paire finale message-signature n’a pas à porter un identifiant de l’émission interactive. [RFC 9474 — RSA Blind Signatures] [CFRG — RSA Blind Signatures security analysis]
L’aveuglement signifie que le signataire ne peut relier de façon fiable un jeton ultérieur à une session précise. Un encodage sûr et des facteurs nouveaux et imprévisibles sont essentiels; le RSA scolaire n’est pas un protocole de production. [RFC 9474 — RSA Blind Signatures] [CFRG — RSA Blind Signatures security analysis]
L’infalsifiabilité empêche de créer davantage de signatures valides que d’interactions autorisées. La propriété one-more unforgeability considère aussi un attaquant exécutant plusieurs sessions simultanément. [RFC 9474 — RSA Blind Signatures] [CFRG — RSA Blind Signatures security analysis]
Dans la monnaie chaumienne, l’émetteur débite les fonds ou vérifie le droit au retrait puis signe aveuglément les secrets de la pièce. Il vérifie ensuite sa dette sans connaître automatiquement le compte d’origine. [David Chaum — Blind Signatures for Untraceable Payments] [GNU Taler — Blind signatures]
Une signature aveugle n’empêche pas de copier un jeton, ne cache ni données marchandes ni métadonnées réseau et ne garantit ni solvabilité de l’émetteur ni sécurité d’un portefeuille compromis. Un registre de jetons dépensés ou un autre protocole traite la double dépense. [RFC 9474 — RSA Blind Signatures] [GNU Taler — Blind signatures]
Cashu et Fedimint utilisent des créances signées aveuglément sur un émetteur ou une fédération dans l’écosystème Bitcoin et Lightning Network. Leurs constructions cryptographiques diffèrent de l’illustration RSA ci-dessus. La confidentialité des transactions implique des risques de garde et de disponibilité de l’émetteur. [Cashu protocol specifications] [Fedimint documentation]
Pour une vision complète, lisez aussi David Chaum, Chaumian eCash, DigiCash, Cashu, Fedimint, Confidentialité de Bitcoin. Cette entrée est également citée par DigiCash, Chaumian eCash, Cashu, David Chaum.