David Chaum est un cryptographe qui a conçu des moyens de vérifier un message, un paiement ou un droit sans constituer automatiquement un dossier reliant toute la vie d’une personne. Son apport se comprend à partir d’un souhait ordinaire : payer un achat sans révéler tous les autres.
Imaginons une journaliste qui reçoit une information sensible. Le chiffrement cache le contenu, mais un observateur peut encore voir qui communique avec qui. La proposition de Chaum de 1981 traite précisément cette distinction. Les messages passent par un ordinateur appelé mix, qui retire une couche externe de chiffrement et les transmet dans un ordre différent. Les destinataires déchiffrent ensuite la partie intérieure. Il s’agit donc aussi de rendre plus difficile le rapprochement entre un expéditeur précis et un destinataire précis. [1]
Si un seul message arrive chez un intermédiaire et repart aussitôt, son trajet reste facile à deviner. Le dispositif de 1981 traite donc des lots d’éléments de même taille. Le mix doit aussi rejeter les répétitions : sinon, un attaquant pourrait soumettre plusieurs fois le même élément et rechercher le motif correspondant à la sortie. Modifier l’ordre et l’apparence des messages fait ainsi partie d’une procédure précise. Ajouter simplement un ordinateur sur le trajet n’apporte pas la même protection. [1]
Chaum décrit aussi, en 1981, une chaîne de mix. Le message comporte plusieurs couches de chiffrement, retirées successivement par les nœuds. Dans le modèle proposé, un seul mix non compromis peut suffire à cacher la correspondance entre les entrées et les sorties de toute la chaîne. Cette conclusion dépend toutefois du chiffrement et de la bonne exécution du protocole. Ce n’est pas une garantie d’anonymat dans tout réseau réel. Un téléphone piraté resterait un problème pour notre journaliste, même si la transmission fonctionnait correctement. [1]
Une question semblable se pose pour les paiements : peut-on vérifier la monnaie sans relier chaque achat à un retrait ? Dans son article de 1985, Chaum explique les Blind Signatures, des signatures appliquées à une forme masquée du message. L’utilisateur prépare un billet numérique, le masque mathématiquement et fait signer cette forme par la banque, qui débite le montant correspondant de son compte. Il retire ensuite le masquage ; la signature du billet d’origine reste valide. Le billet peut être vérifié, mais cette signature seule ne révèle pas à la banque quel retrait a produit le billet présenté plus tard. [2]
Un fichier numérique se copie. Si Pierre paie un commerçant avec un billet, puis le présente à nouveau, les deux copies portent une signature apparemment valide. Dans la variante en ligne décrite en 1985, la banque conserve donc la liste des numéros de billets déjà acceptés et refuse leur réutilisation. Le destinataire a besoin de ce contrôle en plus de celui de la signature. L’un établit qui a émis le billet ; l’autre détermine s’il a déjà été encaissé. Ce sont deux questions différentes. [2]
Ce modèle conserve un émetteur. La banque signe les billets et doit les rembourser ; la protection contre le traçage ne garantit pas qu’elle remplira son engagement. Bitcoin traite une autre partie du problème : un réseau vérifie l’historique des transferts de BTC selon des règles communes et le Proof of Work, une preuve de travail de calcul, sans émetteur central de billets. Un jeton signé à l’aveugle n’est donc pas automatiquement du BTC. Il faut distinguer la confidentialité du paiement de la dépendance envers celui qui doit honorer sa promesse. [3] [2]
Le texte de Chaum de 1985 va au-delà des paiements. Il aborde aussi la preuve d’un droit ou d’une caractéristique sous différents pseudonymes, sans permettre aux organisations de relier facilement tous les dossiers d’une personne. Prenons une réduction réservée aux membres : le magasin doit vérifier l’éligibilité, pas nécessairement connaître toutes les visites passées. Une telle attestation est appelée credential. Le dispositif ne supprime ni les vérifications ni les règles du service. Il sépare la preuve utile des informations dont la transaction n’a pas besoin. [2]
Le fonctionnement quotidien peut affaiblir une méthode mathématique solide. En 1985, Chaum souligne que des variations immédiates et opposées de soldes peuvent relier des comptes, même si la signature ne révèle aucun lien. Dans notre exemple, Pierre pourrait aussi fournir son nom pour la livraison. Horaires, comptes et renseignements donnés au commerçant doivent donc être examinés avec les signatures. L’apport de Chaum comprend cette question : quelles informations le service doit-il vraiment connaître, et lesquelles collecte-t-il simplement parce qu’il a été conçu ainsi ? [2]
Pour une vision complète, lisez aussi Nick Szabo, Ralph Merkle, Blind Signature, Chaumian eCash. Cette entrée est également citée par DigiCash, Chaumian eCash, The Crypto Anarchist Manifesto, Blind Signature.