David Chaum

機密情報を受け取る記者を想像してください。暗号化で内容を隠しても、観察者には誰と誰が通信しているかが分かるかもしれません。Chaum の 1981 年の提案は、この違いに取り組みました。メッセージは mix と呼ばれるコンピューターを通り、外側の暗号化の層が取り除かれ、別の順序で送り出されます。受信者はその後、内側の暗号を解きます。言葉を隠すだけでなく、特定の送信者と受信者を結び付けにくくすることが目的です。 [1]

中継役にメッセージが一通だけ届き、すぐに出ていけば、その経路は容易に推測できます。そこで 1981 年の設計では、同じ大きさの項目をまとめて処理します。Mix は重複も拒否しなければなりません。そうしなければ、攻撃者が同じ項目を何度も送り、出口で対応する繰り返しを探せるからです。順序と見た目の変更は、決められた手順の一部です。経路にコンピューターを追加するだけでは、同じ保護にはなりません。 [1]

Chaum は 1981 年、複数の mix をつなぐ構成も説明しました。メッセージには暗号化の層がいくつもあり、各ノードが順番に取り除きます。提案されたモデルでは、一つの mix が侵害されずに残るだけでも、連鎖全体の入口と出口の対応を隠せます。ただし、この結論は暗号化とプロトコルの正しい実行に関する前提に依存します。どの実際のネットワークでも匿名になるという保証ではありません。記者のスマートフォンが乗っ取られていれば、通信が正常でも問題は残ります。 [1]

支払いにも似た問いがあります。発行者にすべての買い物と引き出しを結び付けられずに、お金を検証できるでしょうか。Chaum は 1985 年の記事で、隠した形のメッセージに署名する Blind Signatures を説明しています。利用者はデジタル紙幣を作り、数学的に目隠しをして、その形に銀行の署名を受け、口座から対応する金額が引き落とされます。その後、目隠しを取り除いても、元の紙幣への署名は有効なままです。紙幣は検証できますが、その署名だけでは、後に提示された紙幣がどの引き出しに由来するかを銀行は知りません。 [2]

デジタルファイルはコピーできます。ピーターが紙幣で買い物をした後、同じ紙幣を再び差し出しても、両方のコピーの署名は有効に見えます。そのため、1985 年に説明されたオンライン方式では、銀行が受け入れ済みの紙幣番号を記録し、再使用を拒否します。受取人には署名の検証に加えて、この確認が必要です。署名は誰が発行したかを示し、再使用の確認はすでに換金されたかを調べます。別々の問題なのです。 [2]

この決済モデルには発行者が残ります。銀行は紙幣に署名し、換金に応じる立場です。追跡からの保護だけでは、その義務を果たす保証になりません。Bitcoin は問題の別の部分に取り組みます。中央の紙幣発行者ではなく、ネットワークが共通ルールと計算作業の証明である Proof of Work に基づいて、BTC の移転履歴を検証します。したがって、ブラインド署名付きのトークンが自動的に BTC になるわけではありません。支払いのプライバシーと、誰の履行に依存するかを分けて考える必要があります。 [3] [2]

Chaum の 1985 年の記事は決済だけにとどまりません。組織が一人の記録を簡単につなぎ合わせられないよう、異なる仮名で資格や属性を証明する方法も扱います。会員割引を考えてみましょう。店は割引の資格を確認する必要がありますが、過去の来店履歴をすべて知る必要はありません。このような証明は credential と呼ばれます。検証やサービスの規則をなくすのではなく、必要な事実の証明と、取引に不要な情報を切り離そうとする設計です。 [2]

優れた数学的手順も、周囲の運用によって弱まることがあります。Chaum は 1985 年、残高が即座に反対方向へ変化すると、署名が関係を明かさなくても口座が結び付けられる可能性を指摘しました。また、例のピーターが配送のため自分の名前を伝えることもあります。時刻、口座、店に渡す情報も、署名と一緒に考えなければなりません。サービスに本当に必要な情報は何か、単にそう設計されているから集められる情報は何か。この問いも Chaum の貢献です。 [2]