David Chaum

Представим журналистку, получающую чувствительную информацию. Шифрование скрывает содержание, но наблюдатель всё ещё может видеть, кто с кем общается. Именно это различие рассматривает предложение Chaum 1981 года. Сообщения проходят через компьютер под названием mix: он снимает внешний слой шифрования и отправляет их в другом порядке. Получатели расшифровывают внутреннюю часть. Цель состоит не только в сокрытии слов, но и в том, чтобы затруднить связь конкретного отправителя с конкретным получателем. [1]

Если к посреднику приходит одно сообщение и немедленно уходит дальше, его путь легко угадать. Поэтому схема 1981 года обрабатывает пакеты элементов одинакового размера. Mix также должен отклонять повторы: иначе атакующий мог бы отправить один элемент несколько раз и искать соответствующий рисунок на выходе. Изменение порядка и внешнего вида сообщений входит в определённую процедуру. Само добавление ещё одного компьютера на пути такой защиты не обеспечивает. [1]

В 1981 году Chaum описал и цепочку mix. Сообщение имеет несколько слоёв шифрования, которые узлы последовательно снимают. В предложенной модели даже один нескомпрометированный mix может скрыть соответствие между входами и выходами всей цепочки. Однако вывод опирается на допущения о шифровании и правильном исполнении протокола. Это не гарантия анонимности в любой реальной сети. Например, взломанный телефон нашей журналистки останется проблемой, даже если передача сообщения работает правильно. [1]

Для платежей возникает похожий вопрос: можно ли проверить деньги, не связывая каждую покупку со снятием средств? В статье 1985 года Chaum объясняет Blind Signatures — подписи скрытой формы сообщения. Пользователь готовит цифровую банкноту, математически маскирует её, а банк подписывает эту форму и списывает соответствующую сумму со счёта. Затем пользователь снимает маскировку; подпись исходной банкноты остаётся действительной. Банкноту можно проверить, но сама подпись не сообщает банку, при каком снятии средств была выдана банкнота, предъявленная позднее. [2]

Цифровой файл можно скопировать. Если Пётр заплатит банкнотой в магазине, а затем предложит её снова, подпись будет выглядеть действительной на обеих копиях. Поэтому в онлайн-варианте, описанном в 1985 году, банк ведёт список уже принятых номеров банкнот и отклоняет повторное использование. Получателю нужна эта проверка помимо проверки подписи. Подпись отвечает на вопрос, кто выпустил банкноту; другая проверка определяет, была ли она уже погашена. Это разные вопросы. [2]

Эта платёжная модель сохраняет эмитента. Банк подписывает банкноты и должен их погашать; защита от отслеживания сама по себе не гарантирует исполнения обязательства. Bitcoin решает другую часть проблемы: сеть проверяет историю переводов BTC по общим правилам и с помощью Proof of Work, доказательства вычислительной работы, без центрального эмитента банкнот. Поэтому токен со слепой подписью не становится автоматически BTC. Приватность платежа следует оценивать отдельно от зависимости от исполнения чужого обещания. [3] [2]

Текст Chaum 1985 года выходит за рамки платежей. Он также рассматривает подтверждение права или свойства под разными псевдонимами, чтобы организациям было сложнее объединять все записи о человеке. Представим скидку для членов клуба: магазину нужно проверить право на неё, а не обязательно узнать обо всех прошлых посещениях. Такое подтверждение называют credential. Схема не отменяет проверки или правила сервиса. Она отделяет доказательство нужного факта от информации, которая для этой операции не требуется. [2]

Работа системы может ослабить даже сильный математический метод. В 1985 году Chaum обратил внимание на то, что мгновенные противоположные изменения остатков могут связать счета, хотя подпись этой связи не раскрывает. В нашем примере Пётр также может сам указать имя для доставки покупки. Поэтому время, счета и сведения, переданные продавцу, нужно рассматривать вместе с подписями. Вклад Chaum включает и вопрос: какая информация сервису действительно нужна, а какую он собирает лишь потому, что так устроен? [2]