David Chaum

Уявімо журналістку, яка отримує чутливу інформацію. Шифрування приховує зміст, але спостерігач усе ще може бачити, хто з ким спілкується. Саме цю різницю розглядає пропозиція Chaum 1981 року. Повідомлення проходять через комп’ютер під назвою mix: він знімає зовнішній шар шифрування та відправляє їх в іншому порядку. Одержувачі розшифровують внутрішню частину. Мета полягає не лише в приховуванні слів, а й в ускладненні зв’язування конкретного відправника з конкретним одержувачем. [1]

Якщо до посередника надходить одне повідомлення й одразу виходить, його шлях легко здогадатися. Тому схема 1981 року обробляє пакети елементів однакового розміру. Mix також має відхиляти повтори: інакше зловмисник міг би кілька разів надіслати той самий елемент і шукати відповідний малюнок на виході. Зміна порядку та вигляду повідомлень є частиною визначеної процедури. Саме додавання ще одного комп’ютера до маршруту такого захисту не дає. [1]

У 1981 році Chaum описав також ланцюжок mix. Повідомлення має кілька шарів шифрування, які вузли послідовно знімають. У запропонованій моделі навіть один нескомпрометований mix може приховати відповідність між входами й виходами всього ланцюжка. Проте висновок спирається на припущення щодо шифрування та правильного виконання протоколу. Це не гарантія анонімності в будь-якій реальній мережі. Наприклад, зламаний телефон нашої журналістки залишиться проблемою, навіть якщо передавання працює правильно. [1]

Для платежів виникає схоже питання: чи можна перевірити гроші, не пов’язуючи кожну покупку зі зняттям коштів? У статті 1985 року Chaum пояснює Blind Signatures — підписи прихованої форми повідомлення. Користувач готує цифрову банкноту, математично маскує її, а банк підписує цю форму й списує відповідну суму з рахунку. Потім користувач знімає маскування; підпис початкової банкноти залишається чинним. Банкноту можна перевірити, але сам підпис не повідомляє банку, під час якого зняття коштів була видана банкнота, пред’явлена пізніше. [2]

Цифровий файл можна скопіювати. Якби Петро заплатив банкнотою в магазині, а потім запропонував її знову, підпис обох копій виглядав би чинним. Тому в онлайн-варіанті, описаному 1985 року, банк веде список уже прийнятих номерів банкнот і відхиляє повторне використання. Одержувачу потрібна ця перевірка, а не лише перевірка підпису. Підпис показує, хто видав банкноту; інша перевірка з’ясовує, чи її вже погасили. Це різні питання. [2]

У цій моделі залишається емітент. Банк підписує банкноти й повинен їх погашати; захист від відстеження сам по собі не гарантує виконання цього зобов’язання. Bitcoin розв’язує іншу частину проблеми: мережа перевіряє історію переказів BTC за спільними правилами та за допомогою Proof of Work, тобто доказу обчислювальної роботи, без центрального емітента банкнот. Тому токен зі сліпим підписом не стає автоматично BTC. Приватність платежу варто оцінювати окремо від залежності від виконання чужої обіцянки. [3] [2]

Текст Chaum 1985 року виходить за межі платежів. Він також розглядає підтвердження права чи властивості під різними псевдонімами, щоб організаціям було складніше об’єднати всі записи про людину. Уявімо знижку для членів клубу: магазину потрібно перевірити право на неї, а не обов’язково дізнатися про всі попередні відвідування. Таке підтвердження називають credential. Схема не скасовує перевірок чи правил сервісу. Вона відділяє доказ потрібного факту від інформації, яка не потрібна для цієї операції. [2]

Робота системи може послабити навіть сильний математичний метод. У 1985 році Chaum звернув увагу: миттєві протилежні зміни залишків можуть пов’язати рахунки, хоча підпис цього зв’язку не розкриває. У нашому прикладі Петро також може сам указати ім’я для доставки покупки. Тож час, рахунки й дані, передані продавцю, потрібно розглядати разом із підписами. До внеску Chaum належить і питання: які відомості сервісу справді потрібні, а які він збирає просто через свою будову? [2]