DigiCash

假设安娜想在网上购买一篇文章。刷卡支付会留下把她的账户、商家和金额联系起来的记录。David Chaum 想问的是：每次数字支付都非得建立这种联系吗？仅仅把记录藏进安全数据库，并不能让他满意。他希望银行没有直接的密码学方法，能把某枚已支付的数字硬币对应到它的取款记录。DigiCash 是将其研究付诸实践的公司，eCash 则是支付技术的名称。两者都不意味着一个没有银行的网络。 [1] [6]

以一美元为例。安娜登录银行账户，申请数字现金。她电脑中的钱包是准备和保存数字硬币的软件。它生成一个独一无二的硬币编号，再用数学方法将其遮蔽。银行从账户扣除一美元，对变换后的数据签名。因此，银行知道客户是谁、取了多少钱，却看不到日后用来识别硬币的原始编号。这不是凭空免费造钱：发行数字硬币的同时，账户会扣除对应金额。 [5] [7]

这种方法叫 blind signature，也就是盲签名。可以把它想成一张装在不透明信封里的纸：印章能透过信封盖到纸上，留下可验证的印记。实际过程没有纸和信封，而是精心设计的数学运算。数字签名不是手写签名的图片。软件使用银行保密的私钥计算签名，其他人则可以用对应的公钥验证它。银行签名后，安娜的钱包去掉遮蔽，签名仍对原始硬币有效。之后，别人便能验证该硬币确实由相应银行签发。不过，遮蔽并不能让安娜把一美元硬币任意变成更大的金额。可验证的签名与隐藏的编号相结合，才是这个想法的核心。 [2] [5] [6]

安娜把硬币发给商家，商家再将它提交给发行银行。在在线流程中，银行既检查签名，也检查这个编号是否曾在之前的支付中出现。两项都通过，银行就接受硬币，并向商家入账相应金额。商家不必只凭安娜的一句保证就相信钱有效。兑换时，银行能看到硬币和收款方，但盲签名本身不会透露这枚硬币来自哪一次取款。这样解释，比说银行什么都看不到更准确。 [5] [7]

数字数据可以复制，安娜也就可能把同一枚硬币发给两家商户。这叫 double spend，即双重支付。这里由银行维护已兑换编号的数据库；再次提交相同编号时，银行会拒绝。负责检查的不是公开的区块链，也不是矿工。Chaum、Amos Fiat 和 Moni Naor 还研究过离线方案，重复花费可能在事后暴露违规者。这与即时在线检查是不同机制，不能把两者混为一谈，承诺所有离线支付都有相同保障。 [5] [7]

Chaum 在 1982 年的研究中提出盲签名，1990 年在阿姆斯特丹创办 DigiCash。早期互联网试验使用 CyberBucks，这些是实验单位，并非普通的银行美元。1995 年 10 月 23 日，DigiCash 与美国 Mark Twain Bank 宣布推出美元电子现金服务。区别很重要：这不再只是试用软件，而是从真实账户中取出价值。不过，发布服务的公告本身，并不能证明公众已经广泛接受了这种支付方式。 [1] [3] [7]

安娜的账户仍可能登记在她名下。银行知道她的取款及金额，商家可能知道收货地址或客户登录账户。对比时间和金额也可能提供线索。盲签名保护的是支付系统内部的一种特定联系，而非购物留下的全部痕迹。生成硬币的电脑同样重要：恶意软件可能在支付前就破坏隐私。这项技术旨在减少记录之间不必要的关联，并不承诺让人完全隐身。 [6] [7]

这里的数字硬币代表特定发行方认可的价值。如果银行或服务停止运营，密码学本身不能保证商家继续收款，也不能保证硬币还能兑换。服务条款和钱包的妥善保存同样重要。甚至能否恢复丢失的数据，也不能想当然：1995 年的公告将通过称为 seed 的秘密初始值恢复数据描述为未来版本的计划。这项历史计划，不等同于今天标准的 Bitcoin 钱包备份。隐私、可用性，以及能否主张并实现货币债权，是不同问题。 [7]

1998 年 11 月，WIRED 报道 DigiCash 已在美国申请 Chapter 11 保护，也就是允许企业重组的破产程序。报道提到债务，以及服务难以得到足够广泛采用的问题。这并不能证明有人破解了盲签名。技术要成功，不能只有数学上成立的设计，还需要愿意运营它的银行、愿意使用它的商家与客户。不过，这种一般性解释与断言我们知道公司倒闭的唯一确切原因，是两回事。 [4]

Bitcoin 后来处理了同一问题的另一部分：如何在没有银行发行硬币、维护最终已花费清单的情况下传递数字价值。节点是运行验证软件的计算机，它们按共同规则检查交易。交易被整理成一批批相互衔接的区块。Proof of Work 是创建这些区块所需的计算工作，使改写已记录的历史变得代价高昂。但支付会进入公开历史，因此去掉发行方，并不会自动带来盲签名所提供的那种隐私。DigiCash 不只是一个失败的 Bitcoin。它提醒我们，保护隐私与摆脱对机构的依赖是两个不同目标，评价支付系统时需要分别考察。 [5] [8]