区块链/等级 I · 货币/1.2 密码朋克之路/课程 2
大卫·乔姆、盲签名与DigiCash
隔着信封签名：无需身份的隐私
材料一个信封、一张复写纸和一张纸条，用来重现乔姆的类比
好奇
- 银行如何为一枚它从未见过的硬币签名？
- 为什么在网络购物蓬勃发展的时候，一个功能完善的数字现金系统会失败呢？
- 如果发行方保存了所有记录，那“无法追踪”又是什么意思？
探索
- 1981年，大卫·乔姆提出了混合网络（mix network），用以切断发送方与接收方之间的联系。消息经过一系列中继节点，每个节点解密一层，并对流量进行批量处理和重新排序，因此观察者无法将输入的内容与输出的内容对应起来。这项开创性的工作证明，匿名性可以通过密码学手段构建出来，而不只是寄望于隐匿。
- 在《用于不可追踪支付的盲签名》（Crypto '82）一文中，乔姆描述了一种机制：签名者在不知道数据内容的情况下对其进行签名。用户先对消息进行盲化，银行用自己的私钥对盲化后的消息签名，之后用户再去盲。由此得到的签名对原始数据有效，但银行不会留下任何记录，无从知道自己签署的具体是哪一个代币。
- 乔姆自己的类比是：将一张纸条封进内衬复写纸的信封里。签名者在信封外面签名，复写纸会把签名转印到纸条上。日后打开信封，纸条上便带有一个签名者从未见过的有效签名。在eCash中，这张纸条就是硬币的序列号，而银行的签名则证明其面值。
- 1989年，乔姆在阿姆斯特丹创立了DigiCash，以eCash的形式实现这一技术。从1995年起，圣路易斯的马克·吐温银行开始提供真实账户，客户可以通过这些账户购买和使用数字硬币。付款人对银行是匿名的；商家则不是，因为他们要把硬币存入以自己名义开设的账户，而且每笔存款都会在线与铸币方的已花费序列号列表进行比对。
- DigiCash于1998年申请破产。据当时的报道，原因包括管理问题、银行失去兴趣（马克·吐温银行于1998年停止了eCash业务），以及信用卡在网络支付领域胜出。此外，该设计将每一笔支付都绑定在一家公司的铸币方上，而该铸币方必须在线核验每一枚硬币。这凸显出，能够保护隐私的密码学并不能消除对可信发行方的需求。
- 乔姆的遗产延续在Chaumian ecash、Cashu和Fedimint等保护隐私的协议之中。他在1985年的论文《无需身份识别的安全》中主张建立将身份与支付分离、从而让“老大哥”过时的交易系统。这项工作直接影响了密码朋克运动，并表明支付隐私可以内置于协议之中，而不是交由政策来决定。
关键事实
- 1983年，大卫·乔姆发表了《用于不可追踪支付的盲签名》。
- DigiCash于1989年在阿姆斯特丹成立，1998年申请破产。
- 马克·吐温银行从1995年开始提供eCash账户。
- 盲签名使银行能够在看不到硬币序列号的情况下为其签名。
- 乔姆的混合网络（1981年）为匿名通信协议奠定了基础。
- DigiCash需要对照中心化的已花费列表进行在线验证，以防止双花。
练习 九、六、三、一
9收集列出1980年至2010年间的9种数字支付系统，并说明每种系统是否能让付款方或收款方对商家保持匿名。
6归类根据由谁掌握关键记录，将这9种系统分为6类：银行完全可见、部分匿名、无中心记录，或其他结构模式。
3提炼将这6组归纳为3个原因，说明为何大多数早期系统为了商家和监管机构而将可追溯性置于隐私之上。
1凝结用一句话说明盲签名解决了什么问题，以及在双花方面还留下了哪些未解决的问题。
事实核查
日期、数字及数据均依据下方列出的已发表资料进行核实。
- D. Chaum, 'Untraceable electronic mail, return addresses, and digital pseudonyms' (CACM 1981)
- D. Chaum, 'Blind Signatures for Untraceable Payments' (Crypto '82, published 1983)
- D. Chaum, 'Security without Identification: Transaction Systems to Make Big Brother Obsolete' (CACM 1985)
- A. Narayanan et al., Bitcoin and Cryptocurrency Technologies (2016)