Podpisy dla osób niewidomych: Uzyskiwanie podpisu bez ujawniania zawartości sygnatariusza

Co więcej osiąga ślepa podpis

Zwykle cyfrowy podpis certyfikuje dwie rzeczy naraz: że określona osoba autoryzowała wiadomość oraz treść tej wiadomości, ponieważ podpisujący ją czyta ją z góry. Ślepy podpis rozdziera to. Pozwala uproszczonemu żądającemu uzyskać ważny i weryfikowalny podpis od osoby autoryzującej wiadomość na wybrany przez niego temat, a osoba autoryzująca nigdy nie dowiaduje się zawartości wiadomości i, co najważniejsze, nigdy nie może powiązać podpisu wygenerowanego przez nią z konkretnym żądaniem, które go wygenerowało. Otrzymany w ten sposób podpis jest całkowicie normalny: każdy może zweryfikować go za pomocą publicznego klucza podpisującego i dowodzi, że osoba autoryzująca rzeczywiście podpisała tę konkretną wiadomość. Brakuje jednak jakiejkolwiek dokumentacji po stronie podpisującego, która łączy ten wynik z konkretną transakcją, uproszczonym lub momentem w czasie. Nie jest to takie samo, jak szyfrowanie ukrywania wiadomości przed wszystkimi: tutaj podmiot jest aktywnym i dobrowolnym uczestnikiem, który autoryzuje coś pomimo braku możliwości jego zobaczenia. Ta technika ma znaczenie, ponieważ wiele rzeczywistych systemów potrzebuje, aby osoba autoryzująca certyfikowała kwalifikacje lub wartość bez konieczności certyfikowania lub obserwowania szczegółów, a ślepe podpisy pozwalają na to, nie tworząc dokumentacji, którą później mógłby wykorzystać podmiot do śledzenia swoich użytkowników.

The Carbon-Paper Envelope: A Physical Analogy

The classic way to build intuition for blind signatures is entirely physical, and it predates any computer. Picture a sheet of paper on which you have written something private, slipped inside a special envelope lined with carbon paper. You seal the envelope and hand it to a notary. The notary cannot open the envelope or read what is inside, but they can sign the outside of it with a pen. Because of the carbon-paper lining, the pressure of that signature presses straight through the envelope and onto the hidden paper beneath, leaving a genuine signature mark on your private document, even though the notary never saw a word of it. You take the envelope back, tear it open, and remove your paper. It now carries a real, physically transferred signature that will hold up to scrutiny, yet the notary has no idea what they signed and, if you used a fresh unmarked envelope, no way to recognize this paper later even if they wanted to. This is exactly the shape of the cryptographic protocol: a disguise (the envelope) is applied before signing, the signature passes through the disguise onto the real content, and removing the disguise afterward reveals a valid signature on the original, never-seen message.

Mechanizm RSA: Mnożenie z Czynnikiem Wzmacniającym

Podpis RSA z wzmocnieniem w ciemności przekształca sztuczkę z kopertą w operację wykorzystującą pięknie prostą własność potęgowania modularnego. Zlecający najpierw wybiera losowy czynnik wzmacniający, a następnie ukrywa wiadomość mnożąc ją przez ten czynnik wzmacniający podniesiony do potęgi publicznego wykładnika odbiorcy, wszystko modulo publiczny moduł odbiorcy. Wynik to wartość całkowicie przypadkowa i ujawniająca niczego dotyczącego oryginalnej wiadomości nikomu, kto nie zna już tego czynnika wzmacniającego. Zlecający wysyła tę ukrytą wartość do podpisującego, który stosuje swój prywatny wykładnik potęgujący dokładnie tak, jakby podpisywał zwykłą wiadomość, nie mając w tym przypadku możliwości odróżnienia jej od szumu losowego. Kiedy ta podpisana, nadal ukryta wartość wraca, zlecający dzieli ją przez czynnik wzmacniający, konkretnie mnożąc go przez jego odwrotność modularną. Ponieważ operacja podpisywania RSA jest sama w sobie zbudowana na potęgowaniu modularnym, a potęgowanie rozkłada się czysto na przemnożenie pod wspólnym modułem, czynnik wzmacniający własna transformacja przypominająca podpis doskonale wycofa się, pozostawiając dokładnie podpis, który powstałby w wyniku podpisywania oryginalnej, nieukrytej wiadomości bezpośrednio. Żadnego przybliżenia, żadnych reszt, żadnego śladu, tylko matematycznie dokładny i ważny podpis na zawartości, z którą nigdy nie miało kontaktu osoba podpisująca.

Dlaczego to zapewnia prawdziwą, udowodnioną anonimowość

Gwarancja prywatności tutaj jest silniejsza niż po prostu ukrywanie informacji poprzez niedopatrzenie; jest to właściwość strukturalna matematyki. Ponieważ czynnik ślepoty jest wybierany losowo i niezależnie dla każdego żądania, dyskretna wartość, którą podpisujący faktycznie przetwarza, jest statystycznie niepowiązana z ostatecznym, niezasłoniętym przekazem i podpisem, które później wykorzystuje uprzejmy żądoce. Nawet jeśli podpisujący utrzyma doskonały dziennik każdej dyskretnej wartości, którą kiedykolwiek podpisał, ten dziennik jest bezużyteczny do powiązania późniejszego przedstawionego, ważnego podpisu z którymkolwiek konkretnym wpisem, ponieważ związek między nimi ukryty jest za losowym mnożnikiem, który znał tylko uprzejmy żądoce. Jednocześnie nic nie osłabia ważności podpisu. Jest niepodpinany w dokładnie taki sam sposób jak normalny podpis RSA, weryfikowalny przez każdego używającego zwykłego publicznego klucza podpisującego i udowadnia autoryzację. Ta kombinacja sprawia, że ​​ślepe podpisy są cenne w sytuacjach zdominowanych przez sprzeczne żądania: władzę należy móc powiedzieć tak lub nie do żądania, jej zatwierdzenia muszą być wiarygodne i sprawdzalne, a jednak osoby polegające na tej władzy potrzebują pewności, że zatwierdzenie nie może później zostać przekształcone w rejestr obserwacji.

Real-World Applications: Digital Cash and Anonymous Voting

David Chaum's original motivation in the 1980s was anonymous digital cash. In his scheme, a bank blind-signs a token representing a fixed amount of money, certifying that it is genuine and redeemable, without ever seeing which specific token it signed. When the token is later spent and deposited, the bank can verify the signature and honor its value, but has no way to connect that redemption to the withdrawal that created it, mimicking the anonymity of physical cash in a digital system.

This same pattern reappears in some modern anonymous electronic voting schemes. An election authority needs to confirm that a given voter is registered and has not already voted, essentially blind-signing a token that certifies a ballot as valid and unique. The voter then casts that certified ballot through an anonymous channel, and anyone can verify the ballot carries a legitimate signature, while the authority that issued it cannot trace which certified token corresponds to which cast vote or how it was filled in.

Beyond these two flagship uses, variants of blind signatures show up in privacy-preserving credential systems, anonymous authentication tokens, and other protocols where certified legitimacy and personal privacy would otherwise seem impossible to have at the same time.

Frequently asked questions

Wypróbuj na żywo

Wszystko powyżej działa bezpośrednio w Twojej przeglądarce — otwórz Blind Signatures: Getting Something Signed Without Letting the Signer See It i zmieniaj parametry podczas działania. Nic nie jest instalowane ani przesyłane na serwer, cały model działa w jednej karcie.