01
To paties banknoto negalima atiduoti du kartus.
Kai juo sumokate, jis nebe jūsų. Tai ne taisyklė, o fizika: popierius yra vienas daiktas.
Proveržis
Tai, ko skaitmeniniai grynieji neįveikė keturiasdešimt metų.
Tai ilgiausiai atviras klausimas skaitmeninių pinigų istorijoje. Jis liko atviras ne todėl, kad niekas juo neužsiėmė, — o todėl, kad kiekvienas sprendimas turėjo kainą, kurios niekas nenorėjo mokėti.
Problema
02
Skaitmeniniai pinigai — duomenys. O duomenis galima kopijuoti.
Nusiųsti failą du kartus lygiai taip pat lengva, kaip ir vieną.
03
Prisijungus tai išsprendžiama. Neprisijungus — ne.
Turėdami tinklą, galite centrinio registro paklausti, ar pinigai jau išleisti. Neturėdami — nėra ko klausti.
Ne viskas išsprendžiama — ir tai verta pasakyti garsiai.
Jei gavėjas nėra prisijungęs prie tinklo, dvigubo išleidimo mokėjimo akimirką aptikti neįmanoma. O ko neįmanoma aptikti, to neįmanoma ir užkirsti.
Qashmore nežada užkardymo. Jis žada kai ką kita, ir praktikoje tai beveik tiek pat gera: tikrą, įrodomą išsidavimą.
Kas buvo bandyta
Dešimt stotelių per keturis dešimtmečius. Prie kiekvienos — tie patys trys klausimai: kas tai buvo, ką tai davė ir kiek kainavo.
-
1982–1988
Kas tai buvoIdėja. Chaum, paskui Chaum–Fiat–Naor: mokėjimas telieka anoniminis, bet kas išleidžia du kartus, tas matematiškai išsiduoda pats.
Ką tai davėTeisingas atsakymas — ne užkardymas, o savęs išdavimas.
KainaLiko popieriuje. Realiai veikiančioje sistemoje, tikru mastu, jis taip ir nebuvo paleistas.
-
1990-ieji
Kas tai buvoDigiCash. Paties Chaumo įmonė pavertė principą produktu — su bankais ir tikrais klientais. Saugumo aparatinės įrangos ji nenaudojo.
Ką tai davėJi įrodė, kad anoniminis skaitmeninis mokėjimas veikia.
KainaIšleistame produkte bankas kiekvieną banknotą tikrino prisijungęs; režimas neprisijungus liko „vėlesniu plėtiniu“. 1998 m. bendrovė bankrutavo.
-
1992–1995
Kas tai buvoCAFE, Europos Sąjungos mokslinių tyrimų projektas, kartu su Chaumu.
Ką tai davėVienintelė savo laikotarpio sistema su kriptografiniu sukčiaus nustatymu: „Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.“ (Net jei atsparumas manipuliacijoms būtų įveiktas, naudotojai, elektroninius pinigus išleidžiantys daugiau nei kartą, yra nustatomi.)
KainaPaties projekto žodžiais, „it allows just one transfer of the electronic money“ (jis leidžia vos vieną elektroninių pinigų perdavimą) — grandinės nėra.
-
1990-ieji
Kas tai buvoMondex. Iš kortelės į kortelę, be tinklo, iš rankų į rankas. ITSEC E6.
Ką tai davėVienintelė sistema, gebėjusi nešti neriboto ilgio grandinę neprisijungus.
KainaPasitikėjimas persikėlė į lustą. Kortelė nerodė, kad niekas nesukčiavo, — ji tikėjo, kad niekas ir negali. Sukčiaus nustatymo nėra. Paskutinė rinka uždaryta 2008 m.
-
1996–2000-ieji
Kas tai buvoGeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Ką tai davėVeikiantis, plačiai paplitęs mokėjimas neprisijungus — keliose šalyse, dešimtmečius.
KainaVisos jos — manipuliacijoms atsparios lustinės kortelės. Perdavimo tarp naudotojų arba nėra, arba jis remiasi ta pačia aparatine įranga. Sukčiaus nė viena nenustato.
-
2009
Kas tai buvoPastovaus dydžio perleidžiami elektroniniai grynieji (Fuchsbauer ir kolegos).
Ką tai davėPagaliau pinigai galėjo pereiti kelias rankas, kol grįždavo į banką.
KainaSukčiaus kainą sumokėdavo sąžiningieji. Įvykus dvigubam išleidimui, patikima sekimo šalis galėjo atskleisti ir tų sąžiningų turėtojų tapatybes, per kurių rankas užkrėsti pinigai vėliau perėjo.
-
2011
Kas tai buvoAnonimiškumas su teisėju (Blazy ir kolegos).
Ką tai davėJis grąžino sąžiningo naudotojo anonimiškumą.
KainaJam reikėjo visa matančio „teisėjo“ — ir taip buvo prarastas būtent tas pažadas, dėl kurio visa kryptis ir buvo kuriama.
-
2015
Kas tai buvoPirmieji visiškai anoniminiai perleidžiami elektroniniai grynieji (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).
Ką tai davėBe patikimos trečiosios šalies. Teorinis proveržis.
KainaDėl savo statybinių blokų jis negali veikti prie kasos.
-
2021
Kas tai buvoBauer–Fuchsbauer–Qian. Pirmoji išbaigta konstrukcija su saugumo įrodymais — visos trys anonimiškumo sąvokos, neribotas grandinės gylis.
Ką tai davėJi parodė, kad uždavinys išsprendžiamas. Tai neginčijama; sąvoka — jų.
KainaNėra nei paskelbto įgyvendinimo, nei išmatuoto veikimo laiko, nei kreivės pasirinkimo. Pagal paskelbtus elementų skaičius jų mokėjimo paketas po išėmimo yra apie 19 kilobaitų ir kas žingsnį auga maždaug 7 kilobaitais.
-
2020-ieji
Kas tai buvoCentriniai bankai. Skaitmeninio euro sluoksnis neprisijungus, Kinijos e-CNY režimas neprisijungus, Indijos UPI Lite.
Ką tai davėMokėjimas neprisijungus realiose, didelio masto sistemose.
KainaVisi jie remiasi saugumo aparatine įranga. Bank of England 2025 m. eksperimente penki tiekėjai iš penkių naudojo secure element; Riksbank bandė apsieiti vien telefonais ir raštu tai atmetė.
Du dėsningumai. Kur į mokėjimą neprisijungus buvo žiūrima rimtai, po juo buvo pakišta aparatinė įranga. Kur buvo pasirinkta matematika, arba iš to taip ir neatsirado įdiegtos sistemos, arba sukčiaus kainą sumokėjo sąžiningieji. Grandinė ir tikslus sukčiaus įvardijimas iki šiol nėjo kartu.
Tai, ko per keturiasdešimt metų niekas neįdiegė.
Pirma. Kas išleidžia du kartus, tas išsiduoda pats.
Du dvigubo išleidimo pėdsakai kartu matematiškai duoda paties sukčiaus raktą. Tai automatiška, to negalima paneigti, ir tam nereikia nieko sekti.
Antra. Tai veikia ir neprisijungus vykstančioje perdavimų grandinėje.
Jei pinigai perėjo kelias rankas, visos jos buvo neprisijungusios, ir kur nors grandinėje kas nors sukčiavo — sistema įvardija būtent tą vieną žmogų.
Trečia. Visi kiti lieka nepaliesti.
Visi kiti, sąžiningi grandinės nariai išsaugo anonimiškumą — neišsiduoda nei sąžiningi turėtojai iki sukčiaus, nei tie, kurie po jo, ir nė vienas jų netampa įtariamuoju. Nė tada, jei kas nors sąmoningai bandytų nukreipti į juos įtarimą.
Būtent čia ir suklupo 2009-ųjų sprendimas.
Grandinė
Keturi žmonės, keturi vaidmenys. Pinigai visą kelią keliauja neprisijungus.
- A
mokėtojas
Gauna skaitmeninį banknotą iš savo banko. Perduoda jį toliau neprisijungęs.
- B
tarpinis turėtojas
Priima, paskui perduoda toliau. Visą laiką neprisijungęs.
- C
sukčius
Tą patį banknotą išleidžia du kartus.
- D
sąžiningas gavėjas
Priima jį. Nė nenutuokia, kad kas nors negerai.
Kai bet kuris grandinės taškas kitą kartą pasiekia tinklą, sistema įvardija C — asmeniškai. A, B ir D lieka anonimiški, ir nė vienam iš jų negalima mesti įtarimo. D nuostolį padengia emitento garantija: sumoka sukčiaus bankas, o paskui sumą išsiieško iš sukčiaus.
Du atskiri dalykai, ir juos verta skirti. Kad įtarimo negalima nukreipti į sąžiningus turėtojus, išplaukia iš konstrukcijos teoremos. Kad ir jų pinigai išlieka, išplaukia iš emitento garantijos — tai verslo susitarimas, su limitu.
Perdavimo neprisijungus gylį nustato diegimas — šiandien dešimt žingsnių —, paskui pinigus vieną kartą reikia atnaujinti prisijungus. Gavėjui perduodamas mokėjimo paketas ką tik išleistas yra apie 456 baitai, o giliausioje grandinėje — apie 956 baitai; patikra trunka apie 12 milisekundžių.
Ką tai reiškia praktikoje
Specialaus telefono nereikia.
Jokio saugumo lusto, jokio gamintojo vartų sargo.
Sąžiningas gavėjas nelieka nuskriaustas.
Rizika lieka ne jam.
Priežiūrai nereikia matyti visko.
Patikros vyksta ten, kur vertė įeina ir kur išeina.
Jei norėtumėte su tuo ginčytis
Chaumo krypties savęs išdavimu grįstas aptikimas liko popieriuje; realiai veikiančioje sistemoje, tikru mastu, jis taip ir nebuvo paleistas. Paskelbti centrinių bankų bandymai neprisijungus remiasi saugumo aparatine įranga — apie penkis tiekėjus Bank of England 2025 m. ataskaita rašo pažodžiui: „All solutions used secure elements.“ (Visi sprendimai naudojo saugumo elementus.)
Pirmąją konstrukciją, rodančią, kad toks savybių derinys pasiekiamas, 2021 m. pateikė Bauer, Fuchsbauer ir Qian — su išbaigtu, recenzuotu saugumo modeliu ir įrodymais; pagal savo pačių matą jie ją vadina praktiška. Tai neginčijama. Tačiau skirtumas išmatuojamas: pagal paskelbtus elementų skaičius mokėjimo paketas yra apie 19 kilobaitų ir kas žingsnį auga maždaug 7 kilobaitais — be įgyvendinimo, be išmatuoto veikimo laiko ir be kreivės pasirinkimo. Pactena sprendimas ir po dešimties žingsnių lieka apie 956 baitai, patikrinamas per maždaug 12 milisekundžių. Mainai sąmoningi: Pactena grandinės gylis apribotas tyčia (ir yra konfigūruojamas parametras).
Vyksta išorinis kriptografinis mokėjimų sluoksnio įvertinimas; rezultatas bus paskelbtas.
Iki 2026 m. rugpjūčio nėra žinoma nė viena viešai dokumentuota, veikianti sistema, kuri visa tai suteiktų kartu. Buvo peržiūrėta IACR ePrint, DBLP, visas Google Patents tekstas, BIS, ECB, Fed ir EDPB dokumentų archyvai, dvylika CBDC tiekėjų ir visas 2015–2026 m. Real World Crypto korpusas. Jei žinote kitą tokį sprendimą, nuoširdžiai norėtume apie jį paskaityti.