摘要：“你可以給數據庫訪問付費、用電子郵件買軟件和報紙、在網上玩電子遊戲、接收朋友之前欠你的5 塊錢，還可以買披薩。可能性是無限的。” 上文引用的這句話不是出自某個2011 年製作的、介紹比特幣的視頻。實際上，它完全跟比特幣無關。甚至，它不是這個世紀的作品。引文來自一位密碼學家David Chaum …
“你可以給數據庫訪問付費、用電子郵件買軟件和報紙、在網上玩電子遊戲、接收朋友之前欠你的5 塊錢，還可以買披薩。可能性是無限的。”
上文引用的這句話不是出自某個2011 年製作的、介紹比特幣的視頻。實際上，它完全跟比特幣無關。甚至，它不是這個世紀的作品。引文來自一位密碼學家 戴維·肖姆（David Chaum） 在1994 年日內瓦的第一次CERN 大會上的演講，他講的是 電子現金。
如果密碼朋克運動有一個祖先，那肯定是留著鬍子和馬尾辮的David Chaum。說這位密碼學家領先於時代—— 他現在已經62 還是63 歲了（他沒有暴露過自己的真實年齡）—— 都嫌太輕描淡寫了。在大多數人了解到互聯網、擁有個人電腦以前，甚至在愛德華·斯諾登（Edward Snowden）、Jacob Appelbaum 和Pavel Durov 出生以前，Chaum 已經在關心互聯網隱私的未來了。
「你必須讓你的讀者知道這有多重要」，Chaum 曾經跟《連線（Wired）》雜誌這麼說，「賽博空間完全沒有物理限制…… 沒有’牆’ 這種東西…… 它是個完全不同、詭異奇怪的地方，而且大家都知道這是一個全景監獄似的噩夢。不是嗎？其他任何人都可以知道你幹過的所有事，甚至可以永久記錄下來。這跟民主制的基本原理是對立的。」
Chaum 的職業起於在伯克利擔任計算機科學的教授。他不僅僅是一個數字隱私權的鼓吹者，他還設計了工具來實現隱私權。 Chaum 出版於1981 年的論文「不可追踪的電子郵件、回郵地址和數字假名」 為互聯網加密通信的研究奠定了基礎；這些研究最終產生了隱私保護的技術，比如Tor （洋蔥網絡）。
但日常通信的隱私性還不是Chaum 最關心的東西。可以說，他還有更大的想法。這個伯克利的教授想設計一種保護隱私的數字貨幣。
「是把信息保存在個人手裡，還是保存在組織手上，每當一個政府或一個公司要把一批事務自動化的時候，都必須做抉擇」，Chaum 在Scientific American 上寫道，「下一個世紀的社會形態，可能就取決於哪種技術佔據主導地位」。那是1992 年。
而在10 年以前（1982），Chaum 已經解決了這個難題：他出版了自己的第二篇重要論文「用於不可追踪的支付系統的盲簽名」。那時候，現在比特幣圈子裡老手如Pieter Wuille 博士、Erik Voorhees 和Peter Todd 還沒出生呢，這個密碼學家就已經為互聯網設計出了一套匿名的支付方案。
盲簽名（Blind Signatures）
Chaum 的數字貨幣系統的核心是他的發明「盲簽名」。
要理解盲簽名，你得先了解公鑰密碼學，尤其是，（普通的）密碼學簽名是怎麼回事。
公鑰密碼學會用到密鑰對，一個密鑰對由一把公鑰和一把私鑰組成，其中公鑰是由私鑰（一個真正隨機的數字串）根據一定的數學公式計算出來的、 （看似隨機的）數字串。用私鑰推導公鑰非常簡單，但根據公鑰反向計算出私鑰則幾乎是不可能的；這是一條單行道。
公鑰密碼學可以用來建構雙方之間的隱私通信—— 學術論文中一般以「Alice」 和「Bob」 來代指著兩方—— 只要雙方都向對方分享自己的公鑰即可。私鑰可以保持隱私而不暴露。
但Alice 和Bob 能用公鑰密碼學做的可不止隱私通信。 Alice 還可以「簽名」 任意數據（Bob 也是）。實際上，Alice 就是用自己的私鑰和數據一起做一些數學運算。結果就是另一串看似隨機的字符串，稱為「簽名」。同樣地，從簽名中也是無法恢復出Alice 的私鑰的（無論你是否掌握了那段被簽名的數據）。這還是一條單行道。
有意思的是，Bob （乃至其他所有人）都能用Alice 的公鑰來檢查這個簽名是不是Alice 生成的（譯者註：驗證需要被簽名的數據）。檢驗完了Bob 就知道，到底是不是Alice 用自己的私鑰（以及相應的數據片）生成了這條簽名。而私鑰可以簽名任何數據，也就是說數據可以是Alice 和Bob 的任何表態和請求。舉個例子，簽名可以意味著Alice 同意該段數據表示的意思（就像Alice 給合同手寫了一個簽名一樣）。
而盲簽名則使這一切更進一步。一開始，Bob 先生成一個隨機數，稱為「nonce」，然後拿這個隨機數和一段初始數據一起運行特定的數學運算，得出一段亂序的數據片。這個亂序的數據片使其看起來與其它的隨機字符串無異。然後Bob 拿這段亂序數據給Alice 簽名。 Alice 沒法斷定Bob 的初始數據是什麼樣的，所以她是「盲目的」。 Alice 簽名運算的結果就是「盲簽名」。
盲簽名的特殊性在於，這條簽名不僅關聯著Alice 的密鑰（任何數字簽名都有這樣的特徵）和亂序數據片。它也關聯著那段初始的、沒有被混淆過的數據。如果能獲得那段原始數據，那麼任何人僅需使用Alice 的公鑰，就能檢查Alice 是否簽名了那段原始數據的一個亂序版本—— 當然也包括Alice 自己。
ECASH
盲簽名就是Chaum 用來創造數字貨幣系統的關鍵工具。
要理解這些，你要先把上文示例中的Alice 當成一個銀行：Alice Bank。這是一家普通銀行，就像我們現實中的一樣，客戶們在銀行里有專門的賬戶以及存款。
假設Alice 銀行有四個客戶：Bob、Carol、Dan 和Erin。在假設Bob 想從Carol 手上買些東西。
首先，Bob 要向Alice 銀行請求「取款」（一般來說Bob 當然要在事先取到錢，但你先不要管這些細節）。取款的時候，Bob 自己創建一些「電子鈔票」，形式是一串獨一無二的數字，稱作「序列號」。此外，他還要像上面的例子那樣，生成這些鈔票的亂序版本，然後把這些亂序支票發給Alice 銀行。
收到Bob 的亂序鈔票後，Alice 銀行盲簽名每一條亂序數據，然後把這些簽名發回給Bob。每簽發一條亂序鈔票，Alice 銀行就從Bob 的銀行賬戶扣除1 塊錢。
現在，因為Alice 銀行盲簽了這些亂序鈔票，她的簽名已經與初始的電子鈔票關聯了起來。所以Bob 現在可以使用這些初始的、沒有經過混淆的鈔票給Carol 支付了。他只需把這些數據發送給Carol 即可。
Carol 收到這些電子鈔票後，轉發給Alice 銀行。 Alice 可以檢查自己是否簽名過這些鈔票，這也是靠盲簽名完成的事：它們都跟她的私鑰有關聯。 Alice 銀行也順帶檢查同樣的鈔票（序列號）是否已由他人使用過（自己是否遭遇了多重支付）。
鈔票檢驗完成後，Alice 銀行就給Carol 的賬戶添加等量的金額，並告知Carol。經過銀行的確認後，Carol 也知道了Bob 所支付的是有效的鈔票，可以放心地發貨了。
eCash 背後的基本原理。來源：faculty.bus.olemiss.edu/
最關鍵的是，Alice 銀行只有在Carol 要存入這些數字鈔票時才會知道未經混淆的鈔票數據！因此，Alice 銀行根本不知道這些鈔票是Bob 的。理論上，也完全有可能是Dan 或者Erin 的！
因此，Chaum 的解決方案提供了支付中的隱私性。在當時，這不算什麼新鮮事：那時候隱私支付是常態（譯者註：指的是現金交易）。但它是電子形式的，這就是新穎之處。因此，Chaum 選擇了這個比喻：現金（cash）。電子化的現金，eCash。
數碼現金
到1990 年，也就是Chaum 發表第一篇論文差不多10 年後（現在年輕一輩的密碼學貨幣開發者比如Matt Corallo、Vitalik Buterin 和Olaoluwa Osuntokun 也都還沒出生），David Chaum 創辦了DigiCash 公司，辦在阿姆斯特丹（Amsterdam），Chaum 已在那裡生活了好一段時間。這個公司實際上專門做數字貨幣和支付系統，業務包括一個替代收費亭的政府項目（最終被取消）和智能卡（類似於我們今天的硬件錢包）。但DigiCash 的旗艦項目還是其數字現金系統eCash。 （這個系統叫做「eCash」，而係統中所用的貨幣叫做「CyberBucks」，相當於我們用大寫的「Bitcoin」 來指稱底層的協議，而用小寫的「bitcoin」 來稱呼其中的貨幣。）
DigiCash 早期的技術團隊（Chaum 不在照片中）。來源：chaum.com/ecash
那還是網景（Netscape）和雅虎（Yahoo！）領導科技行業開創新高度的時代，一些人認為微支付而非廣告，將成為互聯網的收入模式，DigiCash 也被認為是科技企業中冉冉升起的新星。當然，Chaum 和他的團隊也對自己的技術很有信心。
「隨著網絡支付的成熟，你將可以為各式各樣的小事情小物件買單，支付會比今天多得多」，1994 年，Chaum 這樣跟New York Times 說。當然，他強調了隱私權的重要性。 「你讀過的每篇文章、問過的每個問題，你都要支付。」
那一年，經過4 年的開發，第一個成功的支付系統已在測試，同年晚些時候，eCash 開始允許試用：想要使用這種技術的銀行，需要向DigiCash 請求許可。
銀行業興趣盎然。 1995 年末，eCash 發出了第一張許可：聖路易斯的Mark Twain 銀行。而且，在1996 年頭，世界上最大的銀行之一，德意志銀行（Deutsche Bank），也試水了。瑞士信貸（Credit Suisse） 是第二個加入的大機構，還有多個國家的銀行，也都加入了，包括：澳大利亞的Advance Bank、挪威的Advance Bank 和Bank Austria。
然而，比起DigiCash 達成的交易，更有趣的可能是他們沒有談成的生意。荷蘭三大銀行中的兩家—— ING 和ABN Amro —— 據說已經和DigiCash 達成了價值幾千萬美元的合作。類似地，Visa 也被曝出提出了4000 萬美元的投資，而且網景也有興趣：eCash 本可以放進那個時代最流行的互聯網瀏覽器中。
不過，最能出價不是別人，正是微軟。比爾·蓋茨希望把eCash 集成到Windows 95 操作系統中，據說願意出價1 億美元。 Chaum —— 按照故事的說法—— 要求每賣出一份Windows 95 就收2 美元。於是事兒就黃了。
雖然在當時的技術人員眼中不可謂不亮眼，DigiCash 似乎在談生意上不太利索，因此也難以實現其全部潛能。
到了1996 年，DigiCash 的員工看過了太多失敗的交易，希望有一些改變。辦法就是換個CEO：來自Visa 的資深人士Michael Nash。這家初創公司還獲得了一筆投資，而MIT Media Lab 的創始人Nicholas Negroponte 還被任命為董事會主席。 （最近，通過Digital Currency Initiative 的這一層關係，MIT Media Lab 還聘用了多位Bitcoin Core 的貢獻者。） DigiCash 的總部也從阿姆斯特丹搬到了矽谷。 Chaum 還是其中一員，不過變成了CTO。
事情並無太大改變。幾年打拼下來，eCash 並沒有被普遍接受。加入的銀行一直在實驗，才從未力推這門技術；到了1998 年，Mark Twain 銀行只招收了300 名商家和5000 位用戶。在DigiCash 與花旗銀行（Citibank）的最終協定即將敲定之際—— 這本來可以給這個項目極大的推動—— 銀行因為不相關的原因而退出了。
「很難獲得足夠多的商家，所以也沒辦法獲得足夠多的消費者。反過來說也是對的。」 Chaum 在1999 年跟Forbes 雜誌這麼說，那時候DigiCash 已經破產了，「隨著互聯網變大，用戶的平均素質也下降了。所以很難跟他們解釋隱私的重要性。」
密碼朋克的夢想
DigiCash 失敗了，連帶著eCash 也失敗了。但是，雖然這項技術沒有在商業上成功，Chaum 的工作啟發了一群密碼學家、黑客和活動人士，他們靠著一個郵件列表建立了聯繫。這個團體裡麵包含了DigiCash 貢獻者Nick Szabo 和Zooko Wilcox-O’Hearn，後來以「密碼朋克」 之名為人所知。
可能比Chaum 自己做的還要激進，密碼朋克一直懷有創造一種數字現金的夢想；從1990 年代到2000 年代早期，他們一直在提出不同的數字現金方案。直到2008 年，DigiCash 落幕的10 年後，中本聰把TA 的數字現金設想（比特幣）發到了密碼朋克的精神繼承者的郵件列表。
比特幣和eCash 在設計視角上沒有多少共同點。最重要的是，eCash 有一個中心，就是DigiCash，光憑自己是沒法成為貨幣的。即使世界上所有人都在交易中使用且僅使用eCash，你仍然需要銀行來提供賬戶、餘額和交易確認。這也意味著eCash 雖然能提供隱私性，但並不是抗審查的。舉個例子，即使面臨銀行的封鎖，比特幣仍能用於給維基解密捐贈，但eCash 就做不到，銀行一樣能鎖住維基解密的賬號。
但是，Chaum 對數字貨幣的貢獻，可以追溯到1980 年代早期，仍然能有意義的。比特幣沒有使用盲簽名技術，但建構在比特幣協議上的擴展處理層和隱私層可以使用。 Bitcointalk 論壇和reddit 論壇子版塊r/bitcoin 版主Theymos，一直倡議在比特幣區塊鏈上開發一種類似於eCash 的可擴展側鏈。比特幣交易隱私領域的帶頭人之一Adam Fiscor 也在實現一種使用盲簽名的混幣服務（這種思路最早是由Bitcoin Core 貢獻者Greg Maxwell 提議的）。當前尚未落地的閃電網絡，也可以使用盲簽名來提高安全性。 （譯者註：原文寫於2018 年4 月。）
那Chaum 自己呢？他回到了伯克利，在那裡寫出了等身的著作，大部分都跟數字化選舉和聲譽系統有關。也許，再過20 年，全新一代的開發者、企業家和活動人士，把這些著作奉為某項足以改變世界的技術的奠基工作。
本文部分基於兩篇在1990 年代出版的文章：Steven Levy 為《連線》雜誌撰寫的文章《E-Money (That’s What I Want)》，還有未具名作者為《Next! Magazine》撰寫的《Hoe DigiCash alles verknalde》（譯本在此：《How DigiCash Blew Everything 》。） chaum.com/ecash 網站亦提供了豐富的信息。
作者: Aaron Van Wirdum 翻譯: 阿劍
