stanford-oval/wikipedia huggingface dataset:
חתימה עיוורת
מבוא

חתימה דיגיטלית היא תוצר של הצפנת מפתח ציבורי או הצפנה א-סימטרית שבה המערכת מפוצלת לשני חלקים נפרדים, שלב ההצפנה המקביל לשלב החתימה ושלב הפענוח המקביל לשלב אימות החתימה. כל אחד יכול לאמת חתימה המצורפת למסמך כלשהו באמצעות המפתח הציבורי של החותם אך רק החותם שמחזיק במפתח הפרטי יכול לחתום חתימה תקפה בשמו ובהגדרה אין אפשרות (או קשה מאוד) לנחש מהו מפתח החתימה הפרטי בידיעת מפתח האימות הציבורי. חתימה דיגיטלית כוללת פונקציית חתימה  S ופונקציית אימות  V כך שהתוצאה של  V(S(m)) על המסר  m היא הוכחה לתקפותה. השיטה המפורסמת ביותר לחתימה דיגיטלית היא שיטת RSA המבוססת על העובדה שמצד אחד קל לבצע העלאה בחזקה ומצד שני קשה לפרק לגורמים מספרים שלמים. אליס בוחרת שני מספרים ראשוניים גדולים  p ו- q ומחשבת את  n=pq. כמו כן היא מגרילה מספר שלם  e שהוא זר ל- \phi (n), מחשבת את המפתח הסודי  d כך שמתקיים  ed\equiv 1{\text{ (mod }}\phi (n)). כאשר  \phi (n) הוא פונקציית אוילר של  n שהיא במקרה זה  (p-1)(q-1). את  e ואת  n היא מפרסמת לכל דורש ואילו את  d ואת  p ו- q היא שומרת בסוד. כדי לחתום על המסר  m היא מחשבת את  s=m^{d}{\text{ (mod }}n) אותו היא שולחת לבוב יחד עם המסר  m. כדי לאמת את החתימה בוב מחשב את  m'=s^{e}{\text{ (mod }}n) ורק אם מתקיים  m=m' הוא מקבל את החתימה. זה נכון בשל הזהות הבאה:
כי לפי אוילר  m^{\phi (n)}\equiv 1{\text{ (mod }}n) עבור כל  m ולכן גם  m^{1+\phi (n)}\equiv m{\text{ (mod }}n). היות שאף אחד חוץ מאליס אינו יודע מהם  d או  \phi (n) כיוון שהם מעולם לא פורסמו ולא ניתן לחשב אותם מתוך  e ו- n מבלי לדעת מהם הגורמים הראשוניים, זהו מאפיין יסודי של הצפנה אסימטרית, לכן בוב יכול לקבל את החתימה כאותנטית. כמובן שהשיטה המתוארת נועדה רק להדגים את הקונספט של חתימה דיגיטלית, אין לראות בה בשום אופן שיטה מעשית לחתימה דיגיטלית. בפועל מיישמים חתימה דיגיטלית באופן אחר לגמרי כדי למנוע התקפות קריפטוגרפיות ידועות. אפשר לבסס חתימה דיגיטלית על מערכות הצפנת מפתח ציבורי אחרות כמו חתימה דיגיטלית של רבין המבוססת על הצפנת רבין או DSA המבוססת על הצפנת אל-גמאל.
אפשר להרחיב כמעט כל פרוטוקול חתימה דיגיטלית לחתימה דיגיטלית עיוורת. הטכניקה הראשונה שפורסמה הייתה של דויד צ'אום, שהתאים את חתימת RSA ב-1992 פרסם אוקמוטו גרסת חתימה עיוורת המבוססת על חתימת שנור.
הצבעה דיגיטלית עם חתימה עיוורת

מאפיין רצוי בהצבעה דיגיטלית הוא שאימות זהות המצביע יהיה מופרד מאימות ההצבעה עצמה. חתימה דיגיטלית רגילה יוצרת זיקה בין המצביע לפתק ההצבעה ולכן אנונימיות המצביע נפגעת. מצד שני בהצבעה מקוונת גובר הסיכון להצבעה כפולה או התחזות והונאה. פרוטוקול הצבעה אנונימי מפריד בין תהליך אימות המצביע לבין תהליך אימות ההצבעה באופן כזה שהגורם המאשר את זהות המצביע אינו מסוגל לשייך או ליצור זיקה בינו לבין פתק ההצבעה שלו ומצד שני המצביע אינו יכול להצביע פעמיים או להתחזות למצביע אחר. באופן כללי פרוטוקול הצבעה עם חתימה עיוורת מכיל את המאפיינים הבאים. נניח שהמצביע הוא בוב והגורם הרשמי המאשר את ההצבעה היא אליס.
בוב יוכל להוכיח לאליס את זהותו האמיתית והיא תוכל לבדוק בהתאם את זכאותו להצבעה.
לא יהיה אפשרי לשכפל את החתימה של אליס.
כל אחד יכול לוודא שהחתימה של אליס תקפה.
בוב יכול להצביע באופן כזה שאליס לא תוכל לדעת מה הצביע.
ההבדל היחידי בין פתק ההצבעה שבוב שלח לאליס לבין פתק ההצבעה שהוא הניח בקלפי הוא החתימה של אליס.
אם מתרגמים את המושגים הללו לשפה קריפטוגרפית אז שלוש הדרישות הראשונות מקבילות לתהליך אימות קריפטוגרפי עם חתימה דיגיטלית קונבנציונלית. חתימת אליס היא  S_{a} ופונקציית האימות הציבורית שלה היא  V_{a} כך שמתקיים  V_{a}(S_{a}(M))=M. שתי הדרישות האחרונות אומרות שהבוחר בוב צריך להצפין את פתק ההצבעה שלו באמצעות פונקציית הצפנה כזו כך שפתק ההצבעה ניתן יהיה לאימות גם במצבו הגלוי (לאחר פענוח). לשם המחשה נניח שפתק ההצבעה של בוב מסומן באות  B, פונקציית ההצפנה שלו היא  E_{b} ופונקציית הפענוח שלו היא  D_{b} אז צריך שיתקיים  D_{b}(S_{a}(E_{b}(B)))=S_{a}(B). אפקטיבית, פעולת הפענוח של בוב מסירה את ההצפנה שלו על הפתק מבלי לפגוע בתקפות החתימה. קיימות מספר פונקציות הצפנה שמקיימות את הדרישה האמורה, אפשר למשל להשתמש ב-RSA, אך יש להיזהר ממלכודות, בדרך כלל משתמשים בהצפנת פליאיי. תהליך ההצבעה יבוצע כדלהלן:
בוב מצפין את פתק ההצבעה שלו  E_{b}(B) ושולח אותו מאומת לאליס (הם משתמשים בפרוטוקול אימות בנפרד מפרוטוקול זה).
אליס מאמתת את זהותו של בוב וחותמת על פתק ההצבעה המוצפן  S_{a}(E_{b}(B)) ומחזירה אותו לבוב.
בוב מפענח את המסר החתום שקיבל  D_{b}(S_{a}(E_{b}(B))) ומקבל את  S_{A}(B). כדי למנוע מרמאי מלהחליף את פתק ההצבעה שלו במהלך המשלוח הוא מוודא שמתקיים  V_{a}(S_{a}(B))=B.
בוב שולח את פתק ההצבעה שלו  S_{a}(B) לקלפי באופן אנונימי.
היות שפונקציית האימות של אליס ציבורית כל אחד יכול לחשב את  V_{a}(S_{a}(B)) ולוודא את אמינותו של פתק ההצבעה אך אף אחד לא יידע לשייך אותו לבוב כיוון שבוב שלח את הפתק באופן אנונימי. כדי למנוע הצבעה כפולה, חברי ועדת הקלפי צריכים לוודא שפתקי ההצבעה מכילים מרכיב אקראי שאליו מוצמדת ההצבעה כך שכל הצבעה עם  S_{a}(B) תהיה שונה. בדרך זו אפשר להבטיח ספירה אמינה של הקולות ולזהות כפילויות. התרשים מצד שמאל ממחיש מערכת הצבעה דיגיטלית טיפוסית.
מטבע דיגיטלי עם חתימה עיוורת

בניגוד לרכישה באמצעות כרטיס אשראי או המחאה בנקאית, המאפיין המרכזי בכסף מזומן הוא שכאשר הלקוח מושך מזומנים מהבנק, הבנק אינו יודע איפה הלקוח מתכוון לבזבז אותם וכן כאשר הלקוח מבצע רכישה, הסוחר אינו יודע מי הוא הקונה. כך הכסף החליף ידיים מבלי שניתן יהיה להתחקות אחר הרוכש. אפשר לדמות מאפיין זה של רכישה במזומן גם בכסף דיגיטלי. לצורך המחשה נניח שאליס מייצרת מטבע דיגיטלי  C. היא מחשבת את פונקציית הגיבוב של המטבע  f(C) ואז מצפינה אותה באמצעות פונקציית ההצפנה שלה  E_{a} עם המפתח הסודי  a. את התוצאה  E_{a}(\ f(C)\ ) היא שולחת לבנק ומבקשת את אישורו. הבנק מזהה את הלקוחה באמצעי זיהוי רגילים ואז חותם על הגיבוב של המטבע באמצעות פונקציית החתימה שלו  S_{b}, מחזיר לה את החתימה  S_{b}(\ E_{a}(\ f(C)\ )\ ) ומנכה את הסכום המתאים מחשבונה. כעת אליס מסירה את ההצפנה שלה מהמטבע על ידי חישוב  D_{a}(\ S_{b}(\ f(C)\ )\ ) ומתקבל  S_{b}(\ f(C)\ ), כמו כן היא מוודא שמתקיים  V_{b}(\ S_{b}(\ f(C)\ )\ )=f(C) כדי למנוע רמאות מצד גורם שלישי. כעת כדי לבזבז את המטבע היא משלמת עבור סחורה כלשהי עם  C ועם  S_{b}(\ f(C)\ ). הסוחר מוודא שהמטבע אותנטי ואושר על ידי הבנק על ידי בדיקה שמתקיים  V_{b}(\ S_{b}(\ f(C)\ )\ )=f(C) כנדרש. פונקציית הגיבוב נחוצה כאן כדי למנוע מאליס מלרמות את הסוחר, כי ללא פונקציית הגיבוב אליס יכולה לבחור ערך אקראי כלשהו  X ולמסור לו את ( X,V_{b}(X)) כמטבע לגיטימי. כעת הסוחר שולח את המטבע  C ואת החתימה  S_{b}(\ f(C)\ ) לבנק שמוודא שהמטבע תקף ואם כן הבנק מזכה את חשבונו של הסוחר בהתאם. כמו כן הבנק צריך לאחסן את  C במקום כלשהו כמטבע שבוזבז כך שאליס לא תבזבז אותו שוב.
אפשר להדגים מטבע דיגיטלי עם פונקציית ההצפנה RSA. המטבע  C בשווי דולר אחד יהיה מהצורה  C=(x,H(x)^{1/3}{\text{ (mod }}n)) כאשר  n הוא מודולוס RSA של הבנק,  H היא פונקציית גיבוב ו- x הוא ערך אקראי שנבחר על ידה. ביתר פירוט, פרוטוקול להנפקה ובזבוז של מטבע אחד מתנהל כדלהלן:
אליס מגרילה שני שלמים אקראיים  x ו- r ושולחת לבנק את המטבע המוסתר  B=(r^{3}\cdot H(x)){\text{ (mod }}n).
הבנק מחזיר לה את השורש ממעלה שלישית של  B מודולו  n שהוא  (r\cdot H(x)^{1/3}){\text{ (mod }}n) ומנכה מחשבונה דולר אחד.
אליס מחלצת מתוך  B את החתימה על המטבע  C שהיא  H(x)^{1/3}{\text{ (mod }}n).
אליס מבזבזת את המטבע, היא שולחת לבוב את הזוג  (x,H(x)^{1/3}{\text{ (mod }}n)).
בוב מתקשר לבנק מייד ומוודא שהמטבע לא בוזבז כבר. אם לא הוא בודק את חתימת הבנק ואת פונקציית הגיבוב.
אם הבדיקות הצליחו הוא מקבל את המטבע ומספק את הסחורה או השרות תמורתו לאליס.
הבנק מזכה את חשבונו של בוב בדולר אחד ורושם את המטבע כמי שכבר בוזבז, כדי למנוע בזבוז כפול.
מטבע דיגיטלי עם חתימה עיוורת > דוגמה במספרים קטנים

יהיו  p=353,q=449 ו- n=pq=158497. מפתח האימות הציבורי של חתימת הבנק יהיה  3 ואילו מפתח החתימה הפרטי הוא  105131. להכנת המטבע  C
אליס בוחרת את  x=330 ואת  r=502 מחשבת את  H(330)=37 (במקרה זה הוגרל מספר כלשהו רק לצורך הדוגמה) ושולחת לבנק את  (25402\cdot 37)\equiv 147389{\text{ (mod }}158497).
הבנק מחזיר את חתימתו  147389^{105131}\equiv 67047{\text{ (mod }}158497).
אליס מפענחת את חתימת הבנק על ידי חילוק ב- r (ליתר דיוק הכפלה בהופכי הכפלי שלו מודולו  n) ומתקבלת החתימה  (67047\cdot 37572)\equiv 97063{\text{ (mod }}158497). המטבע של אליס הוא  x=330 וחתימת הבנק על המטבע הגלוי היא  97063.
את הזוג  C=(330,97063) היא שולחת לסוחר בוב.
הסוחר מצידו תחילה מוודא את תוקף המטבע על ידי בדיקת החתימה של הבנק (העלאה בחזקת 3) קל לראות שבמקרה זה מתקבל  97063^{3}\equiv 37{\text{ (mod }}158497)=H(x). כמו כן כדי למנוע רמאות מצד אליס הוא בודק שאכן מתקבל  H(330)=37. אם שתי הבדיקות עלו בהצלחה הוא מספק את הסחורה או השרות לאליס ומפקיד את המטבע בבנק.
כאשר הבנק חתם על  H(x)=37 הוא לא ראה אותו כיוון שהיה מוסתר בכפל ב- r^{3} לכן כאשר הסוחר מפקיד את המטבע, הבנק לא יודע שהמטבע התקבל מאליס.
חתימה עיוורת מבוססת DSA

חתימה דיגיטלית DSA וכן חתימה דיגיטלית של שנור מבוססים על הצפנת אל-גמאל שהיא מערכת מפתח ציבורי המבוססת על בעיית הלוגריתם הבדיד. פונקציית החתימה של שנור בגרסה הלא עיוורת פשוטה יותר מ-DSA והיא פועלת באופן כללי כדלהלן: בהינתן המפתח הציבורי  (p,q,g,y) כאשר  (p,q,g) הם פרמטרים ציבוריים המשותפים לכל המשתמשים.  p ו- q הם מספרים ראשוניים מתארים תת-חבורה  \mathbb {Z} _{q}^{*} של  \mathbb {Z} _{p}^{*} מסדר  q עם היוצר  g כאשר  q|(p-1). המפתח הציבורי הוא  y=g^{-x}{\text{ mod }}p ואילו המפתח הפרטי הוא  x. אם  H היא פונקציית גיבוב מוסכמת המפיקה פלט בטווח  [1,q-1], אז תהליך החתימה על המסר  m מתבצע כך. החותם מגריל שלם אקראי  k בטווח  [1,q-1] ומחשב את  (r,e,s) כדלהלן:
הסמל " \|" מייצג שרשור. לאימות החתימה באמצעות המפתח הציבורי של החותם בודקים שמתקיים:
כדי להפוך את החתימה המתוארת לחתימה עיוורת (נניח אליס מעוניינת להחתים את הבנק על המטבע  C), מבצעים את הפרוטוקול של אוקמוטו המבוסס על שנור כדלהלן:
הבנק בוחר את  k כמו קודם ומייצר את  r=g^{k}{\text{ mod }}p ושולח את  r לאליס.
אליס מגרילה שלמים אקראיים a ו- b בטווח [1,q-1] ומחשבת את (r',e',e) כדלהלן:
r'=(r\cdot g^{-a}\cdot y^{-b}){\text{ mod }}p
e'=H(C\ \|\ r'){\text{ mod }}q
e=(e'+b){\text{ mod }}q
את הערכים הללו שולחת אליס לבנק.
הבנק מחשב את  s=(k+ex){\text{ mod }}q ושולח לאליס את  s.
אליס מחשבת את  s'=(s-a){\text{ mod }}q והזוג  (e',s') הם חתימה תקפה על  C. כי מתקיים:  e'=H(m,(g^{s'}\cdot y^{e'}){\text{ mod }}p)
חתימה עיוורת מבוססת DSA > ביטחון

חתימת שנור היא שילוב של פרוטוקול אימות של שנור יחד עם רעיון של עמוס פיאט ועדי שמיר. פונקציית הגיבוב לצורך חתימת שנור לא חייבת להיות חסינת התנגשויות, מחקרים מראים שבניגוד ל-DSA אפשר להסתפק בחתימת שנור בפונקציית גיבוב חלשה כמו SHA-1 וכן אפשר להסתפק בערך גיבוב קצר יותר בכעשרים וחמישה אחוז.
הביטחון של חתימת שנור ניתן להוכחה במסגרת מודל אורקל אקראי תחת ההשערה שבעיית הלוגריתם הבדיד קשה. ב-2012 בוצע מחקר באשר לביטחון המדויק של חתימת שנור והטענה היא שלפי למת הפיצול קיים איבוד זמן בפקטור של  O(q_{h}) כאשר  q_{h} הוא מספר השאילתות לאורקל האקראי. במילים אחרות אם קיים זייפן שיכול לזייף חתימת שנור בהסתברות  \epsilon _{F} אז אפשר יהיה לחשב את הלוגריתם הבדיד בהסתברות קבועה על ידי חזרה לאחור  O(q_{h}/\epsilon _{F}) פעמים, תחת הנחות נוספות אפשר להגיע לרדוקציה של  q_{h}^{2/3} לכל היותר בשיעור ההצלחה-זמן.
חתימה עיוורת מבוססת DSA > דוגמה במספרים קטנים

נתון  q=179,p=359,g=164 וכן המפתח הפרטי של אליס הוא  x=81 והמפתח הציבורי הוא  y=245.
הבנק בוחר שלם אקראי  k=45 ושולח לאליס את האתגר  r=164^{45}\equiv 120{\text{ (mod }}359).
אליס בוחרת את  a=64,b=120 ונניח שהמטבע הוא הערך  c=12345678. היא מחשבת את  120\cdot 164^{-64}\cdot 245^{-120}\equiv 158{\text{ (mod }}359). נניח לצורך הפשטות שתוצאת הגיבוב היא  H(c\ \|\ 158)=54{\text{ (mod }}179).
הבנק מחזיר לאליס את  s=(45+174\cdot 81){\text{ mod }}179=177 כך שמתקיים  120\equiv (174^{177}\cdot 245^{174}){\text{ (mod }}359)
אליס מחלצת את חתימת הבנק על המטבע כך: תחילה  s'=177-64=113 ואז הצמד  (113,54) הוא חתימה תקפה על  c כי מתקיים  H(c\ \|\ ((164^{113}\cdot 245^{54})=64{\text{ mod }}359))=54
שיטות חדשות

קיימות מספר שיטות חתימה עיוורת חדשות יעילות ובטוחות יותר, בהן אפשר לציין את Camenisch-Lysyanskaya שייחודה בכך שניתן לחלץ חתימה על קבוצה של מסרים בבת אחת, ולהוכיח תקפות על כל אחד מהם בנפרד. הרעיון שימושי גם למטבע דיגיטלי תוך שמירה על אנונימיות המשתמש. כמו כן קיימת שיטת חתימה עיוורת המסתמכת על תחום חדש בקריפטוגרפיה הקרוי מיפוי ביליניארי. בנוסף קיימת מחלקה של חתימה עיוורת שכאמור מענישה את הלקוח שמנסה לבזבז פעמיים בחשיפת זהותו. שיטה אחת כזו היא חתימה עיוורת של סטפן ברנדס שהוטמעה בטכנולוגיית אימות חדשה מבית מיקרוסופט הנקראת U-Prove. הרעיון של ברנד בעצם לוקח את החיסרון הידוע של חתימת DSA שבה אסור להשתמש במפתח הארעי יותר מפעם אחת לחתימה על שני מסמכים שונים והופך אותו ליתרון, בזה שהוא משתמש בו כדי לחשוף את זהות המשתמש במקרה של בזבוז כפול.
שיטות חדשות > פרוטוקול מטבע דיגיטלי עם חתימה עיוורת של ברנדס > פרוטוקול הכנה

הבנק  {\mathcal {B}} בוחר באקראי שלושה יוצרים  (g,g_{1},g_{2}) של החבורה  G_{q} מסדר  q ראשוני, שלם אקראי  x\in \mathbb {Z} _{q}^{*} וכן שתי פונקציות גיבוב  H,H_{0} כאשר  H משמשת ליצירה ואימות חתימת הבנק ואילו  H_{0} משמשת לצורך האתגר בפרוטוקול התשלום. הערכים הציבוריים המשותפים לכל הלקוחות הם  G_{q} וכן הראשוניים  p ו- q כאשר  G_{q} היא תת-קבוצה של  \mathbb {Z} _{p}^{*} וכן היוצרים ופונקציות הגיבוב. המפתח הסודי של הבנק הוא  x. כרגיל ההנחה היא שהבנק מנהל מסד נתונים המכיל פרטים מזהים של כל הלקוחות וכל הסוחרים ובנפרד מסד נתונים המכיל מעקב אחרי כל המשיכות וההפקדות. מטבע דיגיטלי יכיל זוג הערכים  (A,B)\in G_{q}\times G_{q} שבהמשך יוסבר איך מחשבים אותם והחתימה של הבנק עליהם  {\text{sign}}(A,B)=(z,a,b,r) כך שמתקיים
ההוכחה שהמטבע שייך ללקוח היא אם הוא יכול להוכיח שידוע לו הייצוג הלוגריתמי של  A ו- B ביחס ליוצרים  g_{1} ו- g_{2}. בתהליך פתיחת חשבון הלקוח מזהה עצמו מול הבנק באמצעי זיהוי רגילים, מייצר ערך אקראי  u_{1} ומחשב את  I=g_{1}^{u_{1}} אם  g_{1}^{u_{1}}\cdot g_{2}\neq 1 הוא משדר את  I לבנק ושומר בסוד את  u_{1}. הבנק מחשב ומחזיר ללקוח את  z=(I\cdot g_{2})^{x}.
שיטות חדשות > פרוטוקול מטבע דיגיטלי עם חתימה עיוורת של ברנדס > פרוטוקול משיכה

המשיכה מתבצעת בשלושה מהלכים, לאחר שהלקוח זיהה עצמו מול הבנק בדרכים רגילות:
הבנק מגריל ערך אקראי  w ושולח ללקוח את  a=g^{w} ואת  b=(I\cdot g_{2})^{w}.
הלקוח מייצר מטבע; בוחר שלושה ערכים אקראיים  (s,x_{1},x_{2}) ומחשב את  A=(I\cdot g_{2})^{s}, את  B=g_{1}^{x_{1}}g_{2}^{x_{2}} וכן  z'=z^{s}. כמו כן בוחר שני ערכים אקראיים נוספים  u,v ומחשב את  a'=a^{u}g^{v} וכן  b'=b^{su}A^{v} ואז מחשב את האתגר  c'=H(A,B,z'a',b') ושולח לבנק את  c=c'/u מודולו  q.
הבנק מחזיר ללקוח תגובה המכילה את  r=cx+w מודולו  q ומחייב את חשבון הלקוח בהתאם.
הלקוח  {\mathcal {U}} מקבל את חתימת הבנק רק אם מתקיים  g^{r}=h^{c}a וכן  (I\cdot g_{2})^{r}=z^{c}b. אם כן הוא מחשב את  r'=ru+v מודולו  q.
בפרוטוקול זה מספר המטבעות לעולם לא יעבור את מספר המשיכות לכן הלקוח לא יכול לייצר לעצמו מטבעות במיוחד לאור העובדה שכדי להצליח בכך הוא חייב לדעת את הייצוג של המטבע ביחס ליוצרים שזו בעיה קשה הנגזרת מבעיית הלוגריתם הבדיד. וההוכחה דומה להוכחה של פרוטוקול האימות של שנור. תכונה מעניינת נוספת היא שהפרוטוקול נחשב לחתימה עיוורת חלקית כי הלקוח יכול להסתיר את המעטפת החיצונית של המטבע אבל לא את המבנה הפנימי שלו.
שיטות חדשות > פרוטוקול מטבע דיגיטלי עם חתימה עיוורת של ברנדס > פרוטוקול בזבוז

כאשר  {\mathcal {U}} רוצה לבזבז את המטבע אצל  {\mathcal {S}} הוא מבצע כדלהלן:
שולח לסוחר את המטבע  \langle (A,B),{\text{sign}}(A,B)\rangle .
הסוחר מחשב את  d=H_{0}(A\ \|\ B\ \|\ ID) כאשר  ID מכיל פרטים מזהים של הסוחר כמו גם תאריך העסקה.
הלקוח מחשב ושולח ל- {\mathcal {S}} את המענה  r_{1}=d(u_{1}s)+x_{1} ואת  r_{2}=ds+x_{2} (מודולו  q).
הסוחר מקבל את המטבע כלגיטימי רק אם שני הדברים הבאים מתקיימים: החתימה של הבנק תקפה וכן שמתקיים  g_{1}^{r_{1}}g_{2}^{r_{2}}=A^{d}B.
אם הלקוח יודע את פרטי הסוחר מראש אפשר לצמצם את פרוטוקול התשלום למהלך אחד שכן הוא יכול לחשב את  d לבדו. ברור שנכונות  d חשובה לסוחר ולא ללקוח כי תקפותו תקבע אם הבנק יכבד את העסקה ויזכה את הסוחר בהתאם.
שיטות חדשות > פרוטוקול מטבע דיגיטלי עם חתימה עיוורת של ברנדס > פרוטוקול הפקדה

הסוחר יכול לאחר מכן לשלוח לבנק את תעתיק העסקה הכולל את  A,B,{\text{sign}}(A,B),(r_{1},r_{2}) וכן התאריך הכלול בה. הבנק לא יכבד את העסקה אם  A=1, אחרת הוא מחשב את  d בעזרת זהותו של הסוחר הרשומה במסד הנתונים של הבנק ותעתיק העסקה. ומוודא שמתקיים  g_{1}^{r_{1}}g_{2}^{r_{2}}=A^{d}B וכן שהחתימה שלו על המטבע תקפה ואם הבדיקות עלו בהצלחה הוא מפקיד את המטבע בחשבונו של הסוחר. אם המטבע כבר רשומה במאגרי הבנק משמע אחד מהשניים או ש- {\mathcal {S}} מנסה להפקיד את אותה מטבע פעמיים או שנעשה ניסיון לבזבוז כפול מצד  {\mathcal {U}}. קל לזהות את המקרה שהסוחר מנסה להפקיד את אותה מטבע פעמיים כי תעתיק העסקה זהה לחלוטין. במקרה שתעתיק העסקה שונה הבנק יכול לחשוף את זהות  {\mathcal {U}} כי בידיו כעת  (d,r_{1},r_{2}) מהעסקה החדשה וכן  (d',r_{1}',r_{2}') מעסקה קודמת. הוא יכול לחשב את  g_{1}^{(r_{1}-r_{1}')/(r_{2}-r_{2}')}. התוצאה היא למעשה מספר החשבון של הלקוח שניסה לבזבז את המטבע פעמיים והוא מהווה הוכחה לכך.
הערות שוליים

↑  Chaum, David (1983). "Blind signatures for untraceable payments" (PDF). Advances in Cryptology Proceedings of Crypto. 82 (3): 199-203
↑  "Untraceable Electronic Cash", David Chaum, Amos Fiat & Moni Naor, CRYPTO 1988: Advances in Cryptology — CRYPTO’ 88 pp 319-327
↑  Provably Secure and Practical Identification Schemes and Corresponding Signature Schemes, Tatsuaki Okamoto, Crypto’92, LNCS 740, Springer-Verlag, pp. 31–53, 1992
↑  Provably Secure and Practical Identification Schemes and Corresponding Signature Schemes, Tatsuaki Okamoto, Preproceedings of Crypto '92.
↑  Fiat; Shamir (1986). "How To Prove Yourself: Practical Solutions to Identification and Signature Problems" (PDF). Proceedings of CRYPTO '86.
↑  Hash function requirements for Schnorr signatures
↑  Seurin, Yannick (2012-01-12). "On the Exact Security of Schnorr-Type Signatures in the Random Oracle Model" (PDF). Cryptology ePrint Archive. International Association for Cryptologic Research. Retrieved 2014-08-11.
↑  Jan Camenisch, Anna Lysyanskaya, A Signature Scheme with Efficient Protocols, Lecture Notes in Computer Science (LNCS, volume 2576)
↑  Jan Camenisch, Anna Lysyanskaya, Signature Schemes and Anonymous Credentials from Bilinear Maps Lecture Notes in Computer Science book series (LNCS, volume 3152)
↑  Stefan Brands, Untraceable Off-line Cash in Wallets with Observers, Proceeding CRYPTO '93 Proceedings of the 13th annual international cryptology conference on Advances in cryptology Pages 302-318
איתי ברון

| --- | --- |

 לידה:  1965 (בן 60 בערך) תל אביב
 מדינה:  ישראל 
 השתייכות:   צבא הגנה לישראל
 דרגה:    תת-אלוף
 תפקידים בשירות
 ראש מחלקת המחקר בלהק המודיעין של חיל האוויר  עוזר להערכה בחטיבת המחקר  מפקד מרכז דדו לחשיבה צבאית בינתחומית  ראש חטיבת המחקר
 פעולות ומבצעים
   מלחמת לבנון   מלחמת לבנון השנייה  מבצע עופרת יצוקה  מבצע עמוד ענן   מבצע צוק איתן
 תפקידים אזרחיים
 סגן ראש המכון למחקרי ביטחון לאומי (INSS)
 
איתי בְּרוּן (נולד ב-1965) הוא ראש חטיבת המחקר באמ"ן לשעבר בדרגת תת-אלוף. כיהן כסגן ראש המכון למחקרי ביטחון לאומי.
משפחה

איתי ברון נולד ב-1965 לשופטת ציפורה ברון ולעיתונאי נתן ברון. הוא גדל בבית מגורי העיתונאים.
הוא נשוי לשופטת איריס רבינוביץ'-ברון, בתו של איתמר רבינוביץ', ולהם בן ובת. הוא מתגורר כיום בגבעתיים.
השכלה

ברון קיבל תואר ראשון (בהצטיינות) במשפטים מאוניברסיטת חיפה והוסמך כעורך דין. יש לו תואר שני (בהצטיינות) במדע המדינה - דיפלומטיה ולימודי ביטחון מאוניברסיטת תל אביב.
ברון מלמד קורסים על מודיעין, כוח אווירי והסביבה האסטרטגית של ישראל באוניברסיטת תל אביב, במרכז הבינתחומי הרצליה, ובאוניברסיטת חיפה.
תפקידים

ברון התגייס ללהק המודיעין של חיל האוויר, והתקדם עד לתפקיד ראש מחלקת המחקר בו. ב-2004 מונה לעוזר ראש אמ"ן להערכה.
ב-2006 הקים את מרכז דדו לחשיבה צבאית בינתחומית והיה מפקדו הראשון, בדרגת תת-אלוף. בשנת 2011 מונה לראש חטיבת המחקר באמ"ן וכיהן בתפקיד זה עד ינואר 2015.
באפריל 2013 הודיע שצבא סוריה עשה שימוש בנשק כימי נגד המורדים, אירוע שהוגדר קודם לכן כחציית קו אדום.
בשנים 2018–2021 שימש כסגן ראש המכון למחקרי ביטחון לאומי (INSS) למחקר.
באפריל 2024 מונה לממלא מקום ראש חטיבת המחקר באמ"ן למספר חודשים, לאחר שתא"ל עמית סער פרש מיידית עקב גידול ממאיר שהתגלה בגופו. בתחילת חודש יוני הוחלף על ידי תא"ל אופיר מזרחי-רוזן.
הערות שוליים

1 2  איתי ברון, באתר המכון למחקרי ביטחון לאומי, באתר www.inss.org.il
↑  עמוס הראל, תת אלוף איתי ברון יהיה ראש חטיבת המחקר הבא באגף המודיעין במטכ"ל, באתר הארץ, 9 במרץ 2011
↑   מפקדי מרכז דדו לדורותיהם, באתר צה"ל, 17 בינואר 2017
↑  יואב זיתון, בכיר באמ"ן: אסד השתמש בגז סארין, באתר ynet, 23 באפריל 2013
↑  יואב זיתון, תא"ל עמית סער, ראש חטיבת המחקר באמ"ן, מסיים תפקידו עקב גידול ממאיר, באתר ynet, 4 באפריל 2024
| --- | --- |
בקרת זהויות :  NLI: 987007576947405171
קרל מאי
אחדים מספריו שיצאו לאור בעברית

יד הנפץ (Old Shatterhand) תורגם מגרמנית על ידי יצחק הירשברג והופיע במהדורה של שנת 1967 בהוצאת א. זלקוביץ.
יד הנפץ בממלכת ארי הכסף הופיע בהוצאת א. זלקוביץ.
יד הנפץ וארי גאולת הדם הופיע בהוצאת א. זלקוביץ.
וינטו ויד הנפץ הופיע בהוצאת יסוד בתרגום
וינטו הופיע בהוצאת א. זלקוביץ.
וינטו בין הקומנצ'ים הופיע בספרית העולם הגדול.
וינטו ובגידת הקומנצ'ים הופיע בהוצאת א. זלקוביץ.
וינטו ואנשי המערב הופיע בהוצאת א. זלקוביץ.
וינטו ויד האש הופיע בהוצאת א. זלקוביץ.
בשבי האינדיאנים הופיע בהוצאת יסוד.
בערבות קולורדו הופיע בהוצאת יסוד.
המערב הפרוע הופיע בהוצאת א. זלקוביץ.
האינקה האחרון הופיע בהוצאת א. זלקוביץ.
המנהיג הצהוב הופיע בהוצאת א. זלקוביץ.
בין שודדי סין הופיע בהוצאת א. זלקוביץ.
צידי העבדים הופיע בהוצאת א. זלקוביץ.
שודדי המדבר הופיע בהוצאת א. זלקוביץ.
בעקבות השודדים הופיע בהוצאת א. זלקוביץ.
דרך כורדיסטן הפראית הופיע בהוצאת מודן.
בארץ המהדי הופיע בהוצאת א. זלקוביץ.
שטן ובוגד הופיע בהוצאת עמיחי.
המטמון הנעלם הופיע בהוצאת א. זלקוביץ.
עמק המות הופיע בהוצאת א. זלקוביץ.
קפיטן קאימאן הופיע בהוצאת א. זלקוביץ.
אולד שורהנד הופיע בהוצאת א. לוין אפשטיין.
שישה סיפורי קארל מאי:
וינטו הצעיר
וינטו מנהיג האפאצ'ים
המטמון באגם הכסף
נסיך (מלך) הנפט
בן הצייד
המפץ הוותיק
וינטו האביר אדום-העור, הוד השרון: אסטרולוג, 2013.
(מרבית ספריו תורגמו לעברית על ידי יצחק הירשברג)
לקריאה נוספת

אלי אשד, הפרק "האינדיאני הגרמני" בספר "מטרזן ועד זבנג: הסיפור של הספרות הפופולרית בעברית", הוצאת בבל, 2002.
חיים גורן, "המקום שבו האל עצמו פורט על נבל - מסעותיו של קרל מאי לארץ הקודש", עת־מול, שבט תשס"ג.
הערות שוליים

↑  Dr. William E. Thomas, Karl May's Blindness
↑  רון מיברג, ‏מערבוני קרטופלאך: זיכרונות מהסופר הגרמני הפופולארי בכל הזמנים, באתר מעריב אונליין, 19 בינואר 2015
| --- | --- |
בקרת זהויות :  NLI: 987007299349905171  PLWABN: 9810702867805606  BIBSYS: 90079617  BNE: XX900206  BnF: cb119153154 (data)  CANTIC: a11037532  CiNii: DA00633051  GND: 118818651  ISNI: 0000 0001 0778 6374  LCCN: n79022890  LNB: 000041362  MusicBrainz: 9b72186d-d6cc-4a64-b769-24fdc4ac2e21  NDL: 00449235  NKC: jn19990005499  NLA: 35336390  NLG: 108465  NSK: 000012962  NTA: 068428790  RERO: 02-A012529174  SELIBR: 212676  SNAC: w6p27b9j  SUDOC: 027397033  Trove: 916341  VcBA: 495/225176  VIAF: 24605183   WorldCat (עם VIAF): 24605183
גיורא ענבר

| --- | --- |
אין תמונה חופשית
 לידה:  19 בדצמבר 1955 (בן 69) גבע ישראל ישראל
 מדינה:  ישראל 
 השתייכות:   צבא הגנה לישראל
 תקופת הפעילות:  1973–1999 (כ־26 שנים)
 דרגה:    תת-אלוף
 תפקידים בשירות
 מפקד סיירת גולני  מפקד יחידת שלדג  מפקד גדוד 51  ראש לשכת הרמטכ"ל  מפקד החטיבה המרכזית (אוגדת עזה)  מפקד חטיבת גבעתי  מפקד יחידת הקישור ללבנון  מפקד עוצבת אתגר
 פעולות ומבצעים
   מלחמת יום הכיפורים    מבצע שלום הגליל    המערכה ברצועת הביטחון   האינתיפאדה הראשונה
 
גיורא ענבר (נולד ב-19 בדצמבר 1955) הוא איש עסקים. כיהן כתת-אלוף בצה"ל, בין היתר כמפקד סיירת גולני, כמפקד יחידת שלדג, כמפקד חטיבת גבעתי, וכמפקד יחידת הקישור ללבנון. מאז שנת 2021 משמש יו"ר איגוד השופטים של ההתאחדות לכדורגל בישראל.
ביוגרפיה

ענבר נולד, גדל והתחנך בקיבוץ גבע, למשפחה בת חמישה ילדים. אביו, בני ענבר, שימש בין היתר כקצין משטרה צבאית ראשי בדרגת תת-אלוף.