37、公平电子现金：紧凑存储，快速消费

公平电子现金：紧凑存储，快速消费

1. 引言

电子现金系统允许用户从银行提取电子货币，然后以离线方式向商家支付，最后商家将收到的货币存入银行。一个理想的电子现金系统应在交易中为用户提供匿名性，但为打击洗钱等犯罪活动，公平电子现金系统应运而生，其中可信方在必要时可撤销用户匿名性。

设计公平电子现金系统时，需关注用户与商家间最常执行的消费协议的效率，以及批量提取和消费货币的效率，同时要确保各协议中交换数据的紧凑性。

以往相关研究中，紧凑电子现金系统虽能高效提取钱包，但未考虑消费阶段效率。部分方案虽有改进，但整体成本仍与消费货币数量呈线性关系，且多为非公平电子现金系统。目前尚无既能让用户提取紧凑钱包，又能在消费多枚货币时使传输数据量低于线性关系的隐私保护公平电子现金系统。

本文提出一种具有紧凑钱包的公平电子现金系统，用户在消费 k 枚货币时只需向商家发送 O(λ log k) 比特数据（λ 为安全参数），同时保护用户隐私。该方案主要运用盲签名和批量密码学两大密码学构建模块。

2. 安全模型

2.1 算法

公平电子现金系统涉及用户（U）、银行（B）、商家（M）和法官（J）四类参与者。用户可提取包含 ℓ 枚货币的钱包，钱包由标识符和有效性证明组成。公平电子现金方案由以下算法定义（λ 为安全参数）：
- ParamGen(1λ) ：概率算法，输出系统参数 params。后续所有算法都将 1λ 和 params 作为输入。
- JKeyGen()、BKeyGen() 和 UKeyGen() ：分别为法官、银行和用