Résumé

  • La signature aveugle devait empêcher Mark Twain Bank de relier une pièce eCash dépensée au retrait du compte qui l’avait financée.
  • La banque authentifiait les comptes, émettait les pièces en dollars, vérifiait les dépôts et convertissait les pièces du commerçant en dépôt bancaire.

Le 23 octobre 1995, DigiCash annonça que Mark Twain Bank acceptait les demandes de comptes eCash libellés en dollars américains. La nouveauté tenait à la cryptographie ; l’accès, lui, avait un parfum de guichet. On pouvait envoyer le formulaire en ligne, par courrier ou par fax. Le mot de passe, précisait le communiqué, arriverait par courrier. L’argent numérique commençait donc par attendre le facteur.

Ce détail n’est pas une simple plaisanterie. Il montre où passait la frontière de la promesse. DigiCash voulait qu’une pièce ressemble à de l’argent liquide sur un point précis : la banque ne devait pas pouvoir retrouver, dans ses retraits, le client dont provenait la pièce déposée ensuite par un commerçant. Mais c’était toujours la banque qui rendait cette pièce utilisable. La confidentialité s’insérait dans un système bancaire ; elle ne le remplaçait pas.

Une banque signe sans voir le numéro

Dans son article de 1982 sur les signatures aveugles, David Chaum décrit le mécanisme. Le client crée une note portant un numéro aléatoire et la rend illisible à la banque avant de lui demander une signature. La banque débite le compte et signe la note masquée. Le client retire ensuite le masque : la pièce porte une signature valide, mais la banque n’a pas vu son numéro au moment du retrait.

Au paiement, le commerçant remet la pièce à la banque. Celle-ci vérifie la signature, contrôle que le numéro n’a pas déjà été dépensé, inscrit la pièce comme réglée et crédite le commerçant. Le numéro unique sert à repérer une seconde présentation. Le masquage vise, lui, à empêcher la banque signataire de rapprocher ce paiement du retrait initial. C’est le protocole exposé par Chaum, pas un audit du logiciel effectivement déployé par Mark Twain Bank. L’article de Chaum, 1982

La distinction est nette : la banque peut connaître le client qui a retiré des fonds sans reconnaître, dans une pièce présentée plus tard par un commerçant, le retrait qui l’a financée. La propriété de confidentialité porte sur ce lien cryptographique. Elle n’efface ni le compte du client, ni le dépôt du commerçant, ni toutes les traces qu’un réseau peut laisser.

Une dépense proche de l’argent liquide, des extrémités bancaires

Le communiqué de DigiCash raconte le parcours du portefeuille. Le logiciel installé sur l’ordinateur personnel du client choisissait des numéros aléatoires, masquait les pièces et les envoyait à la banque pour signature. Le client pouvait ensuite payer un vendeur depuis ce portefeuille local. À la réception d’une pièce, la banque contrôlait son numéro afin de refuser une réutilisation. DigiCash affirmait qu’elle ne pouvait pas relier la pièce dépensée à un retrait précis. Communiqué de DigiCash du 23 octobre 1995

Mais « proche de l’argent liquide » ne voulait pas dire « sans banque ». Mark Twain Bank recevait la demande, authentifiait le compte, signait la valeur en dollars et intervenait au remboursement. Le General Accounting Office américain décrivit plus tard la responsabilité de la banque lorsque l’eCash était émis, puis sa conversion en dépôt bancaire lorsque le commerçant remettait les pièces. Selon son rapport, Mark Twain était la banque américaine qui proposait eCash en octobre 1996. Rapport GAO/GGD-97-73

La pièce pouvait cacher un lien tout en conservant un émetteur. C’est la ligne décisive du projet : l’historique des dépenses ne devait pas se lire dans les retraits de la banque, mais le client dépendait encore de cette banque pour transformer un solde en jetons signés, puis les jetons du commerçant en dépôt. DigiCash lui avait accordé une licence non exclusive et disait vouloir licencier sa technologie à des institutions financières, plutôt que gérer elle-même les systèmes d’émission. La banque n’était pas un tuyau anonyme : elle portait la responsabilité financière.

Une frontière bien définie, des archives incomplètes

Les documents publics établissent le protocole visé et le rôle attribué à la banque. Ils ne livrent ni les dossiers de garde des clés de signature de Mark Twain Bank, ni les journaux de transactions, ni un volume de paiements. Ces pièces changeraient l’évaluation de la confiance opérationnelle et de l’ampleur de l’usage. Elles ne changeraient pas la séparation documentée entre dépense masquée et émission-remboursement bancaires.

En septembre 1999, Edward Gramlich, gouverneur de la Réserve fédérale, indiqua que le système réseau de DigiCash avait été abandonné et qualifia son acceptation de lente. C’est le constat de son discours ; il ne prouve pas qu’une caractéristique technique, le mot de passe postal ou une décision commerciale particulière ait causé l’arrêt. Gramlich, Réserve fédérale, 17 septembre 1999

La bonne question n’est pas de savoir si eCash était « anonyme » en tout point. Il faut demander qui voyait quelle étape. La signature aveugle devait dissimuler le rapprochement entre un retrait identifié et une pièce dépensée ensuite. La banque gardait le compte, la signature et le remboursement. Le mot de passe voyageait par la poste : la frontière cryptographique avait pris de l’avance sur l’ouverture du compte.

Sources