5 Rozpoczęcie transakcji między klientem a sklepem

Klient rozpoczynając transakcję ze sklepem $S_k$ o identyfikatorze $id_{S_k}$ nie uwierzytelnia się przed nim w tradycyjny sposób. Nie może się przedstawić, gdyż wtedy straci anonimowość. Klient pokazuje sklepowi $\{U^*\}_{CA}$, to jest podpisany przez instytucję certyfikującą swój klucz publiczny $U^*$. Oprócz tego do sklepu przekazywany jest oryginalny banknot podpisany przez bank oraz reszta wydana przez sklep (ten sam lub inny) w poprzedniej transakcji. Gdy jest to pierwsza transakcja, zamiast reszty przekazany jest powtórnie ten sam oryginalny banknot.

Następnie klient:

• tworzy $x_{k+1}^*$ i $X_{k+1}^*$ (klucz prywatny i klucz publiczny $k + 1$-ej transakcji), takie że $x^*_{k+1} \epsilon \mathbb{Z}^*_q$ a $X^*_{k+1} = F(x^*_{k+1})$;

• oblicza podpis transakcyjny:
  
  $$E_k = h(X^*_{k+1},\; id_{S_k}) \;\; mod \; q$$
  
  
  
  
  $$Y_k = x^*_k - u^* * E_k \;\; mod \; q$$
  
  
  podpis transakcyjny służy do potwierdzenia danych tylko w czasie jednej transakcji i nie powienien być później używany;
• wysyła $Y_k \;$ oraz $X^*_{k + 1} \;$ do sklepu.

Sklep, otrzymawszy te dane, sprawdza czy klucz publiczny klienta $U^*$, zawarty w oryginalnym banknocie wydanym przez bank i reszcie ze sklepu $id_{S_{k-1}}$, jest taki sam jak ten podpisany przez CA.
Następnie sklep $S_k$:

• sprawdza autentyczność banknotów oryginalnego i wydanego przez sklep $S_{k-1}$ weryfikując podpisy złożone pod nimi.
• banknot oryginalny ma postać

  $\{[m_0, U^*, X^*_1], [n, data\_utworzenia]\}_{{\tt Bank}}\;$

  a reszta z poprzedniego sklepu

  $\{[m_i, U^*, X^*_k], [n-i, data\_utworzenia]\}_{S_{k-1}}\;$

  Sklep sprawdza czy $m_i \;$ należy do łańcucha $m_0, m_1 \ldots, m_i$. Wystarczy, że sprawdzi czy:

  $h^i(m_i) = m_0$

• tworzy $x_{k+1}^*$ i $X_{k+1}^*$ klucz prywatny i klucz publiczny $k + 1\;$ transakcji, takie że $x^*_{k+1} \epsilon \mathbb{Z}^*_q$, a $X^*_{k+1} = F(x^*_{k+1})$;

• oblicza

  $E_k = h(X^*_{k+1},\; id_{S_k})$
  

• później sprawdza czy

  $(U^*)^{E_k} * F(Y_k) = X^*_k$
  

  $X^*_k$ jest zawarte w banknocie wydanym przez sklep $S_{k-1}$. Równość ta dowodzi znajomości przez klienta klucza prywatnego $u^* \;$. Wynika ona z następujących przekształceń:

  $(U^*)^{E_k} * F(Y_k) =$
  $\;\;\; = F^{E_k}(u^*) * F(x^*_k - u^* * E_k) =$
  $\;\;\; = F(u^* * E_k) * F(-u^* E_k) * F(x^*_k) =$
  $\;\;\; = F( \theta ) * F(x^*_k) =$
  $\;\;\; = F(x^*_k) =$
  $\;\;\; = X^*_k$

Jak widać ta część protokołu jest stosunkowo skomplikowana i wymaga wykonania wielu obliczeń również po stronie sklepu.