“相处如朋友，算账如敌人”：论数字现金与支付媒介

爱德华·德容（Eduard de Jong）、纳撒尼尔·特卡奇（Nathaniel Tkacz）与巴勃罗·贝拉斯科（Pablo Velasco）¶

“相处如朋友，算账如敌人”：论数字现金与支付媒介

爱德华·德容、纳撒尼尔·特卡奇与巴勃罗·贝拉斯科¶

货币实验正在经历某种复兴。有些统计把数字货币的数量算到143种之多，其中大多数出现在过去五年。我们是怎样走到这一步的？这些实验受到忠实追随者的赞扬与拥护。对某些人来说，这种投入近乎宗教狂热。批评也很快来到现场：内部人士或观望者的建设性批评，外部的批评，从政治、经济、生态或性别出发的批评——这份清单很长，而且锋芒毕露。¶

这些实验持续的时间，也大致与全球经济低迷期相当；换言之，多数人拥有的非实验性货币都减少了。货币或许是经济危机的主要媒介，因为它把抽象的全球灾难转化为切身的困苦和匮乏。当货币退却、作为交换媒介的功能动摇时，人们最能感到它是一种危机媒介。同一时期的技术却不能如此描述。个人计算设备只会变得更“智能”，摩尔定律继续运转，黑客的自我意识空前高涨。我们就是这样走到今天的吗？也许吧。但在这一总体背景中，还有一段更具体的历史：数字现金与支付技术的历史。这是一段标准发展的历史，涉及道路收费系统、磁条卡和带处理器的卡（智能卡），涉及激进原型开发和天马行空的实验、国际合作、银行与电信公司的融合（或争斗）、隐私与安全、失败的实验，以及同时也是成功的失败。这是那些“相处如朋友，算账如敌人”的人的历史。¶

这句话出自爱德华·德容，他的个人经历与数字支付史交织在一起。2014年6月，德容前往英格兰中部拜访纳撒尼尔·特卡奇；在华威大学进行的一系列访谈中，他勾勒了这段大多尚未被讲述的历史的若干部分。巴勃罗·贝拉斯科·冈萨雷斯整理原始材料，将它们编成连贯文本。文章的安排、风格和参考文献都归功于他。下文黑体段落直接摘自访谈，全部出自德容，用以穿插点明其他材料。摘录周围的文字由我们合作撰写，时而概括，时而扩展访谈材料。与数字现金本身的历史一样，德容的故事始于戴维·乔姆的企业DigiCash。¶

1990年，乔姆已是著名密码学家，在阿姆斯特丹大学数学与信息学中心（CMI）工作。当时，荷兰交通部长正考虑引入道路定价，即自动收取高速公路系统使用费。乔姆把这视为实现其电子货币构想、创办企业的机会。他的目标是提供一套可运行的支付系统原型，能够在车速高达80公里/小时时完成完整交易，同时保证安全并保护付款人的隐私。乔姆召集了一批技术熟练的工程师，多数来自他此前在埃因霍温大学的联系人，^[1] 开始建设以智能卡持有资金的e-Cash系统。德容受雇记录该系统的实现过程。具体而言，他提出了一种描述e-Cash算法实现的形式化方法，在算法和智能卡中实现的汇编语言之间充当某种桥梁。不到三个月，原型就已完成，包括一张智能卡、车内使用的读卡终端，以及一个被称为“银行”的中央系统单元。¶

“这确实是有史以来第一个完全电子化的支付系统。当时已有一套知识积累；80年代取得了很大进展，形成了许多关于如何高效、安全地实现电子货币密码算法的理论和分析。因此理论基础已经存在，但这是第一次把一切整合起来，造出能够运作的东西。”¶

智能卡首先是一种价值储藏工具。储存的价值通过同样存于卡中的密码密钥与算法安全转移。它继承了预付电话卡和信用卡的传统，却更加注重安全和隐私。为了在公钥密码体系中保护隐私，乔姆早在80年代初就发明了“盲签名”。^[2] 他的货币系统初稿——尚未尝试实现——也已于1982年发表，当时他还是加利福尼亚大学洛杉矶分校的教授。^[3] 保护e-Cash货币转移的盲公钥签名，被巧妙地与数据加密标准（DES，由IBM的Mathias和Meyer基于Horst Feistel的工作开发）结合起来。进行e-Cash转账时，基于预先生成的数字签名的密码报文会写入待转移的金额；在发出报文之前，智能卡软件先从其储存的“可花费货币”中扣除这笔金额。每次用一个签名编码一定数量的货币，卡中储存大约20或30个可用支付签名，它们被巧妙地封装在少量盲签名之中（向卡内充值也同时加载新签名）。出于安全考虑，每个支付签名只能使用一次。e-Cash模拟传统现金的特点：转账即时完成，而且不能花掉超过自己所持有的金额。e-Cash第一次实现还有一个独特特征，即使用“冷处理器”协议：接收钱款的终端引导卡片完成加密所需的所有步骤。这套协议使e-Cash能够克服智能¶

卡在使用公钥密码技术时的处理能力限制。从纯技术角度看，e-Cash是成功的。然而，第一个拟用于汽车的原型从未进行道路测试。¶

“荷兰的政治形势变了，收费公路支付系统不再得到支持。e-Cash已经准备就绪，却已不再适用。”¶

DigiCash团队实现了第一个目标：为全国道路收费计划制造可运行原型，可由制造商转化为路侧与车载设备。但乔姆更多是个密码学家，而非技术营销者。他未能意识到，为这项新技术创造市场有多复杂。他低估了把原型变成产品所需的非技术性工作。DigiCash艰难维持，原型始终未能成功落地。两年后，公司完成了第二个e-Cash原型，这次用于一般支付，并以一家银行为首要客户，结果却类似。德容从这些早期经历中吸取了教训；多年后，在基于其专利的Java Card技术开发完成后，e-Cash在市场上的失败影响了他进入市场的思路。Java Card最初的营销成本是开发成本的五倍。¶

“DigiCash没有看市场。所有注意力都放在原型上。DigiCash彻底失败之处，是没认识到要凭手头的东西在市场站稳脚跟，需要做多少工作。相反，他们把钱花在更加先进的技术上。他们与现实完全脱节了，不知道怎样营销如此先进的技术，也不知道怎样让人们接受它。DigiCash确实远远领先于当时社会愿意接受的任何方案。大概可以说，它对绝对安全的坚持和成功实现，都来得太早了。”¶

1992年，德容离开DigiCash，与另一名前员工共同创办了一家智能卡与密码技术咨询公司。到1998年9月，DigiCash始终只能吸引屈指可数的战略伙伴，最终宣布破产。保持其技术完整性的尝试失败了：一家企业接手智能卡操作系统，知识产权组合则卖给一家加拿大公司。其通信技术以更简单、安全性较低的形式，被部署到其他面向账本的企业中，例如澳大利亚的E-tag。¶

十五年前，银行已经开始把智能卡视为支付卡应用的下一步技术。配有磁条、并通过数据通信连接到后台账户数据库计算机的信用卡，以及欧洲的借记卡，构成了当时电子支付的大多数。银行投入人力推动这一新兴技术的国际标准化，既参与欧洲的CEN（Centre European des Normes），也参与此前已制定凸字信用卡和磁条卡标准的ISO。然而，银行对现金并不感兴趣，即对与传统账本系统相对的数字现金系统不感兴趣——至少不是优先事项。如果说有什么反应，那就是最初不需要账本的电子现金系统出现时，银行多少有些惴惴不安。它们担心¶

自己在支付中的作用会被削弱。这些担忧并非全无根据，因为多家欧洲大型电信运营商正在寻找新机会，利用其在公用电话中成功取代实体现金的经验。将业务扩展到其他小额支付，如报纸、零食、自动售货机等，在这些电信公司看来是不错的商机。正如下文所见，一些银行接受了挑战，参与电子现金智能卡实验。¶

DigiCash成立后，下一次实现电子现金的尝试，是1991年的Danmønt。它是一张带有一次性“电子钱包”、用于小额支付的智能卡，由PBS旗下子公司Danmønt S/A开发，并获哥本哈根电话公司KTAS和交通机构HT（Capital Traffic）支持。试点于1992年启动，1993年在全国范围推出，主要作为自助洗衣店和电话亭的支付方式。^[4] 在Danmønt系统中，付款人的智能卡向商户智能卡发送一条携带价值的消息，由秘密密钥通过DES算法认证。密钥储存在智能卡中，待支出或接收的金额也分别存于卡中。¶

一年后，Mondex随之出现。它由当时在NatWest银行工作的密码学家戴维·埃弗里特发起，与e-Cash和Danmønt一样，通过交换消息转移价值。Mondex团队开始建设系统时，采用了蒂姆·琼斯和格雷厄姆·希金斯于1990年就已取得专利的技术；这两人在专利申请中引用了乔姆的构想。在Mondex方案中，每个国家由一台安全计算机充当“创制者”，生成电子现金单位，再将其出售给“发行者”（银行）以换取传统货币；发行者又可以将其卖给最终Mondex用户，同样换取传统货币。两位用户之间的交易，由各自智能卡上储存的秘密密钥与算法验证。终端用户收到的电子货币，只能通过转回发行者来换回法定货币。Mondex创制者、发行者和终端用户都使用同一套基本安全协议转移价值；预计发行者会部署装满智能卡的机架。据德容说，这种完全离线的安全机制带来一个可能致命的安全弱点。Mondex于1995年7月在英国斯温登接受消费者测试，麦当劳、BP、Sainsbury’s及其他主要零售商参与其中。^[5] NatWest和Midland Bank（现属汇丰）是Mondex股东。苏格兰银行也是分特许经营权持有者，加拿大皇家银行和加拿大帝国银行均计划在1996年开展试点。^[6] 该系统最终卖给万事达，后者为保留智能卡操作系统Multos而使其延续；^[7] Multos原本是为支持这一电子货币系统而开发的。Mondex的安全协议¶

没有公开发表，^[8] 它由验证消息的公钥签名构成，并使用Mondex创制者的公钥，保护每张卡独有转移密钥的真实性和隐私。1996年，智能卡芯片还无法高效执行公钥密码运算；斯温登的Mondex试验采用了修改后的协议，使用DES算法及共享秘密密钥。¶

自1970年代中期起，智能卡就已作为预付电话卡使用。但直到1980年代和1990年代，人们才意识到它更广泛的潜在应用，例如医疗记录、银行转账、驾照、公共交通和电子支付。乔姆共同组织的1987年Smart Card 2000会议，见证了这种认识的增长。智能卡的国际标准化始于1984年，是1970年启动的信用卡标准化工作的延伸。银行的先进技术人员、电信实验室研究者，以及初创智能卡行业的代表，每年在ISO/IEC SC 17WG4的名义下聚会四五次，讨论实体设计方面的标准，如卡中芯片的大小与位置、用于与处理器通信的芯片接触点大小和形状，以及应支持的基本操作，如存储器读写和密码运算。到1989年，“WG4”最初几方面的标准化工作形成了三份标准文件。像所有标准化工作一样，这些文件反映了参与公司的“有来有往”谈判。例如，触点位置很难达成共识，第一份标准允许两种不同位置。第一份标准中规定的一种芯片位置，被带着几分笑意称为“法国式位置”，后来的文件逐步淘汰了它。最后，1995年，第四份标准ISO/IEC 7816-4发布。参与者通过发放印有“ISO/IEC 7816-4幸存者”字样的T恤庆祝这一成果。德容恰在这个里程碑之前加入ISO标准化小组。¶

欧洲国家认为，这些卡片是一个需要在ISO小组工作之外进一步进行欧洲监管与标准化的领域。它们尤其寻求卡片应用标准。欧洲标准化机构CEN TC224于1990年设立，承担此项工作。在TC224内设立了电子货币小组（WG10），由一名获Danmønt支持的人出任首位召集人，成员包括挪威银行联盟的Edmond Alnianakian、比利时Masterpay的Phillipe Duhamel、英国电信界、法国巴黎大众运输公司RATP（Régie Autonome des Transports Parisiens）的Phillipe Vapperau，以及作为DigiCash独立技术提供者的德容。德容于1991年仍在DigiCash时加入，主要是决定标准需要增加什么内容，才能确保它兼容DigiCash使用的更复杂安全协议。来自电子现金、银行、交通及支付行业、横跨五国的人员碰撞，使技术协议的达成，甚至对标准本身的理解，都出现困难。各方对技术的不同方面有着不同利益。实际上，WG10起初并未清楚理解电子货币系统的性质，即它¶

实际上不同于传统现金。后来这种总体理解形成了，但在具体协议的规定上又出现困难。德容回忆，主要分歧在于智能卡中储存的数据结构及其安全属性。工作组中的德国成员希望结构更严密，超过其他各方愿意接受的程度；后来加入的Mondex代表，也长期不愿修改自己的消息协议，使其适应标准所设想的统一消息集合。¶

“在信息技术的标准化中，达成一致逐渐变成这样的意思：我们同意为彼此、为各自的技术设一个标签；你用我的标签实现我的技术，我用你的标签实现你的技术。”¶

后来又有更多方面加入，包括英国GEC交通自动化公司的克里斯·斯坦福，以及General Information Systems Ltd（GIS）的创始人之一拉姆·班纳吉。GIS于1985年在剑桥成立，是Mondex的早期支持者，设计并制造“钱包”，为Mondex用户提供查看卡内交易和总余额的界面。德容加入电子钱包标准化小组五年、召开20次会议之后，人数由6人增至60人（1996年）。那是电子现金系统部署的高峰期。¶

“他们都相信这件事很快就会发生。我的意思是，DigiCash证明了兴趣非常大。它引发了大量炒作。他们相信，只要大家聚到一起、组织起来、定出标准、把实现方案部署出去……”¶

当时，斯温登试验正在银行和交通领域同时进行。德国部署了另一种银行卡（但政府规范要求电信公司深度参与），法国的Carte Bancaire也至少部署了一种。在荷兰，部署了两种卡，一种由电信公司支持，一种由银行支持。¶

“时间到了1996年。大家都准备好部署，大家也都部署了。然后，基本上什么都没发生。”¶

为什么？据德容说，银行的主要兴趣仍在于强化既有无现金支付系统，即销售点的信用卡和借记卡交易。为此，处理这类交易绝大多数业务的三大国际支付协会——Europay、Mastercard和Visa——联合成立了又一个标准化组织EMV。换言之，多股力量朝不同方向前进，多种策略同时部署或测试。EMV制定了一项在销售点实际使用智能卡的标准，用于识别支付类型（信用卡、借记卡、电子现金），并包含输入PIN码等用户操作要素。用于借记卡或信用卡的智能卡系统，是从人们熟悉的磁条卡迁移而来。到90年代末，这些标准已基本准备完成；标准就位后，银行开始非常专注于真正把智能卡作为支付卡引入。它们希望获得智能卡承诺的减少银行卡欺诈的好处。也就是说，它们更关心智能卡作为安全技术的作用，而较少关心它促进数字现金交易的能力。¶

推出“PIN与芯片”（PIN&Chip，即智能卡用于销售点支付的通称）花了整整十年。作为从磁条卡迁移而来的技术，智能卡并未从根本上改变银行的集中化模式。这一银行模式被称为账本系统，实际价值转移不是发生在付款人与收款人的互动点上，而是通过中介的管理操作完成。“账本”（ledger）一词来自银行传统上用来记录为客户办理金融交易的大型平放账簿。¶

随着用于借记卡和信用卡支付的智能卡引入工作顺利推进，另外两家支付网络——美国运通和最初来自日本的JCB——加入EMV。到那时，也就是2000年代初，银行减少了对智能卡标准化的直接参与，转而通过EMV和又一个智能卡相关标准组织Global Platform施加影响。银行对数字现金的兴趣已失去动力，并开始显得更像是面对乔姆e-Cash实现所作的防御性条件反射。尽管达成了标准化协议，并在欧洲许多国家实现“技术上”成功的部署，大多数电子现金系统却没有被公众广泛采用。因此，运营商、银行和电信公司的兴趣逐渐消退。银行坚持使用自己的账本，以及新兴PIN与芯片卡提供的“足够”安全性。随着摩尔定律确保处理能力不断增强，用于实现账本支付的大型数据库系统最终变得如此高效，以至每笔交易实际上都不再产生成本。德容于1991年加入、最初旨在制定ISO之外卡片应用标准的欧洲标准小组TC224 WG10，于2009年关闭。¶

就电子现金未能在公众中获得太多支持而言，Danmønt或许是个显著例外。由于与丹麦自助洗衣店系统整合，Danmønt的使用程度和社会渗透率超过多数其他实现，并成功维持到2005年。Danmønt相对成功的经验，为未来实验提供了值得研究的教训。¶

“它们（电子现金系统）在技术上能够运作，但已没有动力真正让它们在商业上运作起来。”¶

银行业对智能卡的兴趣最终落在部署PIN与芯片上时，另一种基于账本的智能卡系统应用却取得巨大成功。电信业把注意力集中于将智能卡用于当时新兴的移动电话产业。为了支持移动电话，CEPT（欧洲邮电管理机构会议，Conférence Européenne des Postes et Télécommunications）的电信委员会成立了标准化小组GSM（Groupe Spéciale Mobile，后来改名为Global System for Mobile Communications，即全球移动通信系统）。到1989年，其第一阶段规范获得批准，以ISO的卡片尺寸和通信标准为基础。欧洲（后来成为全球）标准制定出来后，嵌入手机的GSM智能卡有了现成的电话市场，也很容易大规模生产。^[9]¶

“真正伴随智能卡起飞的是GSM。技术之间有一种天作之合，这让智能卡生产起飞了。曾有一段时间，银行业每年大约使用1亿张智能卡，而手机每年使用30亿张。”¶

智能卡制造商对GSM标准的成功很感兴趣，因为它使安全交易和通信加密成为可能。手机制造商也同样投入其中，因为这一标准让它们能够专注于制造进行无线通信和网络部署的设备，从而建立手机与人之间的联系。共同利益促成了基于芯片的无线电话安全模型——GSM标准——在1998年迅速实现和部署。该标准有两个核心目标：保护通信，并确保通信费用得到支付。¶

“集中记账威胁隐私的性质［……］如果说戴维激发了我什么，那就是对那些根本上涉及隐私敏感性的系统的关切。”¶

隐私与安全一直是许多开发者和黑客群体最核心的关切。乔姆发明盲签名，明确以保护隐私为动机，这是一种清楚的政治动机。他有一段公开记录的表述：“糟糕的电子现金系统与完善的数字现金之间的差别，将决定我们拥有的是独裁统治，还是真正的民主。”^[10] 现金系统和账本系统处理两种根本不同的价值转移消息。在前者中，消息就是价值；在后者中，消息是转移价值的指令。e-Cash、Danmønt和Mondex在密码技术和架构上不同，但它们都是现金系统。卡中储存的信息本身就可以花费。丢失卡片，意味着丢失钱。在账本系统中，消息只携带价值转移的信息，实际转移随后才发生。账本生成所有活动的集中记录，而这些记录几乎总与具有真实身份的账户相联系。正因为有账本，丢失信用卡或借记卡不一定意味着丢钱（因为个人账户与向账本传达交易信息的媒介和消息相分离）；也正因如此，基于账本的交易不难撤销（因为账本才是交易实际发生之处）。账本的这些属性把消息与交易分开，并使交易可逆，而恰恰是这些属性，使它成为乔姆这样的人在政治上针对的对象。¶

早在数字现金诞生之前，货币就已经如德容所说，被“实体转化”（transubstantiated）为电子信息。1920年代，阿姆斯特丹出现了第一个自动账本系统，通过机械检索、排序并更新账户卡片来处理交易。在德容看来，账本是首次将货币变为信息的关键技术，或“文化技艺”。¶

这场“另一种大转型”^[11] 启动了重新创造现金特性的探索。对于数字现金的支持者来说，账本是令人深恶痛绝的东西。¶

1970年代，早期电话卡把电子储存在硅中，以表示所储存的价值；这比磁条技术通过纸质凭条或联网连接，利用账本系统识别账户信息，还早了足足十年。像GSM这样的电信公司使用的账本系统，比银行的简单得多，但它仍是一套集中式记账系统，旨在通过量化有效控制通话时长，并与月度缴费或预付账户对账。从这种纯粹的管理系统，迈向转账系统，最终变成今天移动汇款所使用的支付系统，并不需要很大一步。事实上，登记一笔账本交易的成本接近零，再加上可以购买离散数量的话费——这由实现账本的高效数据库促成——就足以让手机在没有最初战略统筹的情况下成为货币系统。手机缓慢地变成了货币机器、支付技术，而支付并不等同于交换。支付为交换着色，以各种方式扩充、也殖民交换。当交换的一切微小中介环节被理解为一条价值链、组成一种独特的政治经济时，我们面对的就是支付。手机变成支付机器的这一过程，部分解释了肯尼亚M-Pesa的出现。¶

“除了现金（纸钞和硬币），所有货币系统都以账本为基础。一切都是余额，是所收和所付累计金额的记录。每一笔余额都有一个附带的标识符，也就是账户；这种基于身份的记账是银行业的核心。我们可以批评系统的使用方式，但存在的只有这个系统。我们目前的货币体系已经证明，它与社会广泛的需求高度契合。也许我们还没有意识到，它融入社会有多深。尝试创造替代方案时，你会发现传统货币为适应社会各种需求，已经调整得多么精细。”¶

最近，以比特币为模型或受其启发的加密货币大量涌现，形成现金与账本系统的一种新组合。在这些系统中，账本托管在多台服务器上，在地理上去中心化，但账本仍然是这些系统的根基。实际上，从某些方面看，这些系统甚至更加中心化，因为——至少在信奉者心中——账本成为终极权威，一旦出错，毫无申诉可能。账本与主权权威混为一体。¶

德容说，人们再次对现金系统产生兴趣。在他看来，数字现金是徘徊于这些新型账本混合系统中的幽灵。如今他正在开发一个可与现有货币整合的社区货币系统。其协议使用非对称安全机制，允许付款人保持匿名，而收款人不能，如同传统现金支付一样；它将可通过手机用户界面使用，并计划在加拿大部署。¶

参考文献

Böhle, Knud, Michael Rader, and Ulrich Riehm. ‘Electronic Payment Systems in European Countries: Country Synthesis Report’, Forschungszentrum Karlsruhe, September 1999, http://www.itas.kit.edu/pub/v/1999/boua99b.pdf.¶

Chaum, David. ‘Blind Signatures for Untraceable Payments’, in David Chaum, Ronald L. Rivest, and Alan T. Sherman (eds), Advances in Cryptology, New York: Springer, 1983, pp. 199-203, http://link.springer.com/chapter/10.1007/978-1-4757-0602-4_18.¶

Clemons, E.K., D.C. Croson, and B.W. Weber. ‘Reengineering Money: The Mondex Stored Value Card and Beyond’, in Proceedings of the Twenty-Ninth Hawaii International Conference on System Sciences, Vol. 4, 1996: 254-61, doi:10.1109/HICSS.1996.495345.¶

Greenberg, Andy. This Machine Kills Secrets: How WikiLeakers, Hacktivists, and Cypherpunks Are Freeing the World’s Information, New York: Random House, 2012.¶

Haug, Thomas. ‘A Commentary on Standardization Practices: Lessons from the NMT and GSM Mobile Telephone Standards Histories’, Telecommunications Policy 26 (2002): 101-107.¶

‘How DigiCash Blew Everything’, January 1999, http://cryptome.org/jya/digicrash.htm.¶

Landrock, Peter. ‘Mondex’, in Henk C. A. van Tilborg (ed.), Encyclopedia of Cryptography and Security, New York: Springer, 2005, p. 394, http://link.springer.com/referenceworkentry/10.1007/0-387-23483-7_262.¶

Polanyi, Karl. The Great Transformation: The Political and Economic Origins of Our Time. 2nd edition, Boston, MA: Beacon Press, 2002.¶

Schellhorn, Gerhard, Holger Grandy, Dominik Haneberg, and Wolfgang Reif. ‘The Mondex Challenge: Machine Checked Proofs for an Electronic Purse’, in Jayadev Misra, Tobias Nipkow, and Emil Sekerinski (eds), FM 2006: Formal Methods, Lecture Notes in Computer Science 4085, Berling and Heidelberg: Springer, 2006, pp. 16-31, http://link.springer.com/chapter/10.1007/11813040_2.¶

注释