Необходимые неинтерактивные привязки вызова подписи Шнорра

Некоторые реализации подписи Шнорра будут определять проблему следующим образом:

$c=H(kG \mathbin\| X \mathbin\| m)==H(rG+cX \mathbin\| X \mathbin\| m)$, куда:

$с$ это вызов
$м$ сообщение подписывается
$Х$ открытый ключ подписавшего, такой, что $Х=xG$
$G$ является известной отправной точкой
$х$ является закрытым ключом подписавшего
$г$ – ответ на вызов, вычисляемый как $r=k-cx$
$к$ является равномерно случайным одноразовым номером

Однако некоторые подписи Шнорра не связывают открытый ключ. $Х$ подписавшего в хэш вызова. Таким образом, $c=H(kG \mathbin\| м)$.

Какие возможные атаки предотвращаются включением $Х$ в хеше вызова?

Обратите внимание, что подпись может быть передана как пара $(с,г)$, или как пара $(К,р)$ куда $К=кГ$.