Con un nonce secreto r, el compromiso R = r·G, el desafío e = H(R ‖ P ‖ m) y la clave privada x, la firma es (R, s) con s = r + e·x mod n; el verificador comprueba que s·G = R + e·P. Es la transformación de Fiat–Shamir de un protocolo de identificación y es demostrablemente infalsificable bajo el supuesto del logaritmo discreto en el modelo del oráculo aleatorio. La patente de Schnorr lo mantuvo fuera de los estándares hasta que expiró en 2008, y por eso DSA y ECDSA se diseñaron para esquivarla.
EdDSA es un esquema Schnorr sobre curvas de Edwards con nonces deterministas. BIP-340 de Bitcoin (activado con Taproot en noviembre de 2021) define firmas Schnorr de 64 bytes sobre secp256k1 con claves públicas x-only de 32 bytes y hashes etiquetados; Nostr usa el mismo esquema.
Como las firmas se suman, n firmantes pueden producir una sola firma bajo una única clave agregada: MuSig2 (BIP-327) para n de n y FROST (RFC 9591) para t de n. Frente a ECDSA, no hay inverso modular, no hay maleabilidad s/n − s una vez fijada la codificación, y la verificación por lotes es barata. La regla del nonce es la misma: reutilizar r en dos mensajes revela x.