秘密の nonce を r、コミットメントを R = r·G、チャレンジを e = H(R ‖ P ‖ m)、秘密鍵を x とすると、署名は (R, s)（s = r + e·x mod n）で、検証者は s·G = R + e·P を確認します。これは識別プロトコルに Fiat–Shamir 変換を適用したもので、ランダムオラクルモデルにおいて、離散対数仮定のもとで偽造不可能であることが証明されています。Schnorr の特許のため、2008年に期限が切れるまで標準には採用されませんでした。DSA と ECDSA がこの特許を回避するように設計されたのはそのためです。
EdDSA は、決定的な nonce を使うエドワーズ曲線上の Schnorr 方式です。Bitcoin の BIP-340（2021年11月に Taproot とともに有効化）は、32 バイトの x 座標のみの公開鍵とタグ付きハッシュを使う、secp256k1 上の 64 バイトの Schnorr 署名を定めています。Nostr も同じ方式を使っています。
署名は足し合わせることができるため、n 人の署名者が 1 つの集約鍵に対する 1 つの署名を作成できます。n-of-n には MuSig2（BIP-327）、t-of-n には FROST（RFC 9591）を使います。ECDSA と比べると、モジュラ逆数の計算が不要で、エンコーディングを固定すれば s/n − s による展性もなく、バッチ検証も低コストです。nonce の規則は同じで、2 つのメッセージで r を再利用すると x が漏洩します。