При секретном nonce r, обязательстве R = r·G, challenge e = H(R ‖ P ‖ m) и закрытом ключе x подпись — это (R, s), где s = r + e·x mod n; проверяющая сторона проверяет равенство s·G = R + e·P. Схема получается преобразованием Фиата — Шамира из протокола идентификации, и её неподделываемость доказуема в предположении о сложности дискретного логарифмирования в модели случайного оракула. Патент на схему Schnorr не давал включить её в стандарты, пока не истёк в 2008 году, поэтому DSA и ECDSA спроектировали в обход него.
EdDSA — схема типа Schnorr на кривых Эдвардса с детерминированными nonce. BIP-340 в Bitcoin (активирован вместе с Taproot в ноябре 2021 года) определяет 64-байтные подписи Schnorr на кривой secp256k1 с 32-байтными открытыми ключами x-only и тегированными хешами; Nostr использует ту же схему.
Подписи складываются, поэтому n подписантов могут создать одну подпись для одного агрегированного ключа: MuSig2 (BIP-327) для схемы n из n и FROST (RFC 9591) для t из n. В отличие от ECDSA, здесь нет вычисления обратного элемента по модулю, нет пластичности s/n − s при фиксированном кодировании, а пакетная проверка обходится дёшево. Правило для nonce то же: повторное использование r для двух сообщений раскрывает x.