密码学 | 承诺：Pedersen 承诺

​

🥑原文：密码学承诺之 Pedersen Commitment 原理及应用

🥑写在前面：本文属搬运博客，自己留存学习。
​

1 承诺

密码学承诺方案是一个涉及双方的 二阶段 交互协议，双方分别为 承诺方 和 接收方。

• 承诺阶段： 由于承诺方不想让接收方 提前 知道消息 $m$ 是什么，因此承诺方为消息 $m$ 生成一个承诺值 $c$ 并发送给接收方。
• 打开阶段： 承诺方发送消息 $m$ 给接收方，接收方可以通过承诺值 $c$ 来验证消息 $m$ 和 $c$ 所对应的消息是否一致。

这里看不懂很正常，因为原文确实说的很简略，我已经尽力说清楚了🙂
注意：承诺的主要作用并不是为消息 $m$ 加密！其作用一是为了防止接收方提前知道消息，二是为了防止承诺方指鹿为马，即承诺阶段明明是给消息 $m$ 进行的承诺，但在打开阶段却说自己的消息是 $m^{\prime }$。

承诺方案有两个基本性质：隐藏性 和 绑定性。

• 隐藏性：承诺值 $c$ 不会泄露任何关于消息 $m$ 的信息，接收方无法根据 $c$ 反推出 $m$；
• 绑定性：承诺方无法谎称承诺值 $c$ 是关于消息 $m^{\prime }$ 的承诺，因为接收方可以验证出来。

以上只是入门级的文字描述，可以先有这两个概念，后面再进行深入学习。

2 Pedersen

Pedersen 承诺的核心公式：

$$c=g^v\ast h^r$$

其中，$c$ 为生成的承诺值，$g,h$ 为椭圆曲线上的生成元，$v$ 为原始信息，$r$ 为盲因子。由于 $g,h$ 为椭圆曲线上的生成元，因此 $g^v,h^r$ 可以视为公钥。同理，$v,r$ 也可以视为私钥。

如果你没有椭圆曲线密码学的基础知识，这一段当然是看不懂的😎

3 Pedersen 的性质

Pedersen 承诺是一个满足 完美隐藏、计算绑定 的 同态 承诺协议：

• 它的完美隐藏性不依赖于任何困难性假设；
• 它的计算绑定性依赖于离散对数假设。

Pedersen 承诺的构造分为 3 个阶段：

• 初始阶段：选择阶为大素数 $q$ 的乘法群 $G$、生成元 $g$ 和 $h$，公开元组 $(g,h,q)$；
• 承诺阶段：承诺方选择随机数 $r$ 作为 盲因子，计算出 承诺值 $c$ 后发送给接收者；
• 打开阶段：承诺方发送 $(v,r)$ 给接收者，接收者验证 $c$ 是否等于 $(g^v{h}^r)modq$；

如果相等则接受承诺，否则拒绝承诺。

注意：这里的 $v$ 就是前面说的消息 $m$，只不过换了个字母表示罢了。此外，严格来说一个承诺方案就只包含 “承诺” 和 “打开” 这两个阶段，不会像原文那样包含 “初始” 阶段。

由于 $r$ 为随机数，Pedersen 承诺具有完美隐藏性，以及基于离散对数假设的计算绑定性。

由于盲因子 $r$ 是一个随机数，因此针对相同的 $v$ 也会产生不同的承诺 $c$，从而提供了信息论安全的隐藏性。这一点类似 ECDSA、Schnorr 签名采用的手法。

4 Pedersen 的同态性

Pedersen 承诺的同态性是指，如果 $c_1,c_2$ 分别是使用盲因子 $r_1,r_2$ 对 $v_1,v_2$ 的承诺，那么 $c_1\ast c_2$ 是使用盲因子 $r_1+r_2$ 对 $v_1+v_2$ 的承诺，这是因为：

$$c=c_1\ast c_2=(g^{v_1}{h}^{r_1})\ast (g^{v_2}{h}^{r_2})=g^{v_1+v_2}{h}^{r_1+r_2}$$

同态性的应用

假设有 $v_1+v_2=v_3$，证明方想向验证者证明 $v_1,v_2,v_3$ 的这一关系，但又不想让验证者知道 $v_1,v_2,v_3$ 的明文值，那么可以使用 Pedersen 承诺的同态性来解决这个问题，即只需要验证其盲因子 $r_1+r_2$ 是否等于 $r_3$：

$$\begin{array}{rl}{c}_3& \stackrel{?}{=}{c}_1\ast c_2\\ g^{v_3}{h}^{r_3}& \stackrel{?}{=}(g^{v_1}{h}^{r_1})\ast (g^{v_2}{h}^{r_2})=g^{v_1+v_2}{h}^{r_1+r_2}\\ v_3& \stackrel{?}{=}{v}_1+v_2⟷r_3\stackrel{?}{=}{r}_1+r_2\end{array}$$

如果证明方知道验证方的验证方式是验证 $r_3\stackrel{?}{=}{r}_1+r_2$，那么证明方可以故意构造一个 $r_3=r_1+r_2$，验证方应该如何防止证明方作弊呢？

解决方案：由于元组 $(g,h,q)$ 是公开的，验证方可以根据盲因子 $r_1$ 来构造一个承诺 $g^{v_1}{h}^{r_1}$，验证与接收到的 $g^{v_1}{h}^{r_1}$ 是否是相等。

第二阶段不是打开阶段吗？怎么保证 $v_1$ 不被验证方知道？