Timed Commitment的实现

教程：定时承诺的实现

定时承诺介绍

承诺过程包括两个阶段：承诺阶段和开启阶段。通常来说，承诺在两方之间执行：承诺方C和接受方。更一般地说，我们可以假设有n个接受者，表示为$P_1,...,P_n$.

• 承诺阶段

  承诺方以某种秘密值$x$启动承诺阶段，即承诺方向接收方传递信息“我拥有秘密$x$”。此值将在开启阶段执行后为每个接受者所知。如果承诺者是诚实的，那么在开始阶段开始之前，对手(接收方)不应该有任何关于$x$的信息

• 开启阶段

  承诺方公开秘密$x$，完成承诺。每个诚实的接受者都可以确信，无论恶意承诺者的行为如何，承诺都可以以一种方式公开，即承诺者既不能反悔也不能使用$x^{{}^{\prime }}\ne x$开启承诺。

• 问题

  没有办法强迫承诺者公开他的秘密$x$。

• 解决方法

  比特币为解决这一问题提供了一种有吸引力的方法。也就是说：使用比特币系统，可以迫使承诺人用一些钱来支持他的承诺，称为押金。如果他在一段时间 $t$ 内拒绝公开承诺，押金将给予其他各方。

  • 首先，假设在协议启动之前，分类账包含n个未赎回的标准交易$U_1^C、...、U_n^C$，这些事务可以用一个仅为C已知的私钥进行赎回，且每笔交易具有 d BTC。

  • 该协议被表示为CS(C，$d$，$t$，$s$），它包括两个阶段：承诺阶段CS.Commit（C，$d$，$t$，$s$）（其中$s$包含C提交的消息和一些随机值）和开启阶段CS.Open（C，$d$，$t$，$s$）。

  • 诚实的承诺者总是在时间 $t$ 内开启他的承诺。在这种情况下，承诺方收回押金，即分布式账本中包括可以使用C的密钥赎回的标准交易，且总价值为 （$d\ast n$）BTC.

  • 此外，如果 C 未在时间 $t$ 之前打开承诺，则每一方都会赚取 d BTC。更确切地说：对于每一个诚实的$P_i$，账本中都包含一个交易，其值为d BTC，可以用$P_i$已知的密钥进行赎回。

• 实现一

  • 假设 x ∈ { 0 , 1 } ∗ x \in \{0, 1\}^{*} x∈{ 0,1}∗, 在承诺阶段 C 计算 $s:=(x||r)$, 其中 $r$ 是从 { 0 , 1 } k \{0, 1\}^{k} { 0,1}k中随机选择的随机数，然后 C 将 $h=H(s)$发送给每一位接收方(这基本上构成他对 $x$ 的“承诺”）。

  • 在开启阶段，C 将 $s$发送给每个接收方，接收方检查是否$h=H(s)$，并通过从$s$中剥离最后$k$位来恢复$x$。如果$H(s)\ne h$，接受者将不接受开启过程。

  • 协议的基本思想如下

    • 承诺方独立地与每个接收者$P_i$交谈。对于每个$P_i$，C 将在承诺阶段创建一个价值 d BTC 的交易 $Commi{t}_i$. 这笔交易通常被 C 在开启阶段通过交易 $Ope{n}_i$ 赎回。交易 $Commi{t}_i$ 将以 $Ope{n}_i$ 交易必须自动开启承诺(公布$s$)的方式构建。技术上，可以通过构造 $Commi{t}_i$ 的输出脚本来完成，这样 $Ope{n}_i$