IPA多项式承诺方案(1)--多项式承诺是什么？

承诺方案

在介绍IPA多项式承诺方案方案前，我们要先明白承诺是什么，进而理解多项式承诺是什么。

承诺

承诺相当于将信纸放入密封的、防篡改的、单独编号的信封。之后纸上内容不能再进行更改，且内容不会被泄漏，只有打开信封才知道纸上的内容。

在密码学中，承诺方案是一个涉及两方的二阶段交互协议，双方分别为承诺方/证明方和验证方。主要包含以下两个阶段；

• 承诺阶段：承诺方对一个消息$m$，以密文的形式发送给接收方，意味着信息$m$将不会再被篡改。(密封)
• 打开阶段，承诺方公开消息$m$与盲化因子（相当于秘钥），接收方以此来验证其与承诺阶段所接收的消息是否一致。（打开信封）

承诺必须具有两个基本性质：

• 绑定属性（binding）：绑定属性可以理解为一个$m$对应一个唯一承诺值，敌手在多项式时间内不可能找到另一个$m^{\prime }$对应的承诺值与$m$的承诺值相等。形式化定义如下。
• 隐藏属性：隐藏属性可以理解为对于敌手来说，无法区分承诺和一个随机数。因此承诺不会泄漏隐私信息$m$。

Pedersen承诺

Pedersen承诺主要包含以下三个算法 $ (Setup,commit,open) $ 。

• $Setup(1^{\lambda }):$ 生成公共参数$pp=(G,G\in G,H\in G,F_p)$，其中$G$是p阶的循环群，这里假设为定义在椭圆曲线上的加法循环群，$G,H$是$G$中的元素。$pp$对于承诺方和验证方都是已知的。

• $Commit(pp,m,r):$ 承诺者选择随机数$r$，对信息$m$计算承诺$cm=mG+rH$，并将承诺发送给验证者。

• $Open(pp,m,r):$ 承诺者揭示$m,r$，验证者计算$c{m}^{\prime }=mG+rH$，验证$cm=c{m}^{\prime }$，若相等，输出1，否则，输出0。

注：$Setup$过程由验证者生成，在一些协议中也由第三方生产，通过随机选取群$G$中的元素生成$G,H$。

整体流程如图所示

Pedersen承诺具有绑定属性（binding）和隐藏属性（hiding），此外，Pedersen还具有加法同态属性，定义如下：

思考：若承诺的计算为$cm=mG$可以吗？

不可以，但仅满足绑定属性（binding），但不满足隐藏属性（hiding）。即当没有随机项$rH$，攻击者发送$m,m^{\prime }$，承诺方随机对其中一个信息进行承诺，攻击者可以识别出是哪个信息的承诺。

Pedersen向量承诺

上面的承诺方案是针对一个信息$m$进行承诺，若有多个信息$m=(m_1,m_2,\dots ,m_n)$，该如何进行承诺？则使用Pedersen向量承诺方案，包含以下三个算法：

• $Setup(1^{\lambda }):$ 验证者生成公共参数$pp=(G,G\in G^n,H\in G,F_p)$，其中，$G$是指$(G_1,G_2,\dots ,G_n)$，$G,H$是$G$中的群元素。

• $Commit(pp,m,r):$ 承诺者计算承诺$cm=m_1{G}_1+m_2{G}_2+\cdots +m_n{G}_n+rH$，将承诺发送给验证者。

• $Open(pp,m,r):$ 承诺方公开隐私信息$m,r$，验证者运行$Open$，其验证等式$cm=m_1{G}_1+m_2{G}_2+\cdots +m_n{G}_n+rH$。

同理，Pedersen向量承诺具有绑定属性（binding）、隐藏属性（hiding）和加法同态。

多项式承诺

上面我们了解到承诺的意义为了确保揭示过程中(即$open$时)，承诺者不能修改信息$m$。多项式承诺的目的是为了确保揭示过程中承诺者使用承诺的多项式计算验证者随机选择的一个点$z$的多项式值$f(z)$，流程如下所示。证明是为了确保承诺者发送的$f(z)$是承诺的多项式$f$在点$z$的值。

此时证明可以为多项式$f$的系数，然后验证者计算在$z$点的多项式值，判断与承诺者公开的$f(z)$是否一致。证明大小与多项式的系数线性相关，这种方案往往是不实用的。该如何确保多项式值$f(z)$是正确计算的情况下缩小证明的大小？ 基于IPA实现的多项式承诺和KZG承诺方案可以很好的实现这一目的。