Compromisso de Pedersen

O que é um compromisso de Pedersen?

Um compromisso de Pedersen é um esquema criptográfico de compromisso que permite ocultar um valor e, ao mesmo tempo, comprometer-se com esse valor exato, impedindo que ele seja alterado posteriormente.

Em cripto, os compromissos de Pedersen são importantes porque ajudam blockchains, protocolos de privacidade e sistemas de prova de conhecimento zero a comprovar fatos sobre valores ocultos sem revelá-los.

Um esquema de compromisso costuma ser explicado por meio da analogia de um envelope lacrado.

Você coloca um valor secreto dentro de um envelope, lacra-o e mostra o envelope fechado a outras pessoas.

Elas não conseguem ver o valor dentro do envelope, mas você também não consegue alterá-lo depois que o envelope foi lacrado.

Um compromisso de Pedersen produz esse efeito com matemática, em vez de papel.

A construção original está associada ao artigo de Torben Pryds Pedersen, Non-Interactive and Information-Theoretic Secure Verifiable Secret Sharing, que apresentou compromissos usados em compartilhamento verificável de segredos.

A forma simplificada padrão costuma ser escrita como

.

Nessa fórmula,

é o compromisso, é o valor oculto, é um fator aleatório de ocultação, e e são pontos geradores independentes em um grupo criptográfico.

O valor

permanece oculto porque o fator aleatório de ocultação o mascara.

O compromisso mantém a propriedade de vinculação porque seu criador não deve conseguir abrir o mesmo compromisso como se representasse dois valores diferentes, a menos que consiga resolver um problema matemático difícil.

Essa combinação de ocultação e vinculação torna os compromissos de Pedersen úteis para transações confidenciais, saldos privados, provas de intervalo, circuitos de conhecimento zero, compartilhamento verificável de segredos e aplicativos cripto que preservam a privacidade.

Principais pontos sobre compromissos de Pedersen

• • Um compromisso de Pedersen oculta um valor e vincula quem o criou a esse valor.
  • Geralmente, tem a forma
    C = rG + vH
    , em que
    v
    é o valor e
    r
    é o fator de ocultação.
  • Ele oculta o valor porque o fator aleatório impede que terceiros descubram o valor comprometido.
  • Ele tem a propriedade de vinculação porque quem criou o compromisso não consegue abri-lo facilmente como se representasse dois valores diferentes.
  • É aditivamente homomórfico, o que significa que os compromissos podem ser somados de maneiras úteis.
  • É amplamente usado em transações confidenciais, provas de intervalo, sistemas de conhecimento zero e designs de blockchain voltados à privacidade.

Por que os compromissos de Pedersen são importantes em cripto

Os compromissos de Pedersen são importantes porque as blockchains públicas criam um problema de privacidade.

Muitas blockchains tornam os dados das transações visíveis para qualquer pessoa.

Essa transparência ajuda os usuários a verificar a oferta e a liquidação, mas também pode revelar saldos, valores de transações, atividades comerciais e comportamento dos usuários.

Os compromissos de Pedersen ajudam a resolver parte desse problema ao ocultar valores e ainda permitir verificações matemáticas.

Por exemplo, um sistema de privacidade pode precisar provar que os valores de entrada de uma transação são iguais aos valores de saída, sem mostrar os valores reais.

Um compromisso de Pedersen pode ocultar cada valor e preservar estrutura suficiente para provar que os números estão equilibrados.

A explicação sobre Confidential Transactions do Elements Project afirma que a ferramenta básica por trás das transações confidenciais é um compromisso de Pedersen.

Isso é útil porque uma blockchain pode verificar que nenhuma moeda nova foi criada secretamente, mantendo privados os valores das transações.

Os compromissos de Pedersen também são importantes nas provas de conhecimento zero.

Uma prova de conhecimento zero pode demonstrar que um valor comprometido e oculto satisfaz uma regra sem revelar o próprio valor.

Isso torna os compromissos um componente básico de transferências privadas, saldos protegidos, ativos confidenciais, sistemas de prova e protocolos criptográficos seguros.

Como funciona um compromisso de Pedersen

Um compromisso de Pedersen combina um valor oculto com dados secretos aleatórios.

O valor oculto é aquilo a que o usuário quer se comprometer.

Os dados secretos aleatórios são chamados de fator de ocultação.

O fator de ocultação é essencial porque impede que terceiros adivinhem o valor oculto.

Se um compromisso dependesse apenas do valor, alguém poderia testar valores possíveis e comparar os resultados.

Isso seria especialmente perigoso quando os valores possíveis fossem pequenos, como no caso de valores de transações.

Os compromissos de Pedersen evitam isso ao combinar o valor com aleatoriedade.

Uma versão comum com curva elíptica é

.

O gerador

é multiplicado pelo fator de ocultação .

O gerador

é multiplicado pelo valor .

Os dois pontos resultantes são somados para criar o compromisso

.

Qualquer pessoa pode ver

, mas não consegue descobrir facilmente porque não conhece .

Mais tarde, quem criou o compromisso pode revelar

e para abri-lo.

Um verificador pode recalcular

e conferir se o resultado é igual ao compromisso original.

Se os valores forem iguais, o compromisso foi aberto corretamente.

Propriedade de ocultação

A propriedade de ocultação significa que o compromisso não revela o valor comprometido.

Em um compromisso de Pedersen, o fator de ocultação é o que proporciona essa privacidade.

Se o fator de ocultação for escolhido aleatoriamente e mantido em segredo, o compromisso poderá ocultar o valor mesmo quando for público.

Por isso, os compromissos de Pedersen são úteis em sistemas de transações confidenciais.

Uma blockchain pode exibir um compromisso on-chain sem revelar o valor que ele representa.

Os observadores podem ver que houve uma transação, mas não conseguem ler diretamente o valor comprometido apenas a partir do compromisso.

A propriedade de ocultação depende de aleatoriedade correta.

Se o fator de ocultação for reutilizado, previsível, divulgado ou gerado de forma inadequada, a privacidade poderá ser reduzida.

Para desenvolvedores cripto, a geração segura de números aleatórios não é um detalhe secundário.

Ela faz parte da segurança do próprio compromisso.

Propriedade de vinculação

A propriedade de vinculação significa que quem criou o compromisso não consegue alterar facilmente o valor comprometido depois de criá-lo.

Se alguém se comprometer com

, não deve conseguir abrir posteriormente o mesmo compromisso como se fosse .

Nos compromissos de Pedersen, a vinculação depende da dificuldade de encontrar a relação de logaritmo discreto entre os geradores.

Os geradores

e precisam ser escolhidos de modo que ninguém conheça um número secreto para o qual .

Se alguém conhecesse essa relação, poderia criar aberturas diferentes para o mesmo compromisso.

Isso quebraria a propriedade de vinculação.

Por isso, a escolha confiável dos geradores é importante.

Muitos sistemas usam métodos de derivação de geradores do tipo “nada a esconder” para reduzir a suspeita de que alguém conheça secretamente a relação entre eles.

A propriedade de vinculação é o que torna um compromisso diferente de uma criptografia.

A criptografia oculta os dados, mas um compromisso também vincula o remetente a um único valor.

Propriedade homomórfica

A propriedade homomórfica é um dos principais motivos pelos quais os compromissos de Pedersen são tão valiosos em cripto.

Os compromissos de Pedersen são aditivamente homomórficos.

Isso significa que os compromissos podem ser somados e o resultado corresponde a um compromisso com a soma dos valores ocultos.

Usando a fórmula simplificada, se

e , então .

Essa propriedade permite que um sistema verifique relações aritméticas sem revelar os valores.

Em transações confidenciais, isso significa que um protocolo pode verificar se os valores de entrada comprometidos são iguais aos valores de saída comprometidos mais as taxas.

O verificador não precisa conhecer os valores ocultos para confirmar que a transação está equilibrada.

A documentação do Elements explica esse comportamento aditivo mostrando que a soma dos compromissos é igual a um compromisso da soma dos dados e dos fatores de ocultação.

Esse recurso homomórfico torna os compromissos de Pedersen úteis em sistemas financeiros que preservam a privacidade.

Compromissos de Pedersen em transações confidenciais

As transações confidenciais usam criptografia para ocultar valores de transações e ainda permitir sua validação.

Os compromissos de Pedersen são uma ferramenta central desse design.

Em vez de publicar o valor diretamente, uma transação pode publicar um compromisso com esse valor.

Os validadores podem verificar se os compromissos estão equilibrados, ou seja, se a transação não cria valor do nada.

No entanto, os validadores não veem os valores exatos.

Isso proporciona mais privacidade financeira aos usuários e, ao mesmo tempo, protege as regras de oferta do sistema.

As transações confidenciais também precisam de provas de intervalo.

Uma prova de intervalo demonstra que um valor comprometido está dentro de um intervalo permitido, por exemplo, que é maior ou igual a zero e inferior a um valor máximo.

As provas de intervalo são necessárias porque a aritmética homomórfica, por si só, poderia permitir que valores negativos ocultos disfarçassem uma inflação.

Um sistema seguro de transações confidenciais precisa provar tanto o equilíbrio quanto a validade dos intervalos.

Os compromissos de Pedersen fornecem a camada de operações aritméticas ocultas, enquanto as provas de intervalo verificam se os valores permitidos são respeitados.

Compromissos de Pedersen e provas de intervalo

Uma prova de intervalo é uma prova de conhecimento zero de que um número comprometido está dentro de um intervalo válido.

Isso é importante porque um compromisso de Pedersen oculta completamente o valor.

Se o valor estiver oculto, os validadores precisam de outra forma de saber que ele não é negativo nem excessivamente grande.

Por exemplo, uma transação poderia parecer equilibrada se uma saída oculta usasse secretamente um número negativo.

As provas de intervalo impedem isso ao demonstrar que cada valor comprometido é válido.

Bulletproofs são um sistema conhecido de provas de intervalo usado com compromissos de Pedersen.

A implementação Bulletproofs da dalek descreve o suporte a provas de intervalo individuais e agregadas usando o grupo Ristretto.

As provas de intervalo agregadas são úteis porque, em muitos casos, podem comprovar vários intervalos de valores com mais eficiência do que provas separadas.

Para os usuários de cripto, a ideia simples é que os compromissos de Pedersen ocultam valores, enquanto as provas de intervalo ajudam a demonstrar que esses valores ocultos são válidos.

Os dois componentes costumam ser necessários em sistemas de transação que preservam a privacidade.

Compromissos de Pedersen em provas de conhecimento zero

Os compromissos de Pedersen são frequentemente usados em sistemas de prova de conhecimento zero.

Um provador pode se comprometer com valores secretos e depois provar afirmações sobre eles.

O verificador pode conferir a prova sem descobrir os segredos.

Por exemplo, um usuário pode provar que um saldo oculto é suficiente para um pagamento.

Um usuário pode provar que dois valores comprometidos são iguais.

Um usuário pode provar que um valor comprometido está dentro de um intervalo.

Um protocolo pode provar que a soma dos valores de entrada comprometidos é igual à soma dos valores de saída comprometidos.

Essas provas podem favorecer a privacidade sem comprometer a verificação.

Esse é um dos objetivos centrais dos sistemas modernos de privacidade cripto.

A rede pública deve poder rejeitar transações inválidas sem visualizar todos os detalhes privados.

Os compromissos de Pedersen ajudam a criar esse equilíbrio entre privacidade e auditabilidade.

Compromissos de Pedersen em sistemas no estilo Zcash

Alguns protocolos de blockchain voltados à privacidade usam esquemas de compromisso para ocultar detalhes das transações protegidas.

A especificação atual do protocolo Zcash define esquemas de compromisso e discute compromissos no estilo Pedersen no design do protocolo.

A especificação explica os esquemas de compromisso em termos dos requisitos de ocultação e vinculação.

Ela também define compromissos de valor homomórficos de Pedersen para componentes de transações protegidas.

Nesse tipo de sistema, um compromisso de valor pode ocultar o montante e ainda permitir verificações de equilíbrio em uma prova de conhecimento zero.

A cadeia pública não precisa exibir o valor bruto para que o protocolo prove que o valor foi conservado.

Esse design mostra por que os compromissos de Pedersen são mais do que uma ideia acadêmica.

São ferramentas criptográficas práticas usadas em aplicações reais de privacidade em blockchain.

No entanto, cada implementação tem seus próprios detalhes, curvas, geradores, sistemas de prova e pressupostos de segurança.

Os usuários não devem presumir que todo protocolo que usa compromissos oferece o mesmo nível de privacidade ou o mesmo modelo de segurança.

Compromisso de Pedersen vs. compromisso por hash

Um compromisso por hash pode ser criado aplicando uma função hash a um valor junto com um nonce aleatório.

Por exemplo, um compromisso por hash simples pode ter a forma

.

Quando projetado corretamente, ele pode oferecer ocultação e vinculação.

No entanto, um compromisso por hash básico não oferece naturalmente a mesma propriedade aditiva homomórfica de um compromisso de Pedersen.

Essa diferença é importante em cripto.

Se um sistema só precisa ocultar um valor e revelá-lo posteriormente, um compromisso por hash pode ser suficiente.

Se um sistema precisa comprovar relações aritméticas entre valores ocultos, um compromisso de Pedersen pode ser muito mais útil.

Os sistemas de transações confidenciais precisam realizar operações aritméticas ocultas porque devem verificar se os fundos estão equilibrados.

Por isso, os compromissos de Pedersen são comuns em protocolos financeiros que preservam a privacidade.

A escolha entre compromissos por hash e compromissos de Pedersen depende das necessidades do aplicativo.

Compromisso de Pedersen vs. criptografia

Um compromisso de Pedersen não é o mesmo que criptografia.

A criptografia oculta informações para que alguém com a chave correta possa descriptografá-las e lê-las.

Um compromisso oculta informações e também vincula quem o criou a um valor específico.

Em muitos esquemas de compromisso, não existe uma chave de descriptografia separada que revele o valor.

O valor só é revelado quando quem criou o compromisso o abre, mostrando o valor e o fator de ocultação.

Essa diferença é importante nos sistemas blockchain.

Se um protocolo precisar provar que um valor oculto satisfaz uma regra, poderá usar compromissos e provas de conhecimento zero, em vez de criptografia comum.

A criptografia é útil para mensagens confidenciais.

Os compromissos são úteis para afirmações ocultas, mas verificáveis.

Muitos sistemas cripto avançados usam as duas ferramentas, mas elas resolvem problemas diferentes.

Compromisso de Pedersen vs. compromisso de Merkle

Uma árvore de Merkle permite comprometer-se com um conjunto de dados usando hashes organizados em uma árvore.

Uma raiz de Merkle pode representar muitas folhas, e uma prova de Merkle pode demonstrar que um item pertence ao conjunto comprometido.

Um compromisso de Pedersen geralmente é feito com um valor e um fator de ocultação.

As duas ferramentas são diferentes, mas podem ser usadas em conjunto.

Um protocolo de privacidade pode usar compromissos de Pedersen para ocultar valores e árvores de Merkle para provar a inclusão em um conjunto de notas, moedas ou registros.

A árvore de Merkle ajuda a provar que um objeto comprometido existe em um conjunto maior.

O compromisso de Pedersen ajuda a ocultar um valor contido nesse objeto e a vinculá-lo a esse valor.

Entender a diferença ajuda os usuários a interpretar com mais clareza a documentação sobre privacidade em cripto.

Os compromissos de Merkle organizam dados.

Os compromissos de Pedersen ocultam valores e os vinculam a um compromisso.

Compromisso de Pedersen vs. assinatura digital

Uma assinatura digital comprova que uma mensagem foi autorizada por uma chave privada.

Um compromisso de Pedersen comprova que alguém se comprometeu com um valor oculto.

Essas são funções criptográficas diferentes.

Uma assinatura responde à pergunta: “Esta chave autorizou esta mensagem?”

Um compromisso responde à pergunta: “Este valor oculto foi fixado anteriormente sem ser revelado?”

As transações cripto podem usar ambos.

Um usuário pode assinar uma transação para autorizar o gasto.

A transação também pode conter compromissos para ocultar os valores.

Em seguida, provas de conhecimento zero podem demonstrar que os dados ocultos comprometidos seguem as regras do protocolo.

Cada ferramenta tem uma função diferente no design completo de segurança.

Por que a escolha dos geradores é importante

Os compromissos de Pedersen exigem dois geradores independentes.

Geralmente, eles são chamados de

e .

A segurança da propriedade de vinculação depende de ninguém conhecer a relação de logaritmo discreto entre eles.

Se um designer malicioso conhecesse a relação entre

e , poderia conseguir abrir um compromisso com valores diferentes.

Por isso, a derivação dos geradores precisa ser transparente e confiável.

Os protocolos costumam derivar os geradores de hashes ou rótulos com separação de domínio para que os usuários possam verificar que eles não foram escolhidos secretamente com uma porta dos fundos oculta.

A separação de domínio também ajuda a evitar que o mesmo material de gerador seja reutilizado de forma insegura em diferentes contextos de protocolo.

Para os desenvolvedores, a escolha dos geradores é um detalhe crítico para o consenso ou para a segurança em muitos sistemas.

Ela não deve ser improvisada.

Fatores de ocultação

O fator de ocultação é o segredo aleatório que esconde o valor comprometido.

Na fórmula

, o fator de ocultação é .

O fator de ocultação deve ser gerado com aleatoriedade segura.

Ele não deve ser previsível.

Não deve ser reutilizado de maneira insegura.

Não deve ser revelado.

Se o fator de ocultação for divulgado, geralmente será possível abrir o compromisso.

Se o fator de ocultação for fraco, invasores poderão adivinhar os valores comprometidos.

Em sistemas de transação, os fatores de ocultação também podem ser cuidadosamente equilibrados para que a soma dos compromissos comprove a conservação do valor.

Isso torna o gerenciamento de fatores de ocultação uma parte central do design de transações confidenciais.

Abertura de um compromisso de Pedersen

Abrir um compromisso de Pedersen significa revelar o valor e o fator de ocultação usados para criá-lo.

Um verificador confere a abertura recalculando o compromisso.

Se o compromisso recalculado for igual ao original, a abertura é válida.

Por exemplo, se o compromisso original for

, quem o criou revela e .

O verificador calcula

.

Se o resultado for igual a

, o verificador aceita a abertura.

Se não for igual, a abertura é rejeitada.

Em muitos sistemas de privacidade de blockchain, os compromissos não são totalmente abertos ao público.

Em vez disso, usam-se provas de conhecimento zero para comprovar fatos sobre os compromissos sem revelar os valores.

Isso permite manter a privacidade e ainda possibilitar a verificação.

Vinculação computacional e ocultação perfeita

Os compromissos de Pedersen costumam ser descritos como perfeitamente ocultáveis e computacionalmente vinculantes.

Ocultação perfeita significa que, se o fator de ocultação for verdadeiramente aleatório, o compromisso não revela nenhuma informação sobre o valor.

Vinculação computacional significa que quebrar a propriedade de vinculação deve exigir a resolução de um problema matemático difícil.

Na maioria dos casos que usam curvas elípticas, esse problema está relacionado ao problema do logaritmo discreto.

Esse perfil de segurança é incomum e útil.

Ele proporciona privacidade muito forte para o valor comprometido e, ao mesmo tempo, depende de pressupostos computacionais para impedir fraudes.

No entanto, a segurança exata depende do grupo, dos geradores, da aleatoriedade, da implementação e do contexto do protocolo.

Uma primitiva matemática correta ainda pode ser insegura se for implementada de forma inadequada.

A engenharia criptográfica é tão importante quanto a fórmula.

Compromissos de Pedersen e curvas elípticas

Muitos compromissos de Pedersen modernos são implementados usando grupos de curvas elípticas.

As curvas elípticas são úteis porque permitem operações de grupo eficientes e representações compactas.

A fórmula do compromisso

pode ser calculada usando multiplicação escalar e adição de pontos em curvas elípticas.

Diferentes protocolos podem usar curvas e grupos diferentes.

Alguns sistemas usam grupos projetados para evitar problemas sutis com cofatores.

A documentação curve25519-dalek descreve Ristretto como uma construção de grupo de ordem prima que oferece vantagens de velocidade e segurança sem incompatibilidades de abstração relacionadas a cofatores.

Isso importa porque a escolha do grupo pode afetar a segurança, o design das provas, a segurança da implementação e a interoperabilidade.

Os desenvolvedores não devem misturar pontos de curva, codificações ou pressupostos de subgrupo sem cuidado.

É fácil errar os detalhes dos grupos criptográficos, e os usuários têm dificuldade para auditá-los.

Compromissos de Pedersen em computação multipartidária

Os compromissos de Pedersen também são úteis em computação multipartidária e criptografia de limiar.

Nesses contextos, várias partes podem precisar se comprometer com compartilhamentos secretos, valores aleatórios ou outros valores sem revelá-los imediatamente.

Um compromisso pode ajudar uma parte a provar que está seguindo o protocolo honestamente.

Por exemplo, um participante pode se comprometer com um compartilhamento secreto durante uma fase de configuração e depois revelar informações que os outros podem verificar.

Isso ajuda a impedir que um participante desonesto altere seu valor depois de ver as mensagens dos outros participantes.

O trabalho original de Pedersen se concentrou no compartilhamento verificável de segredos, que está estreitamente relacionado a esses problemas de criptografia distribuída.

Na infraestrutura cripto, ideias semelhantes podem dar suporte a carteiras de limiar, geração distribuída de chaves, sistemas de validadores, controles de custódia e protocolos de assinatura segura.

O tema comum é a responsabilização sem divulgação desnecessária.

Compromissos de Pedersen e verificação da oferta

Um grande desafio nos sistemas cripto privados é provar que transações ocultas não inflacionam a oferta.

Se os valores estiverem ocultos, a rede ainda precisa saber que moedas não estão sendo criadas secretamente.

Os compromissos de Pedersen ajudam porque sua propriedade homomórfica permite verificar o equilíbrio de valores ocultos.

Se as entradas comprometidas menos as saídas comprometidas forem iguais a um compromisso válido de taxa ou a uma expressão de saldo zero, a transação poderá comprovar a conservação do valor.

No entanto, essa verificação de equilíbrio precisa ser combinada com provas de intervalo e outras verificações de validade.

Caso contrário, valores negativos ocultos ou codificações inválidas poderiam comprometer o sistema.

Por isso, verificar a oferta em sistemas privados é um problema de design completo de protocolo.

Os compromissos de Pedersen são um componente essencial, mas não são a solução inteira.

Limitações dos compromissos de Pedersen

Os compromissos de Pedersen não comprovam, por si só, que um valor oculto é válido.

Eles apenas ocultam o valor e o vinculam ao compromisso.

É necessária uma prova separada para demonstrar que o valor está dentro de um intervalo válido.

Também pode ser necessária uma prova separada para demonstrar que o valor comprometido satisfaz regras específicas do aplicativo.

Os compromissos de Pedersen também não identificam o proprietário de um valor.

Eles não autorizam gastos.

Eles não criptografam mensagens para um destinatário.

Eles não impedem automaticamente vazamentos de metadados.

Eles não protegem os usuários contra carteiras maliciosas, aleatoriedade inadequada, parâmetros inseguros ou contratos inteligentes defeituosos.

São poderosos, mas constituem apenas uma primitiva dentro de um sistema criptográfico mais amplo.

Riscos de segurança e erros de implementação

Um risco importante é a aleatoriedade fraca.

Se os fatores de ocultação forem previsíveis, a privacidade poderá falhar.

Outro risco são as portas dos fundos nos geradores.

Se alguém conhecer a relação entre os geradores, a propriedade de vinculação poderá falhar.

Um terceiro risco é a ausência de provas de intervalo.

Se não for comprovado que os valores ocultos estão dentro do intervalo permitido, invasores poderão explorar valores negativos ou que excedam os limites.

Um quarto risco são erros de subgrupo ou de cofator.

Se a implementação do grupo aceitar pontos inválidos ou usar pressupostos inseguros de subgrupo, as provas e os compromissos poderão ficar vulneráveis.

Um quinto risco é a falha na separação de domínio.

Se os mesmos parâmetros de compromisso forem reutilizados em diferentes contextos sem rótulos claros, assinaturas ou provas poderão interagir de forma insegura.

Um sexto risco é a integração inadequada com a carteira ou o protocolo.

Nem mesmo compromissos robustos conseguem proteger um sistema que revela valores por meio de metadados, registros, endereços, comportamento da interface ou análise da rede.

Os desenvolvedores devem usar bibliotecas revisadas, especificações formais, auditorias e vetores de teste sempre que possível.

Casos de uso comuns dos compromissos de Pedersen

Os compromissos de Pedersen são usados em transações confidenciais.

São usados em sistemas de prova de intervalo.

São usados em circuitos de prova de conhecimento zero.

São usados no compartilhamento verificável de segredos.

São usados em protocolos de computação multipartidária.

São usados em alguns designs de pagamentos privados.

São usados em sistemas de saldo oculto.

São usados em sistemas de prova de restrições aritméticas.

São usados em pesquisas criptográficas sobre compromissos, privacidade e computação segura.

São usados com frequência quando um protocolo precisa de sigilo e verificabilidade posterior.

Compromissos de Pedersen para desenvolvedores

Os desenvolvedores devem tratar os compromissos de Pedersen como primitivas criptográficas de baixo nível.

Não devem implementá-los do zero, a menos que tenham sólida experiência em criptografia.

Uma implementação segura exige operações corretas de grupo, aleatoriedade segura, derivação de geradores, validação de pontos, tratamento de escalares, serialização, separação de domínio e integração de provas.

Os desenvolvedores devem usar bibliotecas estabelecidas sempre que possível.

Também devem entender o modelo de grupo e os pressupostos da biblioteca.

Uma biblioteca projetada para assinaturas pode não ser automaticamente segura para compromissos.

Uma biblioteca projetada para uma curva pode não ser compatível com o formato de compromisso de outro protocolo.

Os vetores de teste são importantes porque as codificações dos compromissos precisam corresponder exatamente entre carteiras, nós, circuitos e verificadores.

As auditorias são importantes porque pequenos erros criptográficos podem causar inflação silenciosa, perda de privacidade ou aceitação de provas inválidas.

Compromissos de Pedersen para usuários

A maioria dos usuários de cripto nunca cria compromissos de Pedersen manualmente.

Os usuários interagem com eles por meio de carteiras, protocolos, pools protegidos, ferramentas de privacidade ou aplicativos de conhecimento zero.

O benefício pode aparecer na forma de valores ocultos, saldos privados ou atividades on-chain mais confidenciais.

No entanto, os usuários devem entender que a privacidade depende do sistema inteiro.

Um protocolo pode ocultar valores e ainda revelar o comportamento do remetente, o horário, metadados de rede ou padrões da carteira.

Uma carteira pode permitir uma transferência privada e ainda expor informações por reutilização de endereços ou práticas operacionais de segurança inadequadas.

Uma bridge ou aplicativo pode comprometer a privacidade ao vincular atividades protegidas e transparentes.

Os compromissos de Pedersen ajudam a ocultar valores, mas não tornam privada, por si só, cada parte de uma ação cripto.

Os usuários devem seguir as orientações de privacidade da carteira ou do protocolo específico que utilizam.

Compromisso de Pedersen em uma frase

Um compromisso de Pedersen é um método criptográfico que oculta um valor usando um fator aleatório de ocultação, vincula quem o criou a esse valor exato e permite verificações aritméticas úteis em dados ocultos.

Perguntas frequentes

O que é um compromisso de Pedersen, em termos simples?

Um compromisso de Pedersen é uma forma de fixar um valor secreto sem revelá-lo e garantir que ele não possa ser alterado posteriormente.

Qual é a fórmula de um compromisso de Pedersen?

Uma fórmula comum é

, em que é o compromisso, é o valor oculto, é o fator de ocultação, e e são pontos geradores.

Por que o fator de ocultação é importante?

O fator de ocultação esconde o valor comprometido e impede que terceiros o adivinhem facilmente.

O que significa ocultação em um compromisso de Pedersen?

Ocultação significa que o compromisso não revela o valor contido nele quando o fator de ocultação é aleatório e secreto.

O que significa vinculação em um compromisso de Pedersen?

Vinculação significa que quem criou o compromisso não deve conseguir abri-lo como se representasse dois valores diferentes.

O que significa homomórfico nos compromissos de Pedersen?

Homomórfico significa que os compromissos podem ser somados e o resultado corresponde a um compromisso com a soma dos valores ocultos.

Por que os compromissos de Pedersen são usados em transações confidenciais?

São usados porque podem ocultar os valores das transações e ainda permitir que a rede verifique o equilíbrio entre entradas e saídas.

Os compromissos de Pedersen comprovam que um valor é positivo?

Não. É necessária uma prova de intervalo separada para demonstrar que um valor oculto está dentro de um intervalo válido.

Os compromissos de Pedersen são o mesmo que criptografia?

Não. A criptografia oculta dados para que sejam descriptografados posteriormente, enquanto um compromisso oculta os dados e vincula quem o criou a um único valor.

É possível abrir um compromisso de Pedersen?

Sim. Ele pode ser aberto revelando o valor comprometido e o fator de ocultação.

O que acontece se o fator de ocultação for divulgado?

Se o fator de ocultação e contexto suficiente forem divulgados, o valor oculto poderá ser revelado ou verificado por outras pessoas.

Os compromissos de Pedersen são seguros?

Podem ser seguros quando implementados com geradores corretos, aleatoriedade segura, operações de grupo válidas, provas de intervalo quando necessárias e um design cuidadoso do protocolo.

Conclusão

Os compromissos de Pedersen são um dos esquemas de compromisso mais importantes para a privacidade em criptomoedas e a criptografia de conhecimento zero.

Eles permitem que um protocolo oculte valores e, ao mesmo tempo, vincule os usuários a esses valores.

Sua propriedade aditiva homomórfica os torna especialmente úteis para transações confidenciais, pois ainda é possível verificar o equilíbrio dos valores ocultos.

Eles também dão suporte a provas de intervalo, sistemas de conhecimento zero, compartilhamento verificável de segredos e protocolos criptográficos multipartidários.

A ideia básica é fácil de explicar, mas a implementação segura é difícil.

Um sistema real precisa usar aleatoriedade segura, geradores escolhidos com cuidado, operações corretas de curvas elípticas, separação de domínio adequada, provas de intervalo e auditorias robustas.

Para os usuários, a lição mais importante é que os compromissos de Pedersen ajudam a proteger a privacidade, mas não tornam uma transação inteira privada por si só.

A privacidade depende do protocolo completo, do comportamento da carteira, do tratamento de metadados e das escolhas do usuário.

Para os desenvolvedores, a lição mais importante é tratar os compromissos de Pedersen como uma infraestrutura criptográfica crítica para a segurança.

Quando usados corretamente, eles permitem verificar dados financeiros ocultos sem expô-los ao público.

Esse equilíbrio entre privacidade e verificabilidade é o motivo pelo qual os compromissos de Pedersen continuam sendo uma ferramenta fundamental no design cripto moderno.