Pedersen 承诺

什么是 Pedersen 承诺？

Pedersen 承诺是一种密码学承诺方案，用户可以借此隐藏某个数值，同时承诺该确切数值，使其之后无法更改。

在加密货币领域，Pedersen 承诺很重要，因为它能帮助区块链、隐私协议和零知识系统在不披露隐藏数值的情况下证明相关事实。

承诺方案常用一个密封信封的例子来解释。

你将一个秘密数值放入信封并封好，然后向他人展示这个密封的信封。

其他人看不到里面的数值，但封好信封后，你也无法再更改该数值。

Pedersen 承诺通过数学方法，而非纸张，实现了类似的效果。

这一构造最初与 Torben Pryds Pedersen 的论文 Non-Interactive and Information-Theoretic Secure Verifiable Secret Sharing 有关。该论文介绍了可验证秘密共享中使用的承诺。

常见的简化形式写作

。

在该公式中，

是承诺， 是隐藏数值， 是随机盲化因子， 和 是密码学群中的独立生成元点。

随机盲化因子

会对数值进行掩蔽，从而使 保持隐藏。

该承诺具有绑定性，因为除非创建者能够解决一个困难的数学问题，否则不应能够将同一个承诺解释为两个不同的数值。

隐藏性和绑定性的结合，使 Pedersen 承诺适用于保密交易、隐私余额、范围证明、零知识电路、可验证秘密共享和保护隐私的加密应用。

Pedersen 承诺的要点

• • Pedersen 承诺可以隐藏一个数值，同时将承诺者绑定到该数值。
  • 其常见形式为
    C = rG + vH
    ，其中
    v
    是数值，
    r
    是盲化因子。
  • 它具有隐藏性，因为随机盲化因子可以防止外部人员获知承诺的数值。
  • 它具有绑定性，因为承诺者无法轻易将同一个承诺解释为两个不同的数值。
  • 它具有加法同态性，这意味着承诺可以按照有用的方式相加。
  • 它广泛应用于保密交易、范围证明、零知识系统和注重隐私的区块链设计。

Pedersen 承诺为何对加密货币很重要

Pedersen 承诺之所以重要，是因为公开区块链存在隐私问题。

许多区块链会向所有人公开交易数据。

这种透明度有助于用户验证供应量和结算情况，但也可能暴露余额、交易金额、业务活动和用户行为。

Pedersen 承诺通过隐藏金额，同时允许进行数学检查，有助于解决这一问题的部分内容。

例如，隐私系统可能需要证明交易输入等于交易输出，但不显示实际金额。

Pedersen 承诺可以隐藏每个金额，同时保留足够的结构来证明数值相等。

Elements Project 的保密交易说明指出，保密交易背后的基础工具是 Pedersen 承诺。

这很有用，因为区块链可以验证没有人秘密创造新币，同时仍对交易金额保密。

Pedersen 承诺在零知识证明中也很重要。

零知识证明可以在不披露隐藏数值的情况下，证明某个隐藏的承诺数值符合某项规则。

因此，承诺成为私密转账、屏蔽余额、保密资产、证明系统和安全密码学协议的基础构件。

Pedersen 承诺如何运作

Pedersen 承诺将隐藏数值与随机秘密数据结合起来。

隐藏数值是用户希望作出承诺的内容。

随机秘密数据称为盲化因子。

盲化因子至关重要，因为它可以防止外部人员猜出隐藏数值。

如果承诺只取决于数值，其他人就可以尝试各种可能的数值并比较结果。

当可能的数值范围较小时，例如交易金额，这种做法尤其危险。

Pedersen 承诺通过将数值与随机数混合来避免这一问题。

一种常见的椭圆曲线形式是

。

生成元

与盲化因子 相乘。

生成元

与数值 相乘。

将得到的两个点相加，即可生成承诺

。

任何人都可以看到

，但由于不知道 ，他们无法轻易推导出 。

之后，承诺者可以公开

和 ，以打开承诺。

验证者可以重新计算

，并检查结果是否等于原始承诺。

如果两者匹配，承诺就成功打开。

隐藏性

隐藏性意味着承诺不会泄露被承诺的数值。

在 Pedersen 承诺中，盲化因子是实现隐私保护的关键。

如果盲化因子是随机生成并保密的，即使承诺公开，也可以隐藏其中的数值。

这就是 Pedersen 承诺在保密交易系统中很有用的原因。

区块链可以在链上显示承诺，而不显示其背后的金额。

观察者可能会看到发生了一笔交易，但无法仅凭承诺直接读出承诺的数值。

隐藏性取决于随机数是否正确。

如果盲化因子被重复使用、可预测、泄露或生成不当，隐私保护就可能减弱。

对于加密货币开发者而言，安全的随机数生成并非无关紧要的细节。

它是承诺本身安全性的一部分。

绑定性

绑定性意味着承诺者在创建承诺后无法轻易更改已承诺的数值。

如果某人承诺

，之后就不应能够将同一个承诺解释为 。

在 Pedersen 承诺中，绑定性取决于生成元之间离散对数关系的计算难度。

生成元

和 的选择必须确保无人知道满足 的秘密数值 。

如果有人知道这种关系，就可以为同一个承诺构造不同的打开方式。

这会破坏绑定性。

因此，可信的生成元选择十分重要。

许多系统会采用“无隐藏后门”生成元推导方法，以减少外界对有人秘密掌握生成元之间关系的怀疑。

绑定性使承诺不只是加密。

加密可以隐藏数据，而承诺还能将发送方绑定到一个确定的数值。

同态性

同态性是 Pedersen 承诺在加密货币领域如此有价值的主要原因之一。

Pedersen 承诺具有加法同态性。

这意味着可以将多个承诺相加，所得结果对应于对隐藏数值之和的承诺。

使用简化公式，如果

且 ，那么 。

这一特性允许系统在不披露数值的情况下检查算术关系。

在保密交易中，这意味着协议可以检查已承诺的输入金额是否等于已承诺的输出金额加上手续费。

验证者无需知道隐藏金额，也能检查交易是否平衡。

Elements 文档通过说明承诺之和等于对数据之和及盲化因子之和的承诺，解释了这种加法特性。

这种同态特性使 Pedersen 承诺适用于保护隐私的金融系统。

保密交易中的 Pedersen 承诺

保密交易使用密码学在隐藏交易金额的同时进行验证。

Pedersen 承诺是这种设计中的核心工具。

交易可以公布金额承诺，而不是直接公布金额。

验证者可以检查各个承诺是否平衡，从而确认交易并未凭空创造价值。

不过，验证者看不到确切金额。

这能让用户获得更好的财务隐私，同时仍能维护系统的供应规则。

保密交易还需要范围证明。

范围证明可以证明承诺的金额处于允许的范围内，例如大于或等于零且低于某个最大值。

范围证明十分必要，因为仅凭同态算术可能会让隐藏的负数掩盖通胀。

安全的保密交易系统必须同时证明金额平衡和数值范围有效。

Pedersen 承诺提供隐藏算术层，而范围证明则用于检查数值是否处于允许范围内。

Pedersen 承诺与范围证明

范围证明是一种零知识证明，用于证明某个承诺数值处于有效范围内。

这一点很重要，因为 Pedersen 承诺会完全隐藏数值。

数值被隐藏后，验证者需要通过其他方式确认它不是负数，也没有超过合理上限。

例如，如果某个隐藏输出使用了负数，交易表面上可能仍然是平衡的。

范围证明通过证明每个承诺金额都有效来防止这种情况。

Bulletproofs 是一种与 Pedersen 承诺配合使用的知名范围证明系统。

dalek Bulletproofs 实现介绍了使用 Ristretto 群支持单项和聚合范围证明的功能。

在许多情况下，聚合范围证明比单独的证明更高效，因此可以用于证明多个数值都在指定范围内。

对加密货币用户而言，简单来说，Pedersen 承诺负责隐藏数值，而范围证明有助于证明这些隐藏数值是有效的。

保护隐私的交易系统通常需要这两种机制。

零知识证明中的 Pedersen 承诺

Pedersen 承诺经常用于零知识证明系统内部。

证明者可以对秘密数值作出承诺，然后证明与这些数值相关的陈述。

验证者可以检查证明，而无需获知秘密。

例如，用户可能需要证明隐藏余额足以支付某笔款项。

用户可能需要证明两个承诺数值相等。

用户可能需要证明某个承诺数值处于指定范围内。

协议可能需要证明已承诺的输入之和等于已承诺的输出之和。

这些证明可以在不破坏验证能力的前提下支持隐私保护。

这是现代加密隐私系统的核心目标之一。

公开网络应能够拒绝无效交易，而无需看到每一项隐私细节。

Pedersen 承诺有助于在隐私保护和可审计性之间取得平衡。

Zcash 类系统中的 Pedersen 承诺

一些注重隐私的区块链协议使用承诺方案，在屏蔽交易中隐藏交易详情。

当前的 Zcash 协议规范定义了承诺方案，并讨论了协议设计中的 Pedersen 类承诺。

该规范从隐藏性和绑定性要求的角度解释了承诺方案。

它还为屏蔽交易组件中的数值承诺定义了具有同态性的 Pedersen 承诺。

在这类系统中，数值承诺可以隐藏金额，同时允许通过零知识证明进行余额检查。

为了证明价值守恒，公开区块链无需显示原始金额。

这一设计说明，Pedersen 承诺不仅是学术概念。

它是实际区块链隐私工程中使用的密码学工具。

不过，不同实现各有自己的细节、曲线、生成元、证明系统和安全假设。

用户不应认为所有使用承诺的协议都具有相同的隐私水平或安全模型。

Pedersen 承诺与哈希承诺

哈希承诺可以通过将数值与随机 nonce 一起进行哈希运算来构造。

例如，一个简单的哈希承诺可以写作

。

如果设计得当，这种方式可以提供隐藏性和绑定性。

不过，基础哈希承诺并不像 Pedersen 承诺那样天然支持相同的加法同态性。

这一差别对加密货币很重要。

如果系统只需要隐藏一个数值并在之后公开，哈希承诺可能就足够了。

如果系统需要证明隐藏金额之间的算术关系，Pedersen 承诺可能更有用。

保密交易系统需要进行隐藏算术，因为它们必须验证资金是否平衡。

因此，Pedersen 承诺常见于保护隐私的金融协议。

选择哈希承诺还是 Pedersen 承诺，取决于应用的具体需求。

Pedersen 承诺与加密

Pedersen 承诺不等同于加密。

加密会隐藏信息，持有正确密钥的人可以解密并读取信息。

承诺会隐藏信息，同时将承诺者绑定到一个特定数值。

在许多承诺方案中，不存在可以用来揭示数值的单独解密密钥。

只有承诺者通过公开数值和盲化因子来打开承诺时，数值才会被揭示。

这一区别在区块链系统中很重要。

如果协议需要证明某个隐藏金额符合一项规则，可能会使用承诺和零知识证明，而不是普通加密。

加密适用于保护机密消息。

承诺适用于隐藏但可验证的陈述。

许多高级加密系统会同时使用这两种工具，但它们解决的问题不同。

Pedersen 承诺与 Merkle 承诺

Merkle 树承诺使用排列成树状结构的哈希值对一组数据作出承诺。

Merkle 根可以承诺许多叶节点，而 Merkle 证明可以证明某个项目属于这组已承诺的数据。

Pedersen 承诺通常使用盲化因子对一个数值作出承诺。

这两种工具并不相同，但可以结合使用。

隐私协议可能使用 Pedersen 承诺隐藏金额，并使用 Merkle 树证明某个项目属于一组票据、币或记录。

Merkle 树有助于证明承诺对象存在于一个更大的集合中。

Pedersen 承诺有助于隐藏并绑定该对象中的数值。

了解两者的区别有助于用户更清晰地阅读加密隐私文档。

Merkle 承诺用于组织数据。

Pedersen 承诺用于隐藏并绑定数值。

Pedersen 承诺与数字签名

数字签名可以证明某条消息已由某个私钥授权。

Pedersen 承诺则可以证明某人对一个隐藏数值作出了承诺。

这两者执行的是不同的密码学功能。

签名回答的问题是：“这条消息是否由该密钥授权？”

承诺回答的问题是：“这个隐藏数值是否已提前固定，同时又未被披露？”

加密货币交易可能同时使用两者。

用户可以签署交易以授权支出。

交易还可以包含用于隐藏金额的承诺。

然后，零知识证明可以证明隐藏的承诺数据符合协议规则。

在完整的安全设计中，每种工具都有不同作用。

生成元选择为何重要

Pedersen 承诺需要两个独立生成元。

它们通常称为

和 。

绑定性的安全性取决于无人知道二者之间的离散对数关系。

如果恶意设计者知道

和 之间的关系，就可能能够将承诺解释为不同数值。

因此，生成元推导必须透明且值得信赖。

协议通常会从哈希值或使用域分离的标签推导生成元，让用户能够确认这些生成元并非通过隐藏陷门秘密挑选。

域分离还有助于避免在不同协议场景中以不安全的方式重复使用相同的生成元材料。

对开发者而言，在许多系统中，生成元选择是共识或安全的关键细节。

不应随意处理这一环节。

盲化因子

盲化因子是用于隐藏承诺数值的随机秘密。

在公式

中，盲化因子是 。

盲化因子应通过安全随机数生成机制产生。

它不应可预测。

不应以不安全的方式重复使用。

也不应泄露。

如果盲化因子泄露，通常就可以打开承诺。

如果盲化因子强度不足，攻击者可能猜出承诺的数值。

在交易系统中，盲化因子还可能需要经过仔细平衡，以便承诺之和能够证明价值守恒。

因此，盲化因子的管理是保密交易设计的核心部分。

打开 Pedersen 承诺

打开 Pedersen 承诺是指公开创建该承诺时使用的数值和盲化因子。

验证者会重新计算承诺，以检查其打开方式。

如果重新计算的承诺等于原始承诺，打开方式就是有效的。

例如，如果原始承诺是

，承诺者就会公开 和 。

验证者计算

。

如果结果等于

，验证者就会接受这种打开方式。

如果结果不匹配，验证者就会拒绝。

在许多区块链隐私系统中，承诺不会向公众完全公开其内容。

相反，系统会使用零知识证明，在保持数值隐藏的同时证明有关承诺的事实。

这样既能维持隐私，也能支持验证。

计算绑定性与完美隐藏性

Pedersen 承诺通常被描述为完美隐藏且计算绑定。

完美隐藏是指当盲化因子真正随机时，承诺不会泄露有关数值的任何信息。

计算绑定是指要破坏绑定性，就必须解决一个困难的数学问题。

在大多数椭圆曲线环境中，这个困难问题与离散对数问题有关。

这种安全特性组合较为特殊，也很有用。

它能为承诺数值提供很强的隐私保护，同时依靠计算假设防止作弊。

不过，具体安全性取决于群、生成元、随机数、实现和协议环境。

即使数学原语本身正确，实现不当仍可能导致不安全。

密码工程与公式本身同样重要。

Pedersen 承诺与椭圆曲线

许多现代 Pedersen 承诺都使用椭圆曲线群实现。

椭圆曲线很有用，因为它支持高效的群运算和紧凑表示。

承诺公式

可以通过椭圆曲线标量乘法和点加法计算。

不同协议可能使用不同的曲线和群。

一些系统使用专门设计的群，以避免微妙的余因子问题。

curve25519-dalek 文档将 Ristretto 描述为一种素数阶群构造，可以在避免余因子相关抽象不匹配的同时提供速度和安全优势。

这一点很重要，因为群的选择会影响安全性、证明设计、实现安全和互操作性。

开发者不应随意混用曲线点、编码或子群假设。

密码学群的细节很容易出错，也很难由用户审计。

多方计算中的 Pedersen 承诺

Pedersen 承诺也适用于多方计算和阈值密码学。

在这些场景中，多个参与方可能需要对秘密份额、随机数或数值作出承诺，而不立即披露它们。

承诺有助于一方证明自己正按协议诚实执行。

例如，参与者可以在初始化阶段对秘密份额作出承诺，之后再公开其他参与方能够验证的信息。

这有助于防止不诚实的参与者在看到其他参与者的消息后更改自己的数值。

Pedersen 的原创研究聚焦于可验证秘密共享，这与这些分布式密码学问题密切相关。

在加密基础设施中，类似理念可以支持阈值钱包、分布式密钥生成、验证者系统、托管控制和安全签名协议。

它们的共同目标是在不进行不必要披露的情况下实现问责。

Pedersen 承诺与供应量验证

私密加密货币系统面临的一项主要挑战，是证明隐藏交易不会造成供应量膨胀。

如果金额被隐藏，网络仍必须确认没有人秘密创造新币。

Pedersen 承诺具有同态性，因此有助于对隐藏数值进行余额检查。

如果已承诺的输入减去已承诺的输出后等于有效的手续费承诺或零余额表达式，交易就可以证明价值守恒。

不过，这种余额检查必须与范围证明和其他有效性检查结合使用。

否则，隐藏的负数或无效编码可能会破坏系统。

因此，私密系统中的供应量验证是一个完整的协议设计问题。

Pedersen 承诺是关键组成部分，但并非完整解决方案。

Pedersen 承诺的局限性

Pedersen 承诺本身无法证明隐藏数值有效。

它只能隐藏并绑定数值。

要证明数值处于有效范围内，还需要单独的证明。

要证明承诺数值符合特定应用规则，也可能需要单独的证明。

Pedersen 承诺也无法识别数值的所有者。

它不能授权支出。

它不能为接收方加密消息。

它不能自动防止元数据泄露。

它无法保护用户免受恶意钱包、质量不佳的随机数、不安全参数或有缺陷的智能合约影响。

它功能强大，但只是更大规模密码学系统中的一种原语。

安全风险与实现错误

一个主要风险是随机数强度不足。

如果盲化因子可以预测，隐私保护就可能失效。

另一个风险是生成元陷门。

如果有人知道生成元之间的关系，绑定性就可能失效。

第三个风险是缺少范围证明。

如果没有证明隐藏数值处于指定范围内，攻击者可能利用负数或溢出金额。

第四个风险是子群或余因子处理错误。

如果群实现接受无效点或使用不安全的子群假设，证明和承诺就可能容易受到攻击。

第五个风险是域分离失败。

如果在不同场景中重复使用相同的承诺参数，却没有明确标记，签名或证明可能会以不安全的方式相互影响。

第六个风险是钱包或协议集成不当。

即使承诺本身很强，如果系统通过元数据、日志、地址、用户界面行为或网络分析泄露数值，也无法挽救整个系统。

开发者应尽可能使用经过审查的库、正式规范、审计和测试向量。

Pedersen 承诺的常见用途

Pedersen 承诺用于保密交易。

它用于范围证明系统。

它用于零知识证明电路。

它用于可验证秘密共享。

它用于多方计算协议。

它用于一些私密支付设计。

它用于隐藏余额系统。

它用于算术约束证明系统。

它用于涉及承诺、隐私和安全计算的密码学研究。

当协议既需要保密，又需要之后能够验证时，通常会使用它。

面向开发者的 Pedersen 承诺

开发者应将 Pedersen 承诺视为底层密码学原语。

除非具备深厚的密码学经验，否则不应从头实现。

安全实现需要正确的群运算、安全随机数、生成元推导、点验证、标量处理、序列化、域分离和证明集成。

开发者应尽可能使用成熟的库。

同时还应了解库所使用的群模型和相关假设。

为签名设计的库不一定可以直接安全地用于承诺。

为一种曲线设计的库可能与另一协议的承诺格式不匹配。

测试向量很重要，因为钱包、节点、电路和验证者之间的承诺编码必须完全一致。

审计也很重要，因为细小的密码学错误可能导致隐性增发、隐私泄露或接受无效证明。

面向用户的 Pedersen 承诺

大多数加密货币用户不会手动创建 Pedersen 承诺。

他们会通过钱包、协议、屏蔽池、隐私工具或零知识应用与之交互。

用户可能通过隐藏金额、私密余额或更保密的链上活动来体验其优势。

不过，用户应了解，隐私取决于整个系统。

协议可能会隐藏金额，但仍然泄露发送方行为、时间、网络元数据或钱包模式。

钱包可能支持私密转账，但仍会因重复使用地址或操作安全性不足而泄露信息。

跨链桥或应用可能会通过关联屏蔽活动和透明活动破坏隐私。

Pedersen 承诺有助于隐藏数值，但不会自动让加密货币操作的每个部分都具有隐私性。

用户应遵循所用钱包或协议提供的具体隐私指南。

一句话了解 Pedersen 承诺

Pedersen 承诺是一种密码学方法，它使用随机盲化因子隐藏数值，同时将创建者绑定到该确切数值，并允许对隐藏数据进行有用的算术检查。

常见问题

用简单的话说，什么是 Pedersen 承诺？

Pedersen 承诺是一种锁定秘密数值但不披露该数值的方法，同时还能确保之后无法更改该数值。

Pedersen 承诺的公式是什么？

常见公式是

，其中 是承诺， 是隐藏数值， 是盲化因子， 和 是生成元点。

盲化因子为什么重要？

盲化因子可以隐藏已承诺的数值，并防止外部人员轻易猜出该数值。

Pedersen 承诺中的隐藏性是什么意思？

隐藏性意味着当盲化因子是随机且保密时，承诺不会泄露其中的数值。

Pedersen 承诺中的绑定性是什么意思？

绑定性意味着承诺者不应能够将同一个承诺解释为两个不同的数值。

Pedersen 承诺中的同态性是什么意思？

同态性意味着可以将承诺相加，所得结果对应于对隐藏数值之和的承诺。

保密交易为什么要使用 Pedersen 承诺？

因为它可以隐藏交易金额，同时仍允许网络验证输入和输出是否平衡。

Pedersen 承诺能证明金额是正数吗？

不能。需要单独的范围证明，才能证明隐藏金额处于有效范围内。

Pedersen 承诺与加密是一回事吗？

不是。加密会隐藏数据以便之后解密，而承诺则会隐藏数据，同时将承诺者绑定到一个数值。

Pedersen 承诺可以被打开吗？

可以，公开已承诺的数值和盲化因子即可打开承诺。

如果盲化因子泄露会怎样？

如果盲化因子和足够的上下文信息泄露，其他人就可能揭示或验证隐藏数值。

Pedersen 承诺安全吗？

如果使用正确的生成元、安全随机数、有效的群运算、必要的范围证明和谨慎的协议设计，它可以是安全的。

结语

Pedersen 承诺是加密货币隐私保护和零知识密码学中最重要的承诺方案之一。

它可以让协议隐藏数值，同时仍将用户绑定到这些数值。

它的加法同态特性尤其适用于保密交易，因为隐藏金额仍然可以进行余额检查。

它也支持范围证明、零知识系统、可验证秘密共享和多方密码学协议。

基本理念容易说明，但要安全实现却很困难。

实际系统必须使用安全随机数、经过谨慎选择的生成元、正确的椭圆曲线运算、恰当的域分离、范围证明和严格审计。

对用户而言，最重要的一点是：Pedersen 承诺有助于保护隐私，但它本身无法让整笔交易都具有隐私性。

隐私取决于完整协议、钱包行为、元数据处理和用户选择。

对开发者而言，最重要的一点是：应将 Pedersen 承诺视为至关重要的安全密码学基础设施。

如果使用得当，它可以在不向公众披露数据的情况下验证隐藏的财务数据。

这种在隐私和可验证性之间取得的平衡，正是 Pedersen 承诺在现代加密设计中仍然属于基础工具的原因。