Pedersen 承諾

什麼是 Pedersen 承諾？

Pedersen 承諾是一種密碼學承諾方案，讓使用者隱藏某個值，同時承諾該值確切無誤，使其日後無法更改。

在加密貨幣領域，Pedersen 承諾很重要，因為它能協助區塊鏈、隱私協議和零知識系統，在不揭露隱藏值的情況下證明相關事實。

承諾方案常以密封信封來說明。

你將秘密值放進信封並封好，再把密封的信封展示給其他人。

其他人看不到信封裡的值，而你也無法在信封封好後再更改該值。

Pedersen 承諾透過數學運算，而非紙張，達成相同效果。

這項原始建構與 Torben Pryds Pedersen 的論文非互動式且具資訊理論安全性的可驗證秘密分享有關。該論文介紹了用於可驗證秘密分享的承諾。

常見的簡化形式為

。

在此公式中，

是承諾， 是隱藏值， 是隨機盲化因子，而 和 是密碼學群組中彼此獨立的生成元點。

隨機盲化因子

會遮蔽 ，因此該值仍能保持隱藏。

承諾之所以具備綁定性，是因為除非能解決困難的數學問題，否則建立者不應能將同一個承諾解開成兩個不同的值。

隱藏性與綁定性的結合，使 Pedersen 承諾適用於機密交易、私人餘額、範圍證明、零知識電路、可驗證秘密分享及注重隱私的加密貨幣應用程式。

Pedersen 承諾重點整理

• • Pedersen 承諾會隱藏某個值，同時讓承諾者受該值約束。
  • 其形式通常為
    C = rG + vH
    ，其中
    v
    是該值，
    r
    是盲化因子。
  • 隨機盲化因子可避免外部人士得知承諾值，因此具備隱藏性。
  • 承諾者難以將同一個承諾解開成兩個不同的值，因此具備綁定性。
  • 此承諾具備加法同態性，代表承諾值可以相加，並用於特定運算。
  • Pedersen 承諾廣泛用於機密交易、範圍證明、零知識系統和注重隱私的區塊鏈設計。

Pedersen 承諾為何對加密貨幣很重要

Pedersen 承諾很重要，因為公開區塊鏈會帶來隱私問題。

許多區塊鏈會向任何人公開交易資料。

這種透明度有助於使用者驗證供應量和結算情況，但也可能揭露餘額、交易金額、商業活動和使用者行為。

Pedersen 承諾可透過隱藏金額，同時保留數學檢查能力，協助解決部分問題。

例如，隱私系統可能需要證明交易輸入等於交易輸出，但不公開實際金額。

Pedersen 承諾可以隱藏每筆金額，同時保留足夠的結構，證明數值相符。

Elements Project 的機密交易說明指出，機密交易背後的基本工具是 Pedersen 承諾。

這項技術很有用，因為區塊鏈可以在不公開交易金額的情況下，驗證沒有秘密創造新幣。

Pedersen 承諾對零知識證明也很重要。

零知識證明可以證明隱藏的承諾值符合某項規則，而不揭露該值本身。

因此，承諾是私人轉帳、隱蔽餘額、機密資產、證明系統和安全密碼學協議的基礎組件。

Pedersen 承諾的運作方式

Pedersen 承諾會將隱藏值與隨機秘密資料結合。

隱藏值是使用者想要承諾的內容。

隨機秘密資料稱為盲化因子。

盲化因子至關重要，因為它能避免外部人士猜出隱藏值。

如果承諾只取決於該值，其他人就能嘗試不同的可能值並比對結果。

當可能值的範圍很小，例如交易金額時，這種做法尤其危險。

Pedersen 承諾透過將值與隨機數混合，避免了這個問題。

常見的橢圓曲線版本為

。

生成元

會乘上盲化因子 。

生成元

會乘上值 。

兩個運算結果相加後，便會生成承諾

。

任何人都能看到

，但由於不知道 ，因此很難得知 。

之後，承諾者可以公開

和 ，以解開承諾。

驗證者可以重新計算

，並檢查結果是否等於原始承諾。

如果兩者相符，代表承諾已正確解開。

隱藏性

隱藏性是指承諾不會揭露被承諾的值。

在 Pedersen 承諾中，盲化因子是實現隱私的關鍵。

如果盲化因子以隨機方式選取並妥善保密，即使承諾公開，也能隱藏該值。

這就是 Pedersen 承諾適用於機密交易系統的原因。

區塊鏈可以在鏈上顯示承諾，而不公開承諾背後的金額。

觀察者可能會看到交易已發生，但無法直接從承諾本身讀出承諾值。

隱藏性取決於隨機數是否正確。

如果盲化因子遭到重複使用、具有可預測性、外洩或產生方式不佳，隱私保護就可能減弱。

對加密貨幣開發者來說，安全的亂數生成並非小事。

它是承諾本身安全性的一部分。

綁定性

綁定性是指承諾者建立承諾後，無法輕易更改被承諾的值。

如果有人承諾

，之後就不應能將同一個承諾解開成 。

在 Pedersen 承諾中，綁定性取決於生成元之間離散對數關係的困難程度。

生成元

和 必須經過選取，確保沒有人知道滿足 的秘密數字 。

如果有人知道這種關係，就可能為同一個承諾建立不同的解開方式。

這會破壞綁定性。

因此，可信的生成元選取方式非常重要。

許多系統會使用「無幕後操作」（nothing-up-my-sleeve）的生成元推導方法，以降低有人暗中掌握生成元關係的疑慮。

綁定性讓承諾不只是加密。

加密可以隱藏資料，而承諾還能讓傳送者受單一值約束。

同態性

同態性是 Pedersen 承諾在加密貨幣領域極具價值的主要原因之一。

Pedersen 承諾具備加法同態性。

這代表承諾可以相加，而所得結果會對應到隱藏值總和的承諾。

使用簡化公式，如果

且 ，則 。

這項特性讓系統能在不公開數值的情況下，檢查算術關係。

在機密交易中，協議可藉此檢查已承諾的輸入金額，是否等於已承諾的輸出金額加上手續費。

驗證者不必知道隱藏金額，也能確認交易收支平衡。

Elements 文件說明了這種加法特性，指出承諾總和等於資料與盲化因子總和的承諾。

這種同態特性使 Pedersen 承諾適用於保護隱私的金融系統。

機密交易中的 Pedersen 承諾

機密交易使用密碼學隱藏交易金額，同時保留驗證能力。

Pedersen 承諾是這種設計中的核心工具。

交易可以公開金額的承諾，而不是直接公開金額。

驗證者可以檢查各筆承諾是否相符，確保交易沒有憑空創造價值。

不過，驗證者看不到確切金額。

這能提供使用者更高的財務隱私，同時維護系統的供應量規則。

機密交易也需要範圍證明。

範圍證明可證明承諾金額位於允許範圍內，例如大於或等於零，且低於最大值。

範圍證明不可或缺，因為單靠同態算術可能讓隱藏的負值掩蓋通膨。

安全的機密交易系統必須同時證明收支平衡，並確認數值位於有效範圍內。

Pedersen 承諾提供隱藏算術層，而範圍證明則負責檢查數值是否符合允許範圍。

Pedersen 承諾與範圍證明

範圍證明是一種零知識證明，用來證明已承諾的數字落在有效範圍內。

這很重要，因為 Pedersen 承諾會完全隱藏該值。

如果數值被隱藏，驗證者就需要其他方式確認數值不是負數或大到不合理。

例如，如果隱藏的輸出使用負數，交易表面上可能仍然收支平衡。

範圍證明透過證明每個承諾金額都有效，避免這種情況。

Bulletproofs 是一種知名的範圍證明系統，可與 Pedersen 承諾搭配使用。

dalek Bulletproofs 實作說明，其支援使用 Ristretto 群組進行單筆和聚合範圍證明。

在許多情況下，聚合範圍證明能比個別證明更有效率地證明多個數值範圍。

對加密貨幣使用者來說，簡單來說，Pedersen 承諾會隱藏數值，而範圍證明則協助證明這些隱藏數值是安全的。

保護隱私的交易系統通常需要這兩種機制。

零知識證明中的 Pedersen 承諾

Pedersen 承諾常用於零知識證明系統中。

證明者可以先承諾秘密值，再針對這些值的相關敘述提出證明。

驗證者可以檢查證明，而不會得知秘密值。

例如，使用者可以證明隱藏餘額足以支付某筆款項。

使用者可以證明兩個已承諾的值相等。

使用者可以證明已承諾的值落在某個範圍內。

協議可以證明已承諾輸入的總和等於已承諾輸出的總和。

這些證明能在不破壞驗證能力的情況下支援隱私保護。

這是現代加密貨幣隱私系統的核心目標之一。

公開網路應能拒絕無效交易，而不必查看每個私人細節。

Pedersen 承諾有助於在隱私與可稽核性之間取得平衡。

Zcash 類型系統中的 Pedersen 承諾

有些注重隱私的區塊鏈協議會使用承諾方案，在隱蔽交易中隱藏交易細節。

目前的 Zcash 協議規格定義了承諾方案，並在協議設計中討論 Pedersen 類型的承諾。

該規格以隱藏性和綁定性的要求說明承諾方案。

規格也為隱蔽交易組件中的價值承諾定義了具同態性的 Pedersen 承諾。

在這類系統中，價值承諾可以隱藏金額，同時在零知識證明中支援收支平衡檢查。

即使公開鏈不顯示原始金額，協議仍可證明價值守恆。

這種設計說明 Pedersen 承諾不只是學術概念。

它是實際區塊鏈隱私工程中使用的密碼學工具。

不過，各種實作採用的細節、曲線、生成元、證明系統和安全假設都可能不同。

使用者不應認為所有使用承諾機制的協議都具有相同的隱私程度或安全模型。

Pedersen 承諾與雜湊承諾的差異

雜湊承諾可以透過將某個值與隨機 Nonce 一起進行雜湊來建立。

例如，簡單的雜湊承諾可能表示為

。

設計正確時，這種方式可以提供隱藏性和綁定性。

不過，基本的雜湊承諾並不像 Pedersen 承諾那樣，自然具備相同的加法同態特性。

這項差異對加密貨幣很重要。

如果系統只需要隱藏某個值，之後再公開，雜湊承諾可能就已足夠。

如果系統需要證明隱藏金額之間的算術關係，Pedersen 承諾就可能更實用。

機密交易系統需要進行隱藏算術，因為系統必須驗證資金收支平衡。

這就是 Pedersen 承諾常見於隱私保護金融協議的原因。

選擇雜湊承諾或 Pedersen 承諾，取決於應用程式的需求。

Pedersen 承諾與加密的差異

Pedersen 承諾不等同於加密。

加密會隱藏資訊，讓持有正確金鑰的人能解密並讀取資訊。

承諾會隱藏資訊，同時讓承諾者受特定值約束。

在許多承諾方案中，並沒有能直接解開並讀取該值的獨立解密金鑰。

只有承諾者透過公開該值和盲化因子來解開承諾時，該值才會公開。

這項差異對區塊鏈系統很重要。

如果協議需要證明隱藏金額符合某項規則，可能會使用承諾和零知識證明，而非一般加密。

加密適合保護機密訊息。

承諾則適合用於隱藏但可驗證的主張。

許多進階加密貨幣系統會同時使用這兩種工具，但兩者解決的是不同問題。

Pedersen 承諾與 Merkle 承諾的差異

Merkle 樹承諾會使用以樹狀結構排列的雜湊值，對一組資料作出承諾。

Merkle 根可以承諾許多葉節點，而 Merkle 證明則可以證明某個項目屬於該承諾集合。

Pedersen 承諾通常會透過盲化因子對某個值作出承諾。

兩種工具並不相同，但可以搭配使用。

隱私協議可能會使用 Pedersen 承諾隱藏金額，並使用 Merkle 樹證明某個票據、幣或紀錄屬於特定集合。

Merkle 樹有助於證明某個已承諾物件存在於較大的集合中。

Pedersen 承諾則有助於隱藏並綁定該物件內的值。

了解兩者差異有助於使用者更清楚閱讀加密貨幣隱私文件。

Merkle 承諾用於組織資料。

Pedersen 承諾則用於隱藏並綁定值。

Pedersen 承諾與數位簽章的差異

數位簽章可證明訊息已由私鑰授權。

Pedersen 承諾則可證明某人已對一個隱藏值作出承諾。

這兩者是不同的密碼學功能。

簽章回答的是：「這把金鑰是否授權了這則訊息？」

承諾回答的是：「這個隱藏值是否已先行固定，且當時沒有公開？」

加密貨幣交易可能會同時使用兩者。

使用者可能會簽署交易，以授權資產支出。

交易也可能包含用來隱藏金額的承諾。

之後，零知識證明可以證明隱藏的承諾資料符合協議規則。

每種工具在整體安全設計中都有不同用途。

生成元選取為何重要

Pedersen 承諾需要兩個彼此獨立的生成元。

它們通常稱為

和 。

綁定性的安全性取決於沒有人知道兩者之間的離散對數關係。

如果惡意設計者知道

和 之間的關係，就可能將承諾解開成不同的值。

因此，生成元推導方式必須透明且可信。

協議通常會透過雜湊值或使用領域區隔的標籤推導生成元，讓使用者可以確認生成元並非透過帶有隱藏後門的方式選取。

使用領域區隔也有助於避免在不同協議情境中以不安全的方式重複使用相同生成元資料。

對開發者來說，在許多系統中，生成元選取屬於共識關鍵或安全關鍵細節。

不應自行臨時設計。

盲化因子

盲化因子是用來隱藏承諾值的隨機秘密。

在公式

中，盲化因子是 。

盲化因子應使用安全亂數產生。

盲化因子不應具有可預測性。

不應以不安全的方式重複使用。

盲化因子也不應外洩。

如果盲化因子遭到公開，通常就能解開承諾。

如果盲化因子強度不足，攻擊者可能猜出承諾值。

在交易系統中，也可能需要仔細平衡盲化因子，才能透過承諾總和證明價值守恆。

因此，盲化因子的管理是機密交易設計的核心部分。

解開 Pedersen 承諾

解開 Pedersen 承諾是指公開建立該承諾的值和盲化因子。

驗證者會重新計算承諾，檢查這次解開是否有效。

如果重新計算出的承諾等於原始承諾，解開方式就有效。

例如，如果原始承諾是

，承諾者就會公開 和 。

驗證者計算

。

如果結果等於

，驗證者就會接受這次解開。

如果結果不相符，驗證者就會拒絕。

在許多區塊鏈隱私系統中，承諾不會完全向大眾公開解開。

系統會改用零知識證明，在隱藏數值的同時證明承諾符合特定事實。

這讓系統能在維持隱私的同時保留驗證能力。

計算綁定性與完美隱藏性

Pedersen 承諾常被描述為具備完美隱藏性和計算綁定性。

完美隱藏性是指，只要盲化因子真正隨機，承諾就不會揭露任何關於該值的資訊。

計算綁定性是指，若要破壞綁定性，就必須解決困難的數學問題。

在大多數橢圓曲線情境中，這項困難問題與離散對數問題有關。

這種安全特性十分特殊，也很有用。

它在依賴計算假設來防止作弊的同時，為承諾值提供極強的隱私保護。

不過，實際安全性仍取決於群組、生成元、隨機數、實作方式和協議情境。

即使數學原語正確，實作不當仍可能造成安全問題。

密碼學工程與公式本身同樣重要。

Pedersen 承諾與橢圓曲線

許多現代 Pedersen 承諾會透過橢圓曲線群組實作。

橢圓曲線很有用，因為它支援高效率的群組運算，並能以精簡方式表示。

承諾公式

可透過橢圓曲線純量乘法和點加法計算。

不同協議可能會使用不同的曲線和群組。

有些系統會使用經過設計、可避免細微餘因子問題的群組。

curve25519-dalek 文件說明，Ristretto 是一種質數階群組建構，能帶來速度和安全性優勢，同時避免與餘因子相關的抽象不一致問題。

這很重要，因為群組選擇可能影響安全性、證明設計、實作安全性和互通性。

開發者不應隨意混用曲線點、編碼格式或子群假設。

密碼學群組細節很容易出錯，也很難讓使用者稽核。

多方運算中的 Pedersen 承諾

Pedersen 承諾也適用於多方運算和門檻密碼學。

在這類情境中，數個參與者可能需要對秘密分片、隨機數或數值作出承諾，但暫時不公開內容。

承諾有助於讓一方證明自己遵循協議誠實行事。

例如，參與者可以在設定階段先對秘密分片作出承諾，之後再公開其他人能驗證的資訊。

這有助於避免不誠實的參與者在看到其他參與者的訊息後更改自己的值。

Pedersen 的原始研究聚焦於可驗證秘密分享，這與上述分散式密碼學問題密切相關。

在加密貨幣基礎設施中，類似概念可用於支援門檻錢包、分散式金鑰生成、驗證者系統、託管控管和安全簽章協議。

共同理念是在不洩露不必要資訊的情況下維持問責能力。

Pedersen 承諾與供應量驗證

私人加密貨幣系統面臨的一項主要挑戰，是如何證明隱藏交易沒有使供應量膨脹。

如果金額被隱藏，網路仍必須確認沒有任何代幣遭到秘密創造。

Pedersen 承諾的同態特性有助於對隱藏值進行收支平衡檢查。

如果已承諾的輸入減去已承諾的輸出後，等於有效的手續費承諾或零餘額式，就能證明交易維持價值守恆。

不過，這項收支平衡檢查必須搭配範圍證明和其他有效性檢查。

否則，隱藏的負值或無效編碼可能破壞系統。

因此，私人系統中的供應量驗證是一項完整的協議設計問題。

Pedersen 承諾是其中的重要組件，但並非完整解決方案。

Pedersen 承諾的限制

Pedersen 承諾本身無法證明隱藏值有效。

它只負責隱藏並綁定該值。

若要證明該值位於有效範圍內，還需要額外證明。

若要證明已承諾的值符合應用程式的特定規則，也可能需要額外證明。

Pedersen 承諾也無法識別值的所有者。

它不會授權資產支出。

它不會為接收者加密訊息。

它不會自動防止中繼資料外洩。

它無法保護使用者免受惡意錢包、不良亂數、不安全參數或有缺陷的智能合約影響。

Pedersen 承諾功能強大，但只是大型密碼學系統中的一種原語。

安全風險與實作錯誤

其中一項主要風險是亂數強度不足。

如果盲化因子可預測，隱私就可能失效。

另一項風險是生成元後門。

如果有人知道生成元之間的關係，綁定性就可能失效。

第三項風險是缺少範圍證明。

如果沒有證明隱藏值落在有效範圍內，攻擊者可能利用負金額或溢位金額。

第四項風險是子群或餘因子處理錯誤。

如果群組實作接受無效點，或使用不安全的子群假設，證明和承諾就可能受到攻擊。

第五項風險是使用領域區隔失敗。

如果在不同情境中重複使用相同承諾參數，卻沒有清楚標示，簽章或證明可能以不安全的方式互相影響。

第六項風險是錢包或協議整合不佳。

即使承諾機制很完善，如果中繼資料、日誌、地址、使用者介面行為或網路分析洩露資訊，也無法挽救整個系統。

開發者應盡可能使用經過審查的函式庫、正式規格、稽核和測試向量。

Pedersen 承諾的常見用途

Pedersen 承諾用於機密交易。

它用於範圍證明系統。

它用於零知識證明電路。

它用於可驗證秘密分享。

它用於多方運算協議。

它用於某些私人付款設計。

它用於隱藏餘額系統。

它用於算術約束證明系統。

它用於研究承諾、隱私和安全運算的密碼學研究。

當協議需要兼顧保密性和日後可驗證性時，經常會使用 Pedersen 承諾。

給開發者的 Pedersen 承諾說明

開發者應將 Pedersen 承諾視為低階密碼學原語。

除非具備深厚的密碼學經驗，否則不應從頭自行實作。

安全的實作需要正確的群組運算、安全亂數、生成元推導、點驗證、純量處理、序列化、使用領域區隔和證明整合。

應盡可能使用成熟的函式庫。

也應了解函式庫採用的群組模型和假設。

為數位簽章設計的函式庫，不代表自動適用於承諾。

針對某條曲線設計的函式庫，可能不符合另一個協議的承諾格式。

測試向量很重要，因為錢包、節點、電路和驗證者之間的承諾編碼必須完全一致。

稽核也很重要，因為細微的密碼學錯誤可能導致無聲通膨、隱私損失或接受無效證明。

給使用者的 Pedersen 承諾說明

大多數加密貨幣使用者不會手動建立 Pedersen 承諾。

使用者會透過錢包、協議、隱蔽資金池、隱私工具或零知識應用程式與其互動。

使用者可能會透過隱藏金額、私人餘額或更機密的鏈上活動，感受到這項技術的好處。

不過，使用者應了解，隱私取決於整個系統。

協議可能隱藏金額，但仍會揭露傳送者行為、時間、中繼資料或錢包模式。

錢包可能支援私人轉帳，但仍可能因重複使用地址或操作安全性不佳而暴露資訊。

跨鏈橋或應用程式可能會連結隱蔽活動和透明活動，進而破壞隱私。

Pedersen 承諾有助於隱藏數值，但不會讓加密貨幣操作的每個部分都變得隱密。

使用者應遵循所用錢包或協議的隱私指南。

用一句話理解 Pedersen 承諾

Pedersen 承諾是一種密碼學方法，透過隨機盲化因子隱藏某個值，同時讓建立者受該確切值約束，並允許對隱藏資料進行有用的算術檢查。

常見問題

簡單來說，什麼是 Pedersen 承諾？

Pedersen 承諾是一種在不公開秘密值的情況下將其固定下來的方法，同時確保該值日後無法更改。

Pedersen 承諾的公式是什麼？

常見公式為

，其中 是承諾， 是隱藏值， 是盲化因子，而 和 是生成元點。

盲化因子為什麼重要？

盲化因子會隱藏承諾值，並避免外部人士輕易猜出該值。

Pedersen 承諾中的隱藏性是什麼意思？

隱藏性是指只要盲化因子隨機且保密，承諾就不會揭露其中的值。

Pedersen 承諾中的綁定性是什麼意思？

綁定性是指承諾者不應能將同一個承諾解開成兩個不同的值。

Pedersen 承諾中的同態性是什麼意思？

同態性是指承諾可以相加，所得結果會對應到隱藏值總和的承諾。

機密交易為什麼使用 Pedersen 承諾？

機密交易使用 Pedersen 承諾，是因為它能隱藏交易金額，同時讓網路驗證交易輸入和輸出是否平衡。

Pedersen 承諾能證明金額是正數嗎？

不能。若要證明隱藏金額位於有效範圍內，還需要另外使用範圍證明。

Pedersen 承諾等同於加密嗎？

不等同。加密會隱藏資料，以供日後解密；承諾則會隱藏資料，同時讓承諾者受單一值約束。

Pedersen 承諾可以解開嗎？

可以，只要公開已承諾的值和盲化因子，就能解開承諾。

如果盲化因子外洩會怎樣？

如果盲化因子和足夠的相關背景資訊外洩，隱藏值可能會遭到揭露，或可由他人加以驗證。

Pedersen 承諾安全嗎？

若使用正確的生成元、安全亂數和有效的群組運算，並在需要時加入範圍證明且謹慎設計協議，Pedersen 承諾可以安全運作。

結論

Pedersen 承諾是加密貨幣隱私和零知識密碼學中最重要的承諾方案之一。

它讓協議能隱藏數值，同時讓使用者受該數值約束。

其加法同態特性特別適用於機密交易，因為系統仍可檢查隱藏金額是否平衡。

它也支援範圍證明、零知識系統、可驗證秘密分享和多方密碼學協議。

基本概念雖然容易說明，但要安全實作並不容易。

實際系統必須使用安全亂數、謹慎選取生成元、正確執行橢圓曲線運算、妥善進行使用領域區隔、採用範圍證明並接受嚴謹稽核。

對使用者來說，最重要的是了解 Pedersen 承諾有助於保護隱私，但無法單靠自身讓整筆交易都變得隱密。

隱私取決於完整協議、錢包行為、中繼資料處理方式和使用者選擇。

對開發者來說，最重要的是將 Pedersen 承諾視為攸關安全的密碼學基礎設施。

正確使用時，Pedersen 承諾能讓系統在不向大眾公開資料的情況下，驗證隱藏的財務資訊。

隱私與可驗證性之間的平衡，正是 Pedersen 承諾至今仍是現代加密貨幣設計基礎工具的原因。