Pedersen Commitment

Public setup:

• 对某椭圆曲线群
  $\mathbb{G}$，随机生成
  $n$ 个点
  $(G_0,G_1,\dots G_{n-1})$

承诺阶段
Prover:

• 假设要对向量
  $\overrightarrow{a}=(a_0,a_1,\dots ,a_{n-1})$ 其中
  $a_i\in {\mathbb{F}}_r$，进行承诺，
  $C=\sum _{i=0}^{n-1}{a}_i\cdot G_i$
• 将
  $C$ 发送给 Verifier
• 一般承诺方案会作为一个组件嵌入到更大的一个协议中，因此接下来 Prover 将使用
  $\overrightarrow{a}$ 生成其他的证明。

揭示阶段
Prover:

• 把原始向量
  $\overrightarrow{b}=(b_0,b_1,\dots ,b_{n-1})$ 发送给 Verifier

Verifier:

• 验证
  $C=\sum _{i=0}^{n-1}{b}_i\cdot G_i$ 是否成立。如果成立，即可验证 Prover 承诺的数据确实就是
  $\overrightarrow{a}$，即
  $b_i=a_i$

安全性分析

假设

$\mathbb{G}$ 的 generator 是

$G$，

$G_i=c_{i}G$，

$G_i$ 之间的离散对数关系不知道。

$c_i$ 对双方都是未知的

$C=\sum _{i=0}^{n-1}{a}_i{c}_i\cdot G$。理论上存在

$\overrightarrow{b}\ne \overrightarrow{a}$，使得

$\sum _{i=0}^{n-1}{a}_i{c}_i=\sum _{i=0}^{n-1}{b}_i{c}_i$。但是要找到这样的

$\overrightarrow{b}$，相当于能攻破离散对数难题。