Efectuarea schemei de angajament pe curbele eliptice perfect obligatorie

Deci, întrebarea este, este dată o schemă de angajament pe curba eliptică.

Faza de inițializare:

1. Există o curbă eliptică EC, punct generator $G$ peste $GF(p)$, care creează un grup și un număr prim aleatoriu $e$.
2. Alegeți un $x$.
3. calculati $M = x \cdot G$.
4. calculati $M' = e \cdot M$.
5. Extrage $xM$, Unde $xM$ este o $x$ coordonata a $M$.
6. calculati $H = xM \cdot G$.

CE, $G$, $e$ sunt parametri publici, $x$ este un parametru privat.

Angajamentul este definit după cum urmează: $C = x \cdot G + r \cdot H$.

În măsura în care am studiat această schemă de angajament, văd că această schemă nu este perfect legată deoarece H depinde de valoarea lui G.

Este posibil să se calculeze $C = x \cdot G + r \cdot H$ și $C = x' \cdot G + r' \cdot H'$. Prin urmare, este posibil să se calculeze $r' = (x + r \cdot xM - x') / x'M$.

Cu toate acestea, singura soluție posibilă pentru a face acest angajament perfect obligatoriu este să faceți un angajament Pedersen, ștergând pașii 4-6 și alegeți $H$ ca un alt punct generator.

Există alte modalități de a face acest angajament perfect obligatoriu?

Dacă nu greșesc: mai întâi am primit un angajament Pedersen (obligatoriu computațional și ascuns teoretic), apoi „transformați-l” într-un angajament ElGamal (obligatoriu teoretic și ascundeți computațional), primer frumos în 1

În măsura în care am studiat această schemă de angajament, văd că această schemă nu este perfect legată deoarece H depinde de valoarea lui G.

De fapt, nici măcar nu este obligatoriu din punct de vedere computațional, deoarece committerul cunoaște jurnalul discret al $H$ (este $xM$), și astfel el poate deschide trivial angajamentul în orice mod dorește.

Cu toate acestea, singura soluție posibilă pentru a face acest angajament perfect obligatoriu este să faceți un angajament Pedersen ștergând pașii 4-6 și alegeți H ca alt punct generator.

Angajamentele Pedersen nu pot fi făcute perfect obligatorii, pentru că indiferent cum alegeți $H$, ar fi posibil (deși, în practică, nu este fezabil din punct de vedere computațional, sau așa sperăm) să se calculeze jurnalul discret și, astfel, ar fi posibil să se deschidă angajamentul cu valori diferite.

Pentru ca un angajament să fie perfect obligatoriu, atunci ceea ce trebuie să se întâmple este ca, pentru orice angajament posibil, să existe un singur secret posibil către care se poate deschide; Pedersen nu îndeplinește asta.