椭圆曲线形式下的Pedersen commitment——vector commitment和polynomial commitment

最新推荐文章于 2026-03-01 15:36:25 发布

原创最新推荐文章于 2026-03-01 15:36:25 发布 · 2.4k 阅读

11 ·

本内容遵循CC 4.0 BY-SA版权协议

零知识证明专栏收录该内容

364 篇文章

订阅专栏

本文介绍了椭圆曲线下的Pedersen承诺机制及其向量扩展，包括其加法同态性及一系列向量的零知识证明过程。此外，还讨论了多项式插值在该过程中的应用。

1. 椭圆曲线下的Pedersen commitment

椭圆曲线下Pedersen commitment可用scalar multiplication of curve points来表示：
$C = r H + a G$
其中， $C$ 为椭圆曲线上的一个点curve point，作为commitment； $a$ 为commit to 的数值； $r$ 为随机数，可提供隐藏功能； $G$ 为所选择椭圆曲线广泛接受的generator； $H$ 为椭圆曲线上的另一个点，且保证无任何可推导 $q$ ，使得 $H = q G$ ，这个H与G直接无明确关系非常重要。

如需open commitment $C$ ，需要提供r值和a值。

Pedersen commitment具有加法同态性：
$C(r_1,a_1)+C(r_2,a_2)=r_1H+a_1G+r_2H+a_2G=(r_1+r_2)H+(a_1+a_2)G=C(r_1+r_2,a_1+a_2)$

2. Vector Pedersen Commitment 向量commitment

$C=rH+(v1G1+v2G2+....+vnGn)=rH+v⃗G⃗C=rH+(v_1G_1+v_2G_2+....+v_nG_n)=rH+\vec v\vec G$
其中，各个 $G_i$ 可由 $H a s h (e n c o d e (G) ∣ ∣ i)$ 来获取。

如需open commitment $C$ ，需要提供随机数r值和向量值 $v⃗\vec v$ 。

向量值 $v⃗\vec v$ 中可以有大量元素，但最终的commitment只为椭圆曲线上的一个点 $C$ 。

也可以同时对多个Vector进行commitment，如对 $v⃗,w⃗\vec v,\vec w$ 同时commitment：
$C=rH+v⃗G⃗+w⃗H⃗C=rH+\vec v\vec G+\vec w\vec H$
其中，各个 $H_i$ 可由 $H a s h (e n c o d e (H) ∣ ∣ i)$ 来获取，即curve point $H$ 不在vector $H⃗\vec H$ 中。

3. A zero knowledge argument of knowledge of a set of vectors——一系列向量的零知识证明

假设有m个向量 $x⃗1,x⃗2,...,x⃗m\vec x_1,\vec x_2, ..., \vec x_m$ ，且每个向量都有N个元素（ $N! = m$ ）。已知各个向量的commitment为：
$C1=r1H+x⃗1G⃗C_1=r_1H+\vec x_1 \vec G$
$C2=r2H+x⃗2G⃗C_2=r_2H+\vec x_2 \vec G$
$. . .$
$Cm=rmH+x⃗mG⃗C_m=r_mH+\vec x_m \vec G$

以下 $P$ 代表prover, $V$ 代表Verifier。
a) $\rightarrow V: C_0$ (a new commitment to a newly chosen random vector of dimension N)
b) $\rightarrow P: e$ (a random scalar，也可称为challenge值。)
c) $\rightarrow V: (\vec z, s)$ (a single vector of dimension N, and another scalar)
其中：
$z⃗=∑i=0meix⃗i,s=∑i=0meiri\vec z=\sum_{i=0}^{m}e^i\vec x_i, \quad s=\sum_{i=0}^{m}e^ir_i$

通过随机数 $e$ ，可很好的隐藏向量 $x⃗\vec x$ ，如取 $z⃗\vec z$ 向量的第二个元素—— $z_2=x_{02}+ex_{12}+...+e^mx_{m2}$ 。
有1*m维矩阵：
$1,e,e^2,...,e^m)$
使得z值无法获取相应的x值。

对于Verifier，只需验证：
$∑i=0meiCi=?sH+z⃗G⃗\sum_{i=0}^{m}e^iC_i=?sH+\vec z\vec G$

证明过程如下：
$sH+z⃗G⃗=∑i=0mei(riH)+∑i=0meix⃗iG⃗=∑i=0mei(riH+x⃗iG⃗)=∑i=0meiCisH+\vec z\vec G=\sum_{i=0}^{m}e^i(r_iH)+\sum_{i=0}^{m}e^i\vec x_i\vec G=\sum_{i=0}^{m}e^i(r_iH+\vec x_i\vec G)=\sum_{i=0}^{m}e^iC_i$

由以上证明可知，Verifer可根据信息 $(C0,e,(z⃗,s))(C_0,e,(\vec z, s))$ ，可信服honest prover的proof $(z⃗,s)(\vec z, s)$ 。

但是对于不诚信的prover，他可以随机选择 $e,(z⃗,s)e,(\vec z, s)$ 值，并根据之前已生成的 $C_1,C_2,...,C_m$ 值，推导出 $C0=(sH+z⃗G⃗)−(∑i=1meiCi)C_0=(sH+\vec z\vec G)-(\sum_{i=1}^{m}e^{i}C_i)$ ，
使得 $∑i=0meiCi=C0+∑i=1meiCi=(sH+z⃗G⃗)−(∑i=1meiCi)+∑i=1meiCi=sH+z⃗G⃗\sum_{i=0}^{m}e^iC_i=C_0+\sum_{i=1}^{m}e^{i}C_i=(sH+\vec z\vec G)-(\sum_{i=1}^{m}e^{i}C_i)+\sum_{i=1}^{m}e^{i}C_i=sH+\vec z\vec G$ 恒成立，因此，对于此种情况，不诚信的prover可伪造相应的证明。

若需要open此种情况下的commitment，需要提供 $C_1,C_2,...C_m$ 对应的共m个scalar数 $r_1,r_2,...,r_m$ ，以及 $m * N$ 个向量元素 $x_{11},x_{12},...,x_{mN}$ 。

3.1 一系列向量的零知识证明的soundness验证

修改上面的流程，重复a)b)c)步骤m+1次，每次均为scalar e提供不同的随机值 $e_j$ ：
$(C0,0,e0,(z⃗0,s0))(C_{0,0},e_0,(\vec z_0,s_0))$
$(C0,1,e1,(z⃗1,s1))(C_{0,1},e_1,(\vec z_1,s_1))$
$(C0,2,e2,(z⃗2,s2))(C_{0,2},e_2,(\vec z_2,s_2))$
$. . .$
$(C0,m,em,(z⃗m,sm))(C_{0,m},e_m,(\vec z_m,s_m))$

相应地：
$z⃗j=∑i=0mejix⃗i,sj=∑i=0mejiri,其中j∈[0,m]\vec z_j=\sum_{i=0}^{m}e_j^i\vec x_i, \quad s_j=\sum_{i=0}^{m}e_j^ir_i, \quad 其中j\in [0,m]$

则有(m+1)*(m+1)维矩阵：
$A−1=(1e0e02...e0m1e1e12...e1m1e2e22...e2m...1emem2...emm)A^{-1}=\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}$
使得z值无法获取相应的x值。该矩阵为Vandermonde 矩阵。
若 $e_0,e_1,...,e_m$ 互异，则存在对应的逆矩阵为：
$A=(a00a01a02...a0ma10a11a12...a1ma20a21a22...a2m...am0am1am2...amm)A=\begin{pmatrix} a_{00}& a_{01}& a_{02}&... &a_{0m} \\ a_{10}& a_{11}& a_{12}&... &a_{1m} \\ a_{20}& a_{21}& a_{22}&... &a_{2m} \\ ...& & & & \\ a_{m0}& a_{m1}& a_{m2}&... &a_{mm} \end{pmatrix}$

相应的Z也为矩阵，满足：
$Z=A−1X=(1e0e02...e0m1e1e12...e1m1e2e22...e2m...1emem2...emm)(x⃗0x⃗1x⃗2...x⃗m)=(∑i=0me0ix⃗i∑i=0me1ix⃗i∑i=0me2ix⃗i...∑i=0memix⃗i)=(z⃗0z⃗1z⃗2...z⃗m)Z=A^{-1}X=\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}\begin{pmatrix} \vec x_0\\ \vec x_1\\ \vec x_2\\ ... \\ \vec x_m \end{pmatrix}=\begin{pmatrix} \sum_{i=0}^{m}e_0^i\vec x_i\\ \sum_{i=0}^{m}e_1^i\vec x_i\\ \sum_{i=0}^{m}e_2^i\vec x_i\\ ... \\ \sum_{i=0}^{m}e_m^i\vec x_i \end{pmatrix}=\begin{pmatrix} \vec z_0\\ \vec z_1\\ \vec z_2\\ ... \\ \vec z_m \end{pmatrix}$

即相当于求m+1个方程式，存在唯一解 $(x⃗0,x⃗1,...,x⃗m)(\vec x_0, \vec x_1,..., \vec x_m)$ 。即可保证soundness。

若 $e_0,e_1,...,e_m$ 不互异，则可逆矩阵A不存在，也不能保证解的唯一性。

根据矩阵基础知识，矩阵B存在可逆矩阵的充分必要条件为B的判别式不为零，即det|B|!=0。
A的可逆矩阵A^-1之间的关系有： $AA^{-1}=I,I为单位矩阵$ ，即：
$AA−1=(a00a01a02...a0ma10a11a12...a1ma20a21a22...a2m...am0am1am2...amm)(1e0e02...e0m1e1e12...e1m1e2e22...e2m...1emem2...emm)=(100...0010...0001...0...000...1)=(δ00δ01δ02...δ0mδ10δ11δ12...δ1mδ20δ21δ22...δ2m...δm0δm1δm2...δmm)AA^{-1}=\begin{pmatrix} a_{00}& a_{01}& a_{02}&... &a_{0m} \\ a_{10}& a_{11}& a_{12}&... &a_{1m} \\ a_{20}& a_{21}& a_{22}&... &a_{2m} \\ ...& & & & \\ a_{m0}& a_{m1}& a_{m2}&... &a_{mm} \end{pmatrix}\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}=\begin{pmatrix} 1& 0& 0 &... &0 \\ 0& 1& 0 &... &0 \\ 0& 0& 1 &... &0 \\ ...& & & & \\ 0& 0& 0 &... &1 \end{pmatrix}=\begin{pmatrix} \delta _{00}& \delta _{01}& \delta _{02} &... &\delta _{0m} \\ \delta _{10}& \delta _{11}& \delta _{12} &... &\delta _{1m} \\ \delta _{20}& \delta _{21}& \delta _{22} &... &\delta _{2m} \\ ...& & & & \\ \delta _{m0}& \delta _{m1}& \delta _{m2} &... &\delta _{mm} \end{pmatrix}$

上面公式中， $e_j$ 为challenge值，有：
$δhi=∑j=0mahjeji\delta _{hi}=\sum_{j=0}^{m}a_{hj}e_j^i$

当 $h = = i$ 时，有 $δhi=1\delta _{hi}=1$ ；当 $h! = i$ 时，有 $δhi=0\delta _{hi}=0$ 。也可称 $δhi\delta _{hi}$ 为Kronecker delta函数。

基于 $δhi\delta _{hi}$ 的特性，有：
$Ch=∑i=0mδhiCiC_h=\sum_{i=0}^{m}\delta _{hi}C_i$
$⇔Ch=∑i=0mδhiCi=∑i=0m(∑j=0mahjeji)Ci\Leftrightarrow C_h=\sum_{i=0}^{m}\delta _{hi}C_i=\sum_{i=0}^{m}(\sum_{j=0}^{m}a_{hj}e_j^i)C_i$
$⇔根据加法交换律有:Ch=∑i=0m(∑j=0mahjeji)Ci=∑j=0mahj(∑i=0mejiCi)\Leftrightarrow 根据加法交换律有: \quad C_h=\sum_{i=0}^{m}(\sum_{j=0}^{m}a_{hj}e_j^i)C_i=\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^iC_i)$
$∵Ci=riH+x⃗iG⃗,z⃗j=∑i=0mejix⃗i,sj=∑i=0mejiri,以及加法结合律\because C_i=r_iH+\vec x_i\vec G, \quad \vec z_j=\sum_{i=0}^{m}e_j^i\vec x_i, \quad s_j=\sum_{i=0}^{m}e_j^ir_i, \quad 以及加法结合律$
$∴Ch=∑j=0mahj(∑i=0meji(riH+x⃗iG⃗))=∑j=0mahj(∑i=0mejiriH)+∑j=0mahj(∑i=0mejix⃗iG⃗)=∑j=0mahjsjH+∑j=0mahjz⃗jG⃗\therefore C_h=\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^i(r_iH+\vec x_i\vec G))=\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^ir_iH)+\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^i\vec x_i\vec G)=\sum_{j=0}^{m}a_{hj}s_jH+\sum_{j=0}^{m}a_{hj}\vec z_j\vec G$
$⇒Ch\Rightarrow C_h$ is a commitment to $∑j=0mahjz⃗j\sum_{j=0}^{m}a_{hj}\vec z_j$ with randomness $∑j=0mahjsj\sum_{j=0}^{m}a_{hj}s_j$
$∵Ch=rhH+x⃗hG⃗，以及有且仅有一个值对应一个commitment\because C_h=r_hH+\vec x_h\vec G，\quad以及有且仅有一个值对应一个commitment$
$⇒x⃗h=∑j=0mahjz⃗j\Rightarrow \vec x_h=\sum_{j=0}^{m}a_{hj}\vec z_j$

以上公式推导可知，当有m+1个不同的方程式时，可以通过 $(z⃗0,z⃗1,z⃗2,...,z⃗m)(\vec z_0, \vec z_1, \vec z_2,...,\vec z_m)$ 一一对应的提取出所有的witness向量值 $(x⃗0,x⃗1,x⃗2,...,x⃗m)(\vec x_0, \vec x_1, \vec x_2,...,\vec x_m)$

通过本算法，根据proof信息，可提取witness信息，且为唯一解，即保证了“knowledge-soundness”。由于解的唯一性，当Prover不知道解的情况下，无法提供可验证通过的proof。

3.2 Polynomial Interpolation多项式插值

$Z=A−1X=(1e0e02...e0m1e1e12...e1m1e2e22...e2m...1emem2...emm)(x⃗0x⃗1x⃗2...x⃗m)=(∑i=0me0ix⃗i∑i=0me1ix⃗i∑i=0me2ix⃗i...∑i=0memix⃗i)=(z⃗0z⃗1z⃗2...z⃗m)Z=A^{-1}X=\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}\begin{pmatrix} \vec x_0\\ \vec x_1\\ \vec x_2\\ ... \\ \vec x_m \end{pmatrix}=\begin{pmatrix} \sum_{i=0}^{m}e_0^i\vec x_i\\ \sum_{i=0}^{m}e_1^i\vec x_i\\ \sum_{i=0}^{m}e_2^i\vec x_i\\ ... \\ \sum_{i=0}^{m}e_m^i\vec x_i \end{pmatrix}=\begin{pmatrix} \vec z_0\\ \vec z_1\\ \vec z_2\\ ... \\ \vec z_m \end{pmatrix}$
以上公式，可抽象为一个多项式，该多项式的变量为e，系数分别为 $x⃗0,x⃗1,x⃗2,...,x⃗m\vec x_0, \vec x_1, \vec x_2,...,\vec x_m$ ：
$Z(e)=x⃗0+x⃗1e+x⃗2e2+...+x⃗memZ(e)=\vec x_0+\vec x_1e+\vec x_2e^2+...+\vec x_me^m$

对 $Z (e)$ 多项式的变量 $e$ 分别取m+1不同的值 $e_0,e_1, e_2,...,e_m$ ,可通过Lagrange interpolation来唯一确定 $Z (e)$ 多项式的系数 $x⃗0,x⃗1,x⃗2,...,x⃗m\vec x_0, \vec x_1, \vec x_2,...,\vec x_m$ 。