Halo2 学习笔记——背景资料之Cryptographic groups（4）

1. 引言

一个group内有：

• an identity
• a group operation

对于加法group，其identity为$\mathcal{O}$，group operation为$+$。

某些group可用作cryptographic group。基于的DLP假设为：
已知base $G$和group element $P$，找到$x$使得$P=[x]G$是很难的。

instantiate cryptographic group的方法之一是使用椭圆曲线。

2. Pedersen commitment

Pedersen commitment为：
a way to commit to a secret message in a verifiable way.

Pedersen commitment中有2个random public generators $G,H\in \mathbb{G}$，其中$\mathbb{G}$为a cryptographic group of order $p$。$r$为random secret chosen in ${\mathbb{Z}}_q$，message $m$ 来自于 any subset of ${\mathbb{Z}}_q$，相应的Pedersen commitment为：
$c=Commit(m,r)=[m]G+[r]H$

为了open该commitment，committer需公开$m$和$r$，从而允许任意人来verify that $c$ is indeed a commitment to $m$。

Pedersen commitment scheme具有同态性：
$Commit(m,r)+Commit(m^{\prime },r^{\prime })=Commit(m+m^{\prime },r+r^{\prime })$

假设DLP成立，则Pedernsen commmitment具有perfectly hiding和computationally binding属性：

• perfectly hiding：adversary 选择messages $m_0,m_1$，committer commits to one of these messages c = C o m m i t ( m b , r ) , b ∈ { 0 , 1 } c=Commit(m_b,r), b\in\{0,1\} c=Commit(mb​,r),b∈{ 0,1}。已知$c$，adversary猜中$b$的概率不高于$\frac{1}{2}$。
• computationally binding：adversary无法找到两个不同的messages $m_0\ne m_1$ 和 randomness $r_0,r_1$，使得$Commit(m_0,r_0)=Commit(m_1,r_1)$。

3. Vector Pedersen commitment

对于多个消息$\vec{m}=(m_1,m_2,\cdots ,m_n)$，相应有多个random public generators $\vec{G}=(G_0,G_1,\cdots ,G_{n-1})$ 以及 一个random generator $H$，相应的vector pedersen commitment scheme为：
$Commit(\vec{m};r)=Commit((m_0,\cdots ,m_{n-1});r)=[r]H+{\sum }_{i=0}^{n-1}[m_i]G_i$

4. Diffie-Hellman

另一个使用cryptographic groups的例子就是Diffie-Hellman key aggrement [DH1976]。

Diffie-Hellman protocol针对的场景为：有2个用户Alice和Bob，需要生成一个共享私钥，具体的流程为：

• 1）Alice和Bob publicly agree on two prime numbers $p,G$，其中$p$很大，$G$为a primitive root $(\mathrm{m}\mathrm{o}\mathrm{d}p)$。（注意，$g$为a generator of the group ${\mathbb{F}}_p^{\times }$。）
• 2）Alice选择large random number $a$作为其私钥，计算其公钥$A=[a]G(\mathrm{m}\mathrm{o}\mathrm{d}p)$，Alice将其公钥$A$发送给Bob。
• 3）类似地，Bob选择large random number $b$作为其私钥，计算其公钥$B=[b]G(\mathrm{m}\mathrm{o}\mathrm{d}p)$，Bob将其公钥$B$发送给Alice。
• 4）Alice和Bob可计算其共享key $K=[ab]G(\mathrm{m}\mathrm{o}\mathrm{d}p)$，其中Alice的计算方式为：$K=[a]B(\mathrm{m}\mathrm{o}\mathrm{d}p)=[a]([b]G)(\mathrm{m}\mathrm{o}\mathrm{d}p)$；Bob的计算方式为：$K=[b]A(\mathrm{m}\mathrm{o}\mathrm{d}p)=[b]([a]G)(\mathrm{m}\mathrm{o}\mathrm{d}p)$。

而对于窃听者，其仅可监听到$g,p,A=[a]G,B=[b]G$，除非其可破解DLP获得$a$或$b$值（可假设其为computationally infeasible in ${\mathbb{F}}_p^{\times }$），否则该窃听者无法生成$K=[ab]g$。

5. Multiscalar multiplication

Pippenger’s algorithm，详细见：

• Jonathan Bootle课件 Efficient Multi-Exponentiation

参考资料

[1] Halo2 学习笔记——背景资料之Cryptographic groups