Pedersen-Commitment

Ein Pedersen-Commitment hat die Form C = g^m · h^r, wobei g und h Generatoren einer Gruppe von Primzahlordnung sind, m der festgelegte Wert und r ein zufälliger Blinding-Faktor. Es ist perfekt verbergend, da C informationstheoretisch nichts über m preisgibt, und rechnerisch bindend unter der Annahme, dass der diskrete Logarithmus schwer zu berechnen ist. Das Verfahren geht auf die Arbeit von Torben Pryds Pedersen zurück, die auf der CRYPTO 1991 vorgestellt wurde.

Seine zentrale Eigenschaft ist die additive Homomorphie: Das Produkt zweier Commitments entspricht dem Commitment der Summe der Werte. Dadurch lassen sich festgelegte Beträge addieren und subtrahieren, ohne sie offenzulegen. Darauf beruhen vertrauliche Transaktionen, bei denen geprüft wird, dass die Inputs den Outputs entsprechen, ohne einen einzigen Betrag zu sehen. Abzugrenzen ist es von KZG: Pedersen legt einen Skalar oder Vektor fest, ist homomorph und benötigt kein Trusted Setup; KZG legt ein Polynom fest, liefert Auswertungsbeweise konstanter Größe und benötigt ein Trusted Setup. Es handelt sich um Primitive mit unterschiedlichem Zweck.

In der Praxis verwenden die von Greg Maxwell entworfenen Confidential Transactions für Bitcoin und die Sidechain Liquid Network von Blockstream Pedersen-Commitments, um Beträge zu verbergen. Monero nutzt sie in RingCT, um die Beträge jeder Transaktion zu verschleiern, und Zcash setzt in seinem Sapling-Schaltkreis auf Pedersen basierende Commitments ein. Für ein Unternehmen, das Vermögenswerte mit vertraulichen Guthaben konzipiert, ist es der Baustein, mit dem sich eine korrekte Buchführung nachweisen lässt, ohne einzelne Beträge zu veröffentlichen.