Compromiso de Pedersen

Un compromiso de Pedersen tiene la forma C = g^m · h^r, donde g y h son generadores de un grupo de orden primo, m es el valor comprometido y r un factor de cegado aleatorio. Es perfectamente ocultante, porque C no revela nada de m con seguridad teórica de la información, y computacionalmente vinculante bajo la dificultad del logaritmo discreto. El esquema procede del trabajo de Torben Pryds Pedersen presentado en CRYPTO 1991.

Su propiedad central es que es aditivamente homomórfico: el producto de dos compromisos equivale al compromiso de la suma de los valores. Esto permite sumar y restar importes comprometidos sin abrirlos, base de las transacciones confidenciales, donde se comprueba que las entradas igualan a las salidas sin ver ninguna cantidad. Conviene diferenciarlo de KZG: Pedersen compromete un escalar o vector, es homomórfico y no necesita trusted setup; KZG compromete un polinomio, da pruebas de evaluación de tamaño constante y sí lo necesita. Son primitivas con propósitos distintos.

Entre los usos reales, las Confidential Transactions de Bitcoin diseñadas por Greg Maxwell y la sidechain Liquid Network de Blockstream emplean compromisos de Pedersen para ocultar importes. Monero los usa en RingCT para esconder los montos de cada transacción, y Zcash incorpora compromisos basados en Pedersen dentro de su circuito Sapling. Para una empresa que diseñe activos con privacidad de saldos, es la pieza que permite probar contabilidad correcta sin publicar cifras individuales.