Prueba de rango

Una prueba de rango demuestra que un valor comprometido v cae dentro de un intervalo, típicamente [0, 2^n), sin desvelarlo. Es un caso particular de prueba de conocimiento cero que suele aplicarse sobre un compromiso (por ejemplo de Pedersen) del valor. El probador acredita que la representación binaria del valor tiene exactamente n bits, cada uno cero o uno, lo que acota v por debajo de 2^n, sin mostrar ninguno de esos bits.

La construcción de referencia es Bulletproofs (Bünz, Bootle, Boneh, Poelstra, Wuille y Maxwell, IEEE Symposium on Security and Privacy 2018), que reformula el problema como un argumento de producto interno y comprime la prueba a tamaño logarítmico en n. No necesita trusted setup, se apoya solo en el supuesto del logaritmo discreto, es no interactiva mediante Fiat-Shamir y permite agregar varias pruebas con coste adicional reducido. Bulletproofs+ (Chung, Han, Ju, Kim y Seo) es una mejora posterior con pruebas aún más cortas.

Importa por dos motivos. Privacidad: en transacciones confidenciales hay que probar que cada importe oculto es no negativo, evitando que se cree valor con cantidades negativas por desbordamiento modular. Y solvencia: un proveedor de servicios puede probar que sus cuentas y reservas están dentro de rangos válidos sin publicar saldos individuales. Monero adoptó Bulletproofs en octubre de 2018 para sus pruebas de rango, reduciendo de forma notable el tamaño de transacción, y Liquid Network las emplea en sus Confidential Transactions.