Compromisso de Pedersen

Um compromisso de Pedersen tem a forma C = g^m · h^r, em que g e h são geradores de um grupo de ordem prima, m é o valor comprometido e r um fator de cegamento aleatório. É perfeitamente ocultante, porque C não revela nada sobre m com segurança no sentido da teoria da informação, e computacionalmente vinculante sob a dificuldade do logaritmo discreto. O esquema tem origem no trabalho de Torben Pryds Pedersen apresentado na CRYPTO 1991.

Sua propriedade central é ser aditivamente homomórfico: o produto de dois compromissos equivale ao compromisso da soma dos valores. Isso permite somar e subtrair valores comprometidos sem abri-los, base das transações confidenciais, nas quais se verifica que as entradas são iguais às saídas sem ver nenhuma quantia. Convém diferenciá-lo do KZG: Pedersen se compromete com um escalar ou vetor, é homomórfico e não precisa de trusted setup; KZG se compromete com um polinômio, oferece provas de avaliação de tamanho constante e, este sim, precisa dele. São primitivas com propósitos distintos.

Entre os usos reais, as Confidential Transactions de Bitcoin projetadas por Greg Maxwell e a sidechain Liquid Network da Blockstream empregam compromissos de Pedersen para ocultar valores. Monero os usa no RingCT para esconder os montantes de cada transação, e Zcash incorpora compromissos baseados em Pedersen dentro de seu circuito Sapling. Para uma empresa que projete ativos com privacidade de saldos, é a peça que permite provar contabilidade correta sem publicar cifras individuais.