椭圆曲线上承诺方案的完全约束

Question

因此，问题是，在椭圆曲线上给出了一个承诺方案。

初始化阶段：

1. 这里有一个椭圆曲线EC，生成点G在GF(p)上，它创建了一个组和随机素数e。
2. 选择一个x。
3. 计算M = x \cdot G。
4. 计算M' = e \cdot M。
5. 提取xM，其中xM是M的x坐标。
6. 计算H = xM \cdot G。

EC、G、e是公共参数，x是私有参数。

承诺的定义如下：C = x \cdot G + r \cdot H。

就我研究这个承诺方案而言，我发现这个方案不是完全绑定的，因为H依赖于G的值。

计算C = x \cdot G + r \cdot H和C = x' \cdot G + r' \cdot H'是可能的。因此，计算r' = (x + r \cdot xM - x') / x'M是可能的。

然而，使此承诺完全绑定的唯一可能解决方案是通过删除步骤4-6并选择H作为另一个生成器点来做出Pedersen承诺。

是否还有其他办法使这一承诺完全具有约束力？

Answer 1

如果我没有错的话:首先得到Pedersen承诺(计算绑定和理论隐藏)，然后将其“转换”为ElGamal承诺(理论绑定和计算隐藏)，1中很好的入门。