作者：廖飞强?
来源：微众银行区块链
在不泄露明文的前提下，如何对隐私数据的内容进行承诺？密码学承诺的密文形式和普通的数据密文有何区别？隐私数据如何在密码学承诺的形式下依旧保持可用性？在量子计算的安全模型下，是否依旧可以构造安全可用的密码学承诺？
隐私保护方案设计中，除了保护隐私数据的机密性，确保密文形式隐私数据解读的唯一性也是重要的业务需求。业务流程中，很大程度会依赖隐私数据的具体数值，如果允许攻击者在自身利益驱动下，对处于密文形式的隐私数据进行任意解读，势必会对业务的整体公正性和有效性带来巨大影响。
以电子支付为例，一家银行为一位客户开具了一张面额1000元的电子支票，电子支票以密文形式交付给客户，流转过程中不会轻易泄露金额。然而，在使用时，银行也不希望客户能够将这张电子支票解读成其他金额，如10000元。多兑现的9000元会造成银行的损失，银行甚至可能因此而停用整个密文电子支票业务。
这里的解读与解密有一定区别，对密文数据解读不一定需要对密文数据进行解密。在上面示例中，当客户花费这张面额1000元的电子支票，解读时只需要证明电子支票的消费额小于未花费余额即可，而不需要解密未花费余额的具体数值。
解决以上业务问题的关键，就在于密码学承诺的使用。密码学承诺有何神奇之处？且随本文一探究竟。
1.哈希承诺
在日常生活中，承诺无处不在。例如，预约打车成功后，司机和乘客之间就互相做了一个承诺。到了预约时间，乘客等车，司机接客，这就是在兑现承诺。
密码学家发现MetaMask存在可致用户IP地址泄露的漏洞:金色财经报道，OMNIA协议的联合创始人、安全分析师和密码学家Alexandru Lupascu称MetaMask钱包存在漏洞风险，恶意攻击者可以简单地创建一个NFT，并通过转移该NFT的免费所有权来获取用户的IP地址，黑客只需花费50美元就能攻击他人的隐私。
Lupascu表示，他在2021年12月14日发现了这个安全漏洞，并向MetaMask团队提出了解决方案，但他们忽视了这个问题，并表示将在2022年第二季度之前解决。
在这项研究向公众展示之后，MetaMask的创始人Daniel Finlay承认了这一事件：“我认为这个问题已经被大众广泛知晓很久了，所以我认为披露期并不适用。”Finlay补充说：“Lupascu说我们没有尽早解决这个问题，他说得没错。我们现在就开始着手解决这一问题。谢谢你的提醒。”（BeInCrypto）[2022/1/23 9:07:16]
信息科学中也有类似的承诺技术存在。例如，某些网站在提供下载文件时，也会提供对应文件的单向哈希值。这里，单向哈希值便是一种对文件数据的承诺，以下称之为哈希承诺。基于下载的哈希承诺，用户可以对下载文件数据进行校验，检测接收到的文件数据是否有丢失或变化，如果校验通过，相当于网站兑现了关于文件数据完整性的承诺。
声音 | 中国传媒大学计算机学院副教授：区块链反过来激活了数学和密码学的新应用:在11月8日由中国人民大学国家版权贸易基地主办的“区块链技术与版权保护”研讨会上，中国传媒大学计算机学院副教授姜正涛从密码学角度解读了区块链与版权保护之间的关系。他表示：“密码学过去是‘赔钱’的技术，属于纯开销。有了区块链之后，计算结果本身就有价值，比如电子货物、比特币、版权信息等本身就具有价值，所以区块链反过来激活了数学和密码学的新应用。”而且，区块链可以记录所有发生的交易，可以有效避免造假。另外，区块链对低价值、实时产生的版权数据记录的成本比较低，相较于传统做法，区块链可以节省权利人提交材料、等候审批的人力物力，对于作品价值比较低但是数量大的作品，可以提供较好的保护渠道。[2019/11/21]
密码学承诺是一类重要的密码学原语，其中哈希承诺又是诸多技术中最简单的一种实现方式。
一般而言，密码学承诺的应用涉及承诺方、验证方两个参与方，以及以下两个使用阶段。
第一阶段为承诺生成阶段，承诺方选择一个敏感数据v，计算出对应的承诺c，然后将承诺c发送给验证方。通过承诺c，验证方确定承诺方对于还未解密的敏感数据v只能有唯一的解读方式，无法违约。
第二阶段为承诺披露阶段，学术界通常也称之为承诺打开-验证阶段。承诺方公布敏感数据v的明文和其他的相关参数，验证方重复承诺生成的计算过程，比较新生成的承诺与之前接收到的承诺c是否一致，一致则表示验证成功，否则失败。
声音 | 密码学博士高承实：公链、联盟链、私有链都还存在诸多问题:今日在一个讨论沙龙上，密码学博士高承实经过多方面对比分析提出其特有的通证概念与通证经济模型，他认为公链、联盟链、私有链都还存在诸多问题，真正的区块链底层基础设施应该可以满足以上三者的接入。[2019/3/14]
一个设计良好的密码学承诺具备如下特性：
隐匿性：在打开关于v的承诺c之前，验证方不知道承诺方选择的敏感数据v。
绑定性：在关于v的承诺c生成之后，承诺方难以将已承诺的敏感数据解释成另一个不同的数据v'。
所以，密码学承诺可以起到与日常生活中的承诺行为类似的效果，一旦做出承诺，就必须在披露阶段使用之前已经承诺的敏感数据。
对应地，在业务系统中，承诺生成阶段通常被用来生成密文形式的业务数据，而承诺披露阶段则多被用于在特定业务流程中进行数据校验。
除了直接公布敏感数据明文之外，承诺披露阶段所需的数据校验，也可以在不公布敏感数据明文的前提下，构造零知识证明来完成。相关内容将在后续零知识证明专题中展开。
具体回到哈希承诺，用户可以通过以下公式计算关于敏感数据v的承诺，其中H是一个密码学安全的单向哈希算法。
现场 | 元道：通证是凝结在密码学基础设施上的人类共识符号:金色财经现场报道，在中国区块链行业发展论坛现场，中关村区块链产业联盟理事长、通证派创始人元道表示，行业数字化通证第一、区块链第二。通证是凝结在密码学基础设施上的人类共识符号，全球发行，全球流通。通证应用在于：第一、协作，行业上下游的强协作激励机制（包括负激励）；第二、品牌，通证全球流通，便于建立全球品牌；第三、组织，新一代行业协会，社群自治组织。自金融，自带金融的数字化变革，从自媒体到自金融。[2018/7/11]
基于单向哈希的单向性，难以通过哈希值H(v)反推出敏感数据v，以此提供了一定的隐匿性；基于单向哈希的抗碰撞性，难以找到不同的敏感数据v'产生相同的哈希值H(v)，以此提供了一定的绑定性。
哈希承诺的构造简单、使用方便，满足密码学承诺基本的特性，适用于对隐私数据机密性要求不高的应用场景。
对隐私数据机密性要求高的应用，需要注意哈希承诺提供的隐匿性比较有限，不具备随机性。对于同一个敏感数据v，H(v)值总是固定的，因此可以通过暴力穷举，列举所有可能的v值，来反推出H(v)中实际承诺的v。
相比其他密码学承诺技术，哈希承诺不具有便于业务系统在密文形式对其处理的附加功能，例如，多个相关的承诺值之间密文运算和交叉验证，对于构造复杂密码学协议和安全多方计算方案的作用比较有限。
2.Pedersen承诺
Pedersen承诺是目前隐私保护方案中使用广泛的密码学承诺，相比哈希承诺，构造略微复杂，但提供了一系列优异的特性：
V神回应EOS创始人对其使用经济激励和密码学来治理社区言论的质疑:4月1日，Vitalik发文回应经济激励和密码学来治理社区言论的质疑，V神表示：
1.希望创造一些工具，供至少2/3的诚实竞争团队使用。但这2/3的人是诚实的不等于2/3的资本是诚实的。
2.靠思想来竞争的社区将比购买选票的社区更有竞争力。
3.不过现在的情况不可能“证明”个人的经济风险，因为他们可能比内部人员有更多的获益或损失。
4.密码学永远无法证明的事就是审查制度。[2018/4/2]
信息论安全（参见
第4论）的理论最强隐匿性。
基于离散对数困难问题（参见
第3论）的强绑定性。
具有同态加法特性的密文形式。
其具体构造如下：
有别于哈希承诺，对于同一个v会产生相同的承诺H(v)，Pedersen承诺通过引入随机致盲因子r，即便隐私数据v不变，最终的承诺c也会随着r的变化而变化，以此提供了信息论安全的隐匿性。
Pedersen承诺在构造中采用了离散对数运算，因此也赋予其加法同态性。可以通过两个分别关于v1和v2的Pedersen承诺c1和c2“相加”，得到的新承诺便是关于v1+v2的Pedersen承诺。
除了能够构造关于v1+v2的Pedersen承诺之外，Pedersen承诺还可以用来构造v1*v2、v1||v2等更复杂的Pedersen承诺，通过基于离散对数的通用零知识证明系统，来证明新产生的承诺满足与原始承诺c1和c2之间存在指定的约束关系。
在实际业务中，Pedersen承诺自带的加法同态性，配合零知识证明获得约束关系证明功能，在区块链中可以有广泛的应用，目前主要以隐匿账本的形式，提供灵活的隐私数据的密文上链存证和交易密文数值关联性的第三方验证。
具体方案设计中，相关业务方在链下完成业务交互之后，将对应的数值变化表达成Pedersen承诺，再将对应的承诺数据上链，这个过程中无需披露任何隐私数据明文。
上链之后，非相关的第三方虽然难以通过Pedersen承诺的密文形式反推出隐私数据明文，但可以验证承诺之间的约束关系，核实业务交互的合法性，例如，验证隐匿转账发生之后，依旧满足会计平衡、外汇交易中使用了正确汇率进行跨行对账等。
值得注意的是，Pedersen承诺产生的密文形式，与通过普通加解密算法生成的数据密文有一定相似性，在计算过程中都使用敏感数据v，致盲因子r的作用和密钥的作用也有一些相似，均用以混淆最后的密文输出。
但不同的是，密码学承诺不提供解密算法，如果只有r，无法有效地提取出敏感数据v的明文，只能通过暴力穷举所有可能的v值的方法逐一验证，试图通过匹配的承诺值来破解v的明文。
所以，Pedersen承诺重在“承诺”，适用于数据属主向第三方证明承诺中的敏感数据满足一定的约束关系，由于不直接提供解密功能，不能直接支持需要互不透露敏感数据明文的多方协同计算，这一点与密码学领域的同态加解密算法有很大区别，切勿混淆概念。
3.量子承诺
为了应对量子计算可能带来的风险，寻求经典密码学承诺技术的替代品，后量子密码学承诺也是重要的研究方向之一。比较典型的方案有量子比特承诺。
量子比特承诺(QuantumBitCommitment)是基于量子力学原理构造的比特承诺方案，具体实现可以抽象为一个带随机输入的单向哈希算法。
根据单向函数的单向性，承诺方向验证方发送r1和c后，验证方不知道v，满足对v的隐匿性。另外，由单向哈希的抗碰撞性可知承诺方难以找到r2′和v’，使H(r1,r2,v)=H(r1,r2′,v′)，因此承诺方难以违约，满足对v的绑定性。
量子比特承诺的构造看似简单，但实际实现需要借助量子协议完成计算，同时也有一定的理论局限性。
早在1996年，Hoi-KwongLo和HoiFungChau团队、DominicMayers团队分别独立地证明了不存在满足信息论安全的理论最强绑定性的量子比特承诺方案。这个不存在性被称为MLCno-go定理。其主要原因是，如果验证方完全没有任何承诺的信息，那么承诺方可以通过量子纠缠随意地改变承诺内容，而验证方既不能阻止也不能发现承诺方的违约行为。
总体而言，后量子密码学承诺的研究尚处于早期阶段，充满了各类挑战，目前难以直接应用到实际业务系统中。除了量子比特承诺之外，基于模糊算法的量子模糊承诺也是一类热门研究方向，目标应用领域为生物特征识别相关的隐私安全系统。将来不排除有更实用的方案面世，以此消解量子计算可能带来的冲击，我们将持续保持关注。
正是：业务数据精确至毫厘，密码承诺隐匿遁无形！
密码学承诺的隐匿性和绑定性是隐私保护方案设计中常用的关键特性，在保障隐私数据机密性的同时，也保证了密文形式隐私数据解读的唯一性。对于业务系统设计而言，密码学承诺为隐私数据提供了另一种高效的密文表达方式。
本论中，我们重点介绍了哈希承诺和Pedersen承诺，在往后的文章中，我们还会进一步介绍其他重要的密码学承诺，例如zk-SNARKs零知识证明系统中使用的多项式承诺、向量承诺等。
对于需要在数据的密文形式上直接进行运算和交叉验证的业务，只要不涉及互不透露数据明文的多方协同计算，相比现有同态加密算法，以Pedersen承诺为代表的密码学承诺往往可以提供更好的性能。这一优势与密码学承诺的同态性密不可分，如何构造和应用同态性，敬请关注下文分解。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。