คอมมิตเอาต์พุตของฟังก์ชันสุ่มที่ตรวจสอบได้

การตั้งค่าปัญหามีดังนี้ สมมติว่ามีอินพุตสาธารณะอยู่ $x$ และผู้พิสูจน์ประเมิน $y \gets VRF_{sk}(x)$แต่ผู้พิสูจน์ไม่ประสงค์จะเปิดเผยผลลัพธ์ $y$. คำถามของฉันคือเป็นไปได้ไหมที่จะให้ผู้พิสูจน์เผยแพร่ความมุ่งมั่นของ $y$, พูด $com_y$แล้วพิสูจน์ว่ามูลค่าความมุ่งมั่นของ $com_y$ ถูกสร้างขึ้นอย่างถูกต้องโดยการประเมิน VRF โดยใช้รหัสลับ $sk$ และอินพุตสาธารณะ $x$?

ฉันขอขอบคุณสำหรับความช่วยเหลือของคุณ

เพื่อให้เข้าใจง่ายขึ้น ECVRF ได้อธิบายไว้ใน ร่าง-irtf-cfrg-vrf-02 จะใช้คู่กุญแจ $(x, Y=xG)$ และป้อนข้อมูล $\alpha$. มันจะกลับมา $P = xH$, ที่ไหน $H = H_p(Y \mathbin\|\alpha)$พร้อมด้วยการพิสูจน์ความเท่าเทียมแบบแยกบันทึก (DLeq) ที่ใช้ Schnorr ซึ่งแสดงให้เห็นว่า $พี$ แบ่งปันรหัสส่วนตัวเดียวกัน $x$ กับ $Y$ บนจุดกำเนิด $H$ และ $G$ ตามลำดับ สิ่งนี้จึงพิสูจน์ได้ว่า $พี$ คำนวณได้ถูกต้องเป็น $xH$. $H_p()$ หมายถึงการสร้างแฮชทำให้เกิดจุด EC ซึ่งเป็นสิ่งที่เอกสารเชื่อมโยงอ้างถึง $\texttt{ECVRF_hash_to_curve}$. $G$ หมายถึงจุดฐานที่รู้จักกันดีสำหรับเส้นโค้ง

แก้ไข $\texttt{ECVRF_prove}$ สามารถสร้างฟังก์ชันเพื่อจุดประสงค์ในการสร้างข้อผูกมัด มันจะเลือกปัจจัยที่ทำให้ไม่เห็นแบบสุ่มที่เหมือนกัน $ข$และจะกลับมา $B = bG$ และ $P' = x(H+B)$ แทน $P = xH$. มันจะส่งคืนหลักฐาน DLeq ที่จะแสดงให้เห็นว่า $P'$ แบ่งปันรหัสส่วนตัวเดียวกัน $x$ กับ $Y$ บนจุดกำเนิด $(H+B)$ และ $G$ ตามลำดับ และพิสูจน์ได้ว่า $P'$ ได้รับการคำนวณตามที่คาดไว้

แก้ไข $\texttt{ECVRF_verify}$ สามารถสร้างฟังก์ชั่นเพื่อตรวจสอบความมุ่งมั่น มันจะใช้เวลา $B$ เป็นอาร์กิวเมนต์เพิ่มเติม เพื่อให้สามารถตรวจสอบได้ว่าการพิสูจน์ DLeq ทำงานร่วมกับตัวสร้าง $(H+B)$ แทน $H$.

หลังจากการตรวจสอบที่แก้ไขแล้ว ผู้ตรวจสอบทราบแน่นอนว่า $P' = x(H+B) = xH + xB$. เนื่องจาก $x$ เป็นส่วนตัว ผู้ตรวจสอบไม่สามารถคำนวณได้ $xB$ เพื่อกำหนดมูลค่าที่ตกลงไว้ $xH$. นอกจากนี้ยังหมายความว่าเป็นไปไม่ได้ที่ผู้ตรวจสอบจะพยายามค้นหาว่านี่เป็นข้อผูกมัดต่อข้อใดข้อหนึ่งโดยเฉพาะหรือไม่ $xH$ ค่า.

ผู้พิสูจน์สามารถเปิดความมุ่งมั่นโดยเปิดเผย $xB$ และให้ DLeq พิสูจน์ว่า $xB$ และ $Y$ แบ่งปันรหัสส่วนตัวเดียวกัน $x$ บนจุดกำเนิด $B$ และ $G$ ตามลำดับ เนื่องจากผู้ตรวจสอบทราบแน่นอนว่า $P'==x(H+B)$และรู้แน่นอนว่า $xB$ คำนวณอย่างถูกต้อง (เนื่องจากการพิสูจน์ DLeq) ผู้ตรวจสอบทราบแน่นอนว่าค่าที่ถูกต้องของ $xH$ สามารถคำนวณได้เป็น $P'-xB$.

เดอะ $xH$ มูลค่าที่ตกลงว่าจะเหมือนกันกับ $xH$ มูลค่าที่จะได้รับจากต้นฉบับที่ไม่ได้แก้ไข $\texttt{ECVRF_prove}$ การทำงาน.

โปรดทราบว่าหลังจากเปิดการผูกมัดแล้ว ผู้ตรวจสอบจะใช้ได้เฉพาะสิ่งที่แก้ไขเท่านั้น $\texttt{ECVRF_verify}$ ฟังก์ชันตรวจสอบค่าที่ถูกต้องของ $xH$ ได้ถูกจัดเตรียมไว้ หากผู้ตรวจสอบต้องการหลักฐานแยกต่างหากที่สามารถใช้กับต้นฉบับที่ไม่ได้แก้ไขไม่ว่าด้วยเหตุผลใดก็ตาม $\texttt{ECVRF_verify}$ ฟังก์ชัน ผู้พิสูจน์สามารถจัดเตรียมหลักฐานเพิ่มเติมนี้ในเวลาเดียวกับที่เปิดข้อผูกมัด