有限域、循环群、离散对数与 Pedersen 承诺

maocred@gmail.com (Halois) — Tue, 02 Dec 2025 08:00:00 +0800

Reading: Pedersen commitments as the first concrete algebraic interface in the ZK series.

上一篇把 relation、instance、witness、soundness、zero knowledge、knowledge soundness 的接口钉住了。这一篇开始把这些抽象对象落到具体代数对象上，但只选最小够用的一组: 标量域 $\mathbb{Z}_q$、一个 prime-order 循环群 $G$、两个生成元 $g,h$，以及一个承诺式子

$$ C = g^m h^r. $$

这个式子看起来很短，但后面几篇会不断回到它。消息 $m$ 和随机数 $r$ 都是标量；群元素 $C$ 是公开 instance；opening 则是 witness $(m,r)$。如果把这些对象先写清楚，后面再看表示证明、Schnorr、Fiat-Shamir 时，很多结构就不再像“新协议”，而只是同一个关系换了一个验证方式。

Pedersen 承诺最值得写的不是“它同时 hiding 和 binding”这句口号，而是两条具体推导: 第一，为什么对固定消息，随机 $r$ 会把 $g^m h^r$ 推成群上的均匀分布，因此得到 perfect hiding；第二，为什么一旦有人给出两组不同的 opening，就能从

$$ g^m h^r = g^{m'} h^{r'} $$

直接解出 $\log_g h$，因此 binding 只能是 computational 的。¹ ²

Commitment on As it was

有限域、循环群、离散对数与 Pedersen 承诺