Схема обязательства

Предположим, Алиса и Боб хотят разрешить спор путем подбрасывания монеты. Если они физически находятся в одном месте, процедура проходит так:

1. Алиса высказывает предположение о результате броска монеты;
2. Боб подбрасывает монету;
3. Если предположение Алисы правильное, она выигрывает, иначе выигрывает Боб.

Если Алиса и Боб не находятся в одном месте, возникает проблема в разрешении данного спора. После того как Алиса сделала предположение и сказала его Бобу, он может соврать о результате броска монеты так, что итог станет для него выигрышным. Точно так же, если Алиса не объявляет о своем предположении Бобу, после того, как Боб подбрасывает монету и объявляет результат, Алиса может сообщить, что она предсказала тот результат, который был выигрышным для неё. Алиса и Боб могут использовать схему обязательства в данной процедуре, что позволит им обоим доверять результату:

1. Алиса высказывает предположение о броске монеты, но отправляет Бобу только обязательство;
2. Боб подбрасывает монету и сообщает результат Алисе;
3. Алиса раскрывает свое предположение;
4. Боб проверяет, что предположение Алисы соответствует её обязательствам;
5. Если предположение Алисы совпадает с результатом броска монеты, о котором сообщил Боб, Алиса побеждает, иначе побеждает Боб.

Чтобы Боб мог искажать результаты в свою пользу, он должен взломать скрытое обязательство. Если схема обязательства построена хорошо, то Боб не может исказить результаты. Также Алиса не может повлиять результат, если она не может изменить значение, которое она предсказывает до броска и связывает обязательством[4][5].

Реальное применение этой проблемы существует, когда люди (часто в средствах массовой информации) принимают решение и дают ответ в «запечатанном конверте», который открывается позднее.

Одним из широко известных конкретных примеров является использование схемы обязательства в доказательствах с нулевым разглашением. В данных протоколах обязательства используются для двух основных целей: во-первых, чтобы позволить отправителю участвовать в схемах, где проверяющему будет предоставлен выбор того, что проверить, а отправитель покажет только то, что соответствует выбору проверяющего. Схемы обязательств позволяют отправителю заранее указывать всю информацию и раскрывать только то, что должно быть известно позже в доказательстве[6]. Обязательства также используются в доказательствах с нулевым разглашением проверяющим, который часто указывает свой выбор заранее в обязательстве. Это позволяет составлять доказательства с нулевым знанием параллельно, не раскрывая лишнюю информацию отправителя получателю[7].

Другое важное применение схема обязательства находит в реализации проверяемого разделения секрета, который является критически важным базовым блоком протокола конфиденциального вычисления. В схеме разделения секрета сообщение разделяется на части — «акции», и каждая из нескольких сторон получает «акции», которые должны быть скрыты от всех, кроме обладателя конкретной части. Секрет может воссоздать только коалиция участников из первоначальной группы, причём входить в коалицию должно не менее некоторого изначально известного количества участников. Совместное использование секретных данных лежит в основе многих протоколов для безопасных вычислений: например, для безопасного вычисления функции с некоторым общим вводом, где используются секретные общие ресурсы. Тем не менее, если злоумышленники будут генерировать общие ресурсы, может возникнуть уязвимость и необходимо будет проверять правильность этих ресурсов. В проверяемой схеме разделения секрета распространение секрета сопровождается обязательствами по отдельным акциям. Обязательства не раскрывают ничего, что могло бы помочь злоумышленникам, но позволяют каждой отдельной стороне проверить, верны ли их доли, и отсеять злоумышленников[8].