Что ж, один из подходов заключается в том, чтобы обе стороны генерировали и публиковали обязательства, а также совместно публиковали доказательство с нулевым разглашением того, что оба обязательства имеют одинаковую ценность.
Вот один из подходов к этому: оба $А$ и $В$ генерировать и публиковать обязательства Педерсена; Например, $А$ выбирает случайное значение $г$ и публикует $C_A = г^к ч^г$, пока $В$ выбирает случайное значение $s$ и публикует $C_B = г^к ч^с$ (где это делается в группе, где дискретные логи даются тяжело, и никто не знает дискретного лога $ч$ в отношении $г$).
Доказательство с нулевым разглашением того, что они фиксируют одно и то же значение, является доказательством знания значения. $v$ такой, что $C_A C_B^{-1} = ч^v$ (что для честных обязательств $v = r-s$); если одна сторона примет другое значение, никто не узнает такое значение $v$, а значит, никто (даже $А, Б$ совместно) сможет опубликовать такое доказательство. Обратите внимание, что $C_A C_B^{-1}$ может быть вычислено любым, у кого есть доступ к двум обязательствам.
Казалось бы, для двух сторон довольно просто работать вместе, чтобы сгенерировать такое доказательство Шнорра:
$А$ выбирает случайное значение $а$ и отправляет $h^a$ к $В$; $В$ выбирает случайное значение $b$ и отправляет $ч^б$ к $А$.
Оба они вычисляют общее значение $c = \text{Хэш}(ч^а ч^б)$
$А$ вычисляет $х = а + с г$и публикует $х, ч^а$. $В$ вычисляет $y = b - cs$и публикует $у, ч^б$.
Пара $h^ah^b, х+у$ было бы действительным доказательством Шнорра; верификатор проверит, если $h^{x+y} = (h^ah^b) (C_A C_B^{-1})^{\text{Hash}(h^ah^b)}$
В настоящее время:
Я считаю, что доступ к «полудоказательствам» $х, ч^а$ и $у, ч^б$ не дает никакого представления ни об одном из обязательств.
Этот протокол защищен от одного злоумышленника; если (сказать) $А$ был честным, то, если доказательство с нулевым разглашением подтвердится, $В$ должно быть зафиксировано одно и то же значение. На самом деле, даже если обе стороны злонамеренны, они все равно не могут по отдельности фиксировать разные значения.