Как сказал Марк, теоретически это решаемая задача (мы знаем, как это сделать, известные методы непросты).
Однако, немного подправив ситуацию, мы можем упростить эту задачу.
Мое решение основано на обязательствах Педерсена; они основаны на большой группе простого размера (где проблема дискретного журнала сложна) и двух членах группы $г$ и $ч$ (которые не имеют известной взаимосвязи; в частности, никто не знает решения $х$ к $ г ^ х = ч $).
Приверженность Pedersen ценностям $х$ это значение $ г ^ х ч ^ г $, для некоторого случайного $г$; характеристики; мы можем выдать обязательство (опубликовав значение $ г ^ х ч ^ г $), а затем открыть обязательство (опубликовав значения $х, г$; любой может убедиться, что эти ценности дают обязательство.
Кто-то смотрит на $ г ^ х ч ^ г $ не могу определить что $х$ равно (фактически, для любого возможного значения $х$, есть значение $г$ это придало бы этому обязательству ценность)
Эмитент не может открыть обязательство двумя способами; то есть, если он выдает обязательство $ г ^ х ч ^ г $, он не может найти значение $г'$ такой, что $g^{x'} ч^{r'}$ оценивается в одно и то же значение.
Имея это в виду, он мое предложение:
Чарли отправляет Алисе следующие значения:
$x_1$ и $x_2$
Подписанные обязательства по этим ценностям, то есть подписанные копии $г^{x_1} ч^{r_1}$ и $г^{x_2}ч^{r_2}$
Случайные значения $r_1$ и $r_2$ (поскольку он уже дал значения, которые он обязался использовать, предоставление ему этих случайных значений безвредно)
Его открытый ключ
Затем Алиса вычисляет $х = х_1 + х_2$, и генерирует доказательство с нулевым разглашением, что сумма двух значений, переданных $г^{x_1} ч^{r_1}$ и $г^{x_2}ч^{r_2}$ является $х$. Это можно сделать, сгенерировав доказательство того, что Алиса знает значение $s$ такой, что $h^s = g^{x_1} h^{r_1} \cdot g^{x_2}h^{r_2} \cdot g^{-x}$; Алиса может сгенерировать такое доказательство, только если $x_1 + x_2 = x$
Затем Алиса пересылает Бобу значение $х$, два подписанных обязательства, открытый ключ (чтобы Боб мог проверить подписи) и доказательство с нулевым разглашением (которое также может проверить Боб).
Это, кажется, решает конечную цель (и довольно просто; есть некоторые детали, на которые я лишь неопределенно махнул рукой, однако небольшое исследование выявит их).
