Xác minh một dự đoán về tương lai

Tôi đang cố gắng tìm một thuật toán để chứng minh rằng ai đó biết một số thông điệp bí mật ngắn (ví dụ như một số dự đoán về tương lai) trước khi tiết lộ nó.

Ví dụ:

Alice biết nhiệt độ bên ngoài sẽ là bao nhiêu vào ngày mai, cô ấy muốn chứng minh với Bob rằng cô ấy đã có nó mà không tiết lộ con số cho đến ngày mai. Mặt khác, Bob cần Alice để không thể giả mạo dự đoán của cô ấy sau khi thực tế xảy ra.

Tôi đã đưa ra một kế hoạch dự thảo như sau:

1. Alice tạo ra Dài chuỗi ngẫu nhiên $r_s, r_p$.

2. Alice gửi $hash(r_s . r_p . T)$, và $r_p$ gửi Bob.

   Đây $T$ là nhiệt độ dự đoán (một số có hai chữ số).

3. Ngày hôm sau Alice gửi $r_s$, và $T$ cho Bob, để bây giờ anh ấy có thể xác minh rằng Alice đã biết $T$ ở bước 2, chứng tỏ Alice đã dự đoán tương lai.

Có ổn không?, hoặc bạn có thể chỉ cho tôi một giải pháp tốt hơn không? Nếu nó ổn, những thuộc tính đặc biệt nào nên $hash$ chức năng có nếu có, ngoại trừ được bảo mật bằng mật mã?

• Bật nên lưu ý rằng một phép nối đơn giản chỉ với $r_s$ sẽ không làm việc;

  Người đi làm có thể đánh lừa người xác minh. Điều này là do nối đơn giản. Ví dụ $H(\texttt{100110||11})$ là cam kết với dự đoán nhiệt độ là $3^\circ$ ( $\texttt{11}$ ở dạng nhị phân). Nếu nhiệt độ hóa ra $11^\circ$ thì người đi làm có thể tuyên bố rằng bí mật $r_s = \texttt{1001}$ và dự đoán là $\texttt{1011}$. Điều này hoạt động vì yêu cầu mới của họ cũng có thể được coi là hợp lệ; $H(\texttt{1001||1011})$

  Để giảm thiểu điều này; hoặc sử dụng

  • một dấu phân cách được xác định trước công khai như $\texttt{"<dấu phân cách>}"$

    $$H(\texttt{100110<dấu phân cách>11})$$

    hoặc

  • giải phóng kích thước của $r_s$ như một phần của cam kết.

  Có, sử dụng ít nhất 128-bit để ngay cả người khai thác Bitcoin cũng cần xung quanh $2^{34}$-năm để tìm giá trị cam kết có thể có miễn là hàm băm được sử dụng cung cấp ít nhất 128-bit khả năng chống ảnh trước. Sử dụng SHA-256 vì chúng tôi vẫn tin rằng SHA-256 có bảo mật hình ảnh trước khoảng 256-bit.

  Ngoài ra, tốt hơn là sử dụng $\operatorname{HMAC-SHA256}$ với $r_s$ làm chìa khóa hoặc sử dụng tốt hơn $\operatorname{KMAC}$ sau đó $\operatorname{SHA-3}$ đó là xây dựng dễ dàng hơn $\operatorname{HMAC}$, mặc dù HMAC vẫn là một con thú.

Điều này là do việc xuất bản của $r_p$ đó là viết tắt của dấu phân cách. Tuy nhiên, tốt hơn là sử dụng $\operatorname{HMAC,KMAC}$.

Nếu một người vẫn muốn sử dụng hàm băm mật mã và lo ngại về các cuộc tấn công mở rộng độ dài đối với các hàm băm, hãy sử dụng SHA-3, BLAKE2 hoặc SHA-512/256. Trên thực tế, không có gì phải lo sợ vì cuộc tấn công mở rộng độ dài sẽ thay đổi kết quả băm.

Thay vì sử dụng một hàm băm khác cho các nền tảng khác nhau, hãy sử dụng tách miền;

$$H(\texttt{fixedDomainSeprationTextForPlatfromA}||r_s||r_p||T)$$