基于数字承诺的去中心化区块链交易方案.pdf

第49 卷第4期2023年8 月文章编号：16 7 3-5196（2 0 2 3)0 4-0 0 95-0 7兰州理工大学学报Journal of Lanzhou University of TechnologyVol.49No.4Aug.2023基于数字承诺的去中心化区块链交易方案李洋*1.2，万洪妤1-2，朱建明1-2，王秀利1-，王友卫1.2（1.中央财经大学信息学院，北京10 0 0 8 1；2.中央财经大学国家金融安全教育部工程研究中心，北京10 2 2 0 6）摘要：区块链是基于区块之间的信息交互的安全交易框架，具有高度的信息公开性和去中心化性.张小艳等提出一种结合数字承诺和加密算法的交易框架，可以实现在交易过程中隐藏交易金额数目的功能，但其存在两个问题：交易过程的记录需要由全功能记账节点来执行，使得交易过程不能实现区块链的去中心化；交易中需要多次传输交易中产生的参数和交易金额，存在数据泄露的风险.因此根据上述问题进行改进，提出了基于数字承诺的多密钥同态加密交易方案.在这个方案中，区块链中的每个节点都执行记账功能，交易金额被隐藏在承诺中，相关参数不需要在网络中多次传输，交易方的账户余额经过同态加密后可以直接在加密状态下进行更新.该交易方案清晰明了并且具有很高的安全性，为区块链中的安全交易框架提供了新的思路。关键词：区块链；数字承诺；同态加密；多密钥中图分类号：TP309Decentralized blockchain transaction scheme based on digital commitmentLI Yang*-,WAN Hong-yu*,ZHU Jian-ming*,WANG Xiu-lil-2,WANG You-wejl-?(1.School of Information,Central University of Finance and Economics,Beijing 100081,China;2.Engineering Research Center of State Fi-nancial Security,Ministry of Education,Central University of Finance and Economics,Beijing 102206,China)Abstract:As a security transaction framework based on information transaction between blocks,block-chain has a high degree of transparency and decentralization.Zhang Xiaoyan et al.proposed a transactionframework which combines digital commitment and cryptographic algorithm,which can hide the transac-tion amount during transaction process.However,there are two problems should be considered.First,the recording of the transaction process is operated by trusted full-functional accounting nodes,making theprocess not decentralized for the blockchain.Secondly,there is also a risk of data leakage during transac-tion process as the transaction amounts and correlation parameters are required to be transmitted multipletimes.In order to solve the above problems,this paper proposes a multi-key homomorphic encryptiontransaction scheme based on digital commitment with every node records transaction data.The transactionamount hidden in the commitment can be directly updated in the encrypted state,and correlation parame-ters do not need to be transmitted multiple times.The transaction scheme proposed in this paper has high-er efficiency and provable security,which provides a novel idea for the security transaction framework inthe blockchain.Key words:blockchain;digital commitment;homomorphic encryption;multi-keys文献标志码：A区块链（Blockchain）作为2 1世纪备受重视的交易框架，代表了一种新的交易理念，其本质上是一种加密货币的交易方式.区块链起源于比特币，是由收稿日期：2 0 2 1-10-2 6基金项目：国家自然科学基金（6 190 6 2 2 0），教育部人文社科项目(19YJCZH178)通讯作者：李洋（198 1-)，男，山西太原人，博士，副教授.Email:Nakamotol1提出的数字加密货币系统，其本质上是一个开放的分布式分散数据库.区块链交易的典型特征是去中心化，区块之间的交易不需要可信的第三方就可以进行.由于区块链中的交易数据都是在网络中广播传输的，区块链强大的传播性会使得交易信息在节点中迅速地传播，可以实现快速交易.例如Fan等2 结合5G时代的信息通信现况，提出了一种基于区块链的高效共享方案.96若区块链中存在不法分子，用户的个人信息则存在被非法窃取或泄露的风险，可能会给用户带来难以估量的损失.因此，合理利用区块链的交易模式实现交易的公平性的同时确保数据安全和隐私，已成为所有使用区块链的用户面临的迫切需求.近年来有研究人员将改良的加密机制运用在区块链交易中，节点之间的交易通常被加密后再被传播.Jemel等3 使用基于属性加密（ABE,attribute-based en-cryption)的思想来实现对区块链上数据的细粒度访问控制，提出了一种分散的访问控制机制。一些交易机制在加密交易数据时使用全同态加密（FHE,fully homomorphic encryption)4,可以抵御后量子攻击，保证了交易数据在传输过程中的安全性.根据Clear等5 在2 0 15年提出的身份基多用户全同态加密方案，涂广升等6-7 实现了不同身份标识下的密文之间的同态运算，可以对交易多方的加密后数据作直接运算.为了保证密文不被不相关者所破解或改写，作者需要安全的验证方案来保证加密机制的正确性.例如张小艳等8 提出一种基于数字承诺（digitalcommitment)的安全交易方案，由可信的全功能记账节点执行记录交易的功能.根据数字承诺协议，可以使用承诺来隐藏交易金额.但此交易方案存在如下问题：1）每次进行交易时，都需要在区块链中多次传输相关参数和关键数据，增加了被其他用户中途截获重放的危险。2）在交易框架引人全功能记账节点，失去了区块链交易的去中心化特点，还出现了验证中心节点权威性的难题,增加了全功能记账节点被集中攻击的危险。3）进行记账行为时记录的是真实的交易数据，不能保证区块链中节点的数据隐私性.本文根据张小艳等8 提出的基于数字承诺的区块链交易金额保密验证方法，结合多密钥全同态加密的思想，实现了基于数字承诺的去中心化区块链交易的验证方法，解决了上述的三个问题：1）本文的交易方案将交易金额隐藏在承诺中，无论是在数字承诺的哪个阶段，都只需要传输加密后的承诺，交易的真实数据不会存在暴露的危险.2）通过改进的数字承诺协议，不需要验证者的存在，只需要交易的双方就可以实现交易的进行.链中的所有节点都执行记账功能，交易数据多重备份不易被篡改.3）通过使用能够标识交易方的密钥对交易方兰州理工大学学报的数据进行加密，执行记账行为时更新的是交易方的账户余额的密文，余额数据不能被除加密方的任何用户所解密.1背景知识1.1数字承诺数字承诺9-10 1是保证通信双方进行可信数据交易的方法，在承诺方和接收方之间进行，数据在传输的过程中不被不相关的用户所知晓.以Perdersen承诺为例，主要包含承诺阶段和打开阶段1）承诺阶段承诺方选择阶数为p的乘法群G，P为大素数，在乘法群G选择两个生成元g和f得loggf无法被双方知晓，即g，fE G.然后，承诺方选择随机数rEZp，定义明文的符号为m，承诺值的符号为y.根据下式计算得到相应的承诺值y：y=gfrmodp承诺方将承诺值发送给接收方，将参数（g，f，p）公开.接收方接收了承诺方发送的密文，但仅根据公开的参数(g，f，p)无法解密承诺得到明文m.2）打开阶段当接收方需要获取承诺方发送的真实数据时，承诺方将再次向接收方发送明文数据.此时发送的真实的明文数据为m，同时发送的数据还有随机数r.接收方可以根据公式y=gfrmodp计算得到对应明文数据m的密文数据y，如果满足下式：y=gfmod p=y=gfmod p(2)则可以证明承诺方两次发送的明文数据一致，可以验证明文数据m的真实性和完整性。1.2同态加密同态加密(HE,homomorphic encryption)是指直接对加密后的密文进行运算后的结果和对加密前的明文进行相应运算后再加密的结果相同.19 7 8 年Rivest 等首次提出了隐私同态的概念，构造了一种支持密文检索的加密机制.假设明文组为m二(m1,m2，,m n),明文组加密后的密文组为c=(C1,C2,c,)=(E,(mi),E,(m2),.,E,(mn).定义加密运算为Ek，解密运算为Dk，k 为加解密过程中使用的密钥，定义两种基本运算u和可以对明文组m和密文组c进行运算.如果加密运算满足下式：E,(u(m1,m2,.,m,)=(E,(mi),E(m2),.,E,(mn)(3)即说明加密运算E具有同态性.同态加密包括加法同态和乘法同态，如果加密方案同时满足加法同第49 卷(1)第4期态和乘法同态，则称之为全同态加密.全同态加密主要分为四个部分：密钥生成算法、加密算法、解密算法和密文计算算法.加法同态是指将式(3)中的基本运算u、替换成加法运算，即满足：nEk(2mi)=-ZE:(m.)i-1i=1乘法同态是指将式(3)中的基本运算u、替换成乘法运算，即满足：E:(IIm:)=-IIE:(m;)i=11.3多密钥全同态加密多密钥全同态加密12-13（MKFHE,multi-keyfully homomorphic encryption)是对全同态加密的改进，可以实现在多个用户对同一数据进行加密运算.用户根据自身属性生成能唯一代表自身的密钥，保证了加密过程的可追溯性和严谨性.经过多个密钥加密后的密文可以一起参与同态运算，从而实现多用户对同一密文进行操作的目的.对加密后密文进行同态运算可以实现在保证明文的保密性的前提下对数据进行改写或正确性验证等操作.运算结束后，可以通过特定算法结合各个用户的密钥计算得到联合密钥，从而对密文执行解密操作得到相应的明文.多密钥同态加密方案通常包含四个算法：密钥生成算法，加密算法，解密算法，联合密钥生成算法.在本文中,经过同态加密后的双方的余额可以进行同态运算，从而不同用户的余额数据在加密后可以进行运算比较.本文中使用的多密钥同态加密方案所需要的算法，大致可以描述如下：1）密钥生成算法KeyGen()：每个用户选择随机数入，作为安全参数，该随机数是各用户唯一拥有的可区分的参数.以入，作为函数输入，生成与每个用户的公钥pk；和私钥ski.2）加密算法Enc()：根据各个用户公开的公钥pk;,可以得到公钥组pk=（p k 1，p k 2，p k,).定义需要加密的数据组为明文组m=（m1，m2，mn）,将公钥组pk和密文m输人，生成加密后的密文组c=(c1,C2,.,Cn).3）同态算法HEnc(：经过多用户的组合密钥加密后的密文组中的密文可以进行同态运算.1.4零知识证明零知识证明14-15 是指证明方无法直接获取真实数据而是相关数据的情况下，也能对计算的正确性进行验证，保证了真实数据不被证明方直接知晓，从李洋等：基于数字承诺的去中心化区块链交易方案(4)(5)i-197而保证了真实数据在传输验证过程中的保密性和安全性。假设交易方A交易前的账户余额数目为CA，交易后的账户余额数目为CA，交易方B交易前的账户余额数目为C，交易后的账户余额数目为CB，如果这4个数据满足如下公式：CA+CB=CA+CB可以在双方都不知道对方所发送的交易金额的确切数值的情况下进行交易正确性的验证.当然，这一假设成立的前提是双方无法通过计算交易前后的账户余额的差值得到对方的交际金额的数量。2夫基于数字承诺的区块链交易方案2.1交易场景假设存在一个如图1所示的场景，在区块链中有两个交易方想要进行一笔交易，交易方A希望转出数量为TA-B的交易金额给交易方B,因此交易方B希望从交易方A处接收数量为TB-A的交易金额.交易双方在获取对方所发送的交易金额后需要对此次交易进行验证，验证成功后，双方向全网发出对此次交易的正确性证明.这次交易过程被交易方A和交易方B在区块链中广播，任何在广播范围内的用户都可以监听到交易的过程，并对交易进行记录.但这个交易存在如下几个问题：1）该交易建立在完全去中心化的交易框架下，公共记账节点不复存在，那么应该采取怎样的记账方式才能实现完全的去中心化记账行为.2）应该如何保证双方所发送的交易金额不被除发送方以外的用户所获取，即交易的接收方也不能直接获取交易金额.3）在交易金额数据保密的情况下，应该采取怎样的验证方法才能验证交易金额的一致性和交易的交易信息用户节点E交易信息交易信息用户节点D交易信息用户节点C图1交易场景示意Fig.1Trading scene(6)区块链网络用户节点A进行交易交易信息用户节点B98合法性。为了解决这三个问题，本文提出了基于数字承诺的去中心化区块链交易方案.该方案的核心是每个用户都在本地进行账本的更新，不需要公共记账节点，不需要考虑公共节点的可靠性问题，各个用户也不需要将加密过程中的相关参数传输给公共节点，减少了区块链中中心节点的存储压力.网络中的所有用户根据自身属性产生私钥，交易方在进行交易之前，向网络中发送使用自已的私钥所加密的交易金额，在确认了交易的正确性后，每个用户进行账本的更新，记录下与交易方所对应的加密后的交易金额.因此在网络中，除了交易方，网络中的其他任何用户虽然可以记录交易方加密后的交易金额，但无法解密密文或获取交易方提出的真实的交易金额.2.2方案设计该方案是在可通信范围内的一个去中心化的区块链网络，不需要具有权威性的中心证明节点，用户进行交易时，不需要向中心节点发送加密过程中需要使用的公共参数.假设现在区块链中的两个用户想要进行一笔交易金额为T的交易，交易双方为交易方A和交易方B.该交易发生在该区块链网络中的两个用户交易方A与交易方B之间，暂不考虑多用户之间的交易行为。在本文的交易方案中，交易金额隐藏在数字承诺中，交易双方互为承诺方和承诺的接收方.以交易方A和交易方B为例，在承诺阶段，承诺方即交易方A将已方加密后的交易金额E（T A-B)发送给接收方即交易方B，接收方先保留并存储加密后的交易金额EA（T A-B），但此时无法验证交易的正确性.同理，交易方B将已方加密后的交易金额Ek（T B-A)发送给接收方即交易方A,交易方A先保留并存储加密后的交易金额Ek（T B A).在打开阶段，双方需要使用自己的密钥对接收到的加密数据进行重加密，即交易方A计算得到EA(Ek（T-A)，交易方B计算得到Ek（E A（T A-B).双方分别将重加密后的结果发送给对方，双方在各自的本地进行验证，如果满足：EkA(Ek(TB-A)=Ek(EA(TA-B)则可以证明交易的正确性，网络中的其他节点可以进行记账.由于上文所提到的加密方式均为同态加密，各个节点在记账时可以直接对某节点的账户余额进行同态运算，更新该节点加密后的账户余额数据.根据图2 所示的交易流程图，将交易的过程分为初始化阶段和交易阶段.兰州理工大学学报交易方A开始立生成公私钥和随机数生成账户余额的密文广播账户余额的密文参数选取承诺阶段打开阶段立账本更新阶段结束图2 交易流程图Fig.2Trading flow chart2.2.1初始化阶段初始化阶段发生在交易之前，是区块链中的节点进行账本更新的过程.定义交易方A的账户余额为MA，生成的公钥为KA、私钥为kA.交易方根据自身属性选择能唯一标识身份的随机数rA，以账户余额MA、公钥KA和随机数rA作为同态加密算法Enc()的输人，生成交易方A的账户余额的密文即BA=Enc(MArA),本文采用了基于椭圆曲线的同态加密算法.交易方A将加密后的账户余额广播到区块链网络中，网络中的其他结点获取密文后进行存储，更新本节点中的交易方A的账户余额数据.以此类推，区块链中的所有节点将自已的账户余额经同态加密运算后发送至网络，被网络中的所有节点接收并存储.经过一轮更新后，区块链中的所有节点中的账本都经过了更新，存储了当前区块链中所有节点的账户余额的密文，2.2.2交易过程交易过程分为参数选取阶段、承诺阶段、打开阶段和账本更新阶段，1）参数选取阶段定义hash()为安全哈希函数，随机选择l、t、S1、S2 作为安全参数，选取大素数p、q 满足p=第49 卷交易方B开始生成公私钥和随机数生成账户余额的密文广播账户余额的密文参数选取承诺阶段打开阶段账本更新阶段结束初始化阶段交易阶段第4期2q十1.Z是阶数为p的正整数集合，对于VEZ，满足：(I hash()|=l p|-1)n(hash()E Z)交易方A选择随机数uEZ，定义gA和fA的生成公式如下，gA和fA均不为1且阶数均为q：gA=hash(uA)=hash(u)mod pb（7)fA=hash(gA)mod p(8)交易方B选择随机数uBEZ，定义gB和fB的生成公式如下，gB和fB均不为1且阶数均为q：u-hash(a)=hash(uw)mod p(9)fg=hash(gB)mod p(10)2）承诺阶段交易双方使用相同的加密算法，为便于区分，定义交易方A使用的加密算法Enc为EncAO，交易方B使用的加密算法Enc()为Encg).交易方A选取随机数rAE-2 q+1,2 q-1,将rAvgA、f A、p 和交易金额TA-B作为承诺算法yA（)的输入，计算得到以承诺形式存储的交易方A所隐藏的交易金额SA，即：A=ya(TA-BrA)=gTA-f mod p(11)将rA和交易金额TA-B作为加密算法EncA（)的输人，计算cA=EncA（T A-B，r A)得到交易方A的交易金额的密文CA.交易方B选取随机数rgE-2 q+1,2 q-1,将rBgB、f B、p 和交易金额TB-A作为承诺算法yB（)的输入,计算得到以承诺形式存储的交易方B所隐藏的交易金额SB，即：Sn=yn(T-Ar)=g mod p(12)将rB和交易金额TB-A作为加密算法 Encg（)的输人，计算CB=EncB（T B-A，r B)得到交易方B的交易金额的密文CB.交易方A使用交易方B的公钥Ek加密承诺SA得到Ek（s A）.将其与交易金额的密文CA的组合(Ek（s A），C A)上传至区块链网络中并进行广播，交易方B接收并存储CA，使用私钥kB解密Ek（s A)得到承诺SA.此时交易方B并不能验证A的真实性，不能直接对交易方A的账本进行更新.同理，交易方B上传（Ek（s B），C B）至区块链网络中,交易方A接收并存储CB并使用私钥kA解密EkA(sB)得到 SB.在承诺阶段，交易双方仅仅存储了对方发送的交易金额的密文，但无法核实双方的交易金额是否李洋等：基于数字承诺的去中心化区块链交易方案3）打开阶段在打开阶段，交易双方分别对在承诺阶段接收的对方发送的交易金额进行重加密操作.交易方A对SB进行重加密，生成先经过交易方B再经过交易方A的承诺SBA；交易方B对SA进行重加密，生成先经过交易方A再经过交易方B的承诺SAB：SBA=SB*fA=gT-f mod p*f=gg,Ti-A fs+rAmod pSAB=SA*fB=gA-B交易方A使用交易方B的公钥Ek对SBA加密生成Ek（s BA）并发送给交易方B.交易方B使用交易方A的公钥EkA对SAB加密生成EkA（SA B）并发送给交易方A.交易双方分别使用自己已的私钥解密密文后得到对方经过重加密的承诺，构造零知识证明公式：S BA=g,T-A fs+rAmod p=BA4）账本更新阶段若等式成立，则说明交易双方提出的交易金额相同，可以证明交易的正确性.交易双方向区块链网络中发送交易许可的证明，区块链中的各个用户执行对账本的更新操作.以交易方A的账户余额BA为例，进行如下计算：B=BA-CA得到交易方A在交易后的账户余额的加密数据B更新了交易方A的账本.3方案分析3.1正确性分析3.1.1验证交易的正确性该交易方案可以判断交易方A和交易方B提出的交易金额的数目是否一致.交易双方将交易金额隐藏在数字承诺之中，并根据生成承诺算法的同态性，可以构造式(5)的零知识证明：g对双方提出的交易金额进行比较.如果双方提出的交易金额的数目相同，则零知识证明成立，可以99一致，因此无法确认交易的合理性，无法确定是否要进行该交易。(13)(14)(15)(16).100证明交易的正确性，交易双方向网络中发送交易正确的信号，网络中的各个节点进行账本的更新.如果双方提出的交易金额的数目不同，则零知识证明不成立，交易失败，交易双方向网络中发送交易失败的信号，各个节点不进行账本的更新.3.1.2账本更新的正确性区块链中的每个节点对链上的各个节点的账户余额进行记录，各个节点的账户余额经由自身属性产生的密钥进行同态加密后保存.每当进行一笔交易时，接收并存储交易双方发送的交易金额的密文，以交易方A为例，根据式(16)对交易方的余额密文进行更新.只有当一笔交易成立时，各个节点对交易方的账户余额进行同态运算，更新账户余额的密文，否则交易失败，不会对账户进行更新.由于各个节点的账户余额和交易金额都采用相同的同态加密机制，对某节点更新后的账户余额的密文解密后得到的数据就是该节点真实的账户余额.当节点需要获取自己的账户余额数据时，使用自己的私钥kA计算m=Dec(CA)即可得到真实的账户余额.3.2安全性分析3.2.1验证承诺的安全性当交易方进行一笔交易时，承诺在交易双方之间传输，并且都经过了接收方的公钥加密，只有承诺的接收方可以解密获取承诺.在生成承诺时和在打开阶段对承诺进行重加密时，都引入了能唯一代表用户的随机数r，具有唯一的标识性.Perdersen承诺的安全性建立在离散对数问题的基础上，本文中数字承诺可以根据椭圆曲线离散对数问题证明承诺的安全性.目前最高效的可以破解基于力阶乘法群的离散对数困难问题的算法需要大约O(Vp一1)次群运算.证明承诺y1、y 2 对应的明文相同的困难度可以用公式表示为PK(y1,y2,p)=(3t,r1,r2:y1=gf mod py2=gf2mod p)因此，可以证明只有唯一的可以计算得到y,任何mm都无法得到y=y.在知道y和p的情况下，非相关者无法破译m和r的数值.保证了承诺在传输过程中和承诺生成过程中的安全性，不能被不相关者破解或冒充.3.2.2账本更新的安全性在本文的交易方案中，账户余额数据以被同态加密算法加密后的状态在传输或存储.基于有限域的椭圆曲线和复杂的椭圆曲线离散对数困难问题，兰州理工大学学报该加密方案具有已证明的安全性，无法被破解.有且只有交易方可以使用私有密钥进行解密，其他节点不能获取节点的真实账户余额和交易金额.3.3性能分析本文在解决了张小艳等8 提出的安全交易方案中的一些不足之处，同时还在效率上有所提升.Li16-17等结合Paillier算法和零知识证明实现了交易的安全性验证功能，张小艳8 等结合基于椭圆曲线的同态加密算法和零知识证明实现了交易的安全性验证和账本更新，本文结合基于椭圆曲线的同态加密算法和零知识证明实现了完全去中心化交易的安全性验证和账本更新.在本文的承诺验证过程中，进行了4次加密运算；账本更新过程中，进行了2 次同态加密运算.假设在阶数为的乘法群G中，为大素数,由基于椭圆曲线的同态加密算法的计算复杂度可知，本文的交易过程的计算复杂度为3 6 十2 4logp.基于椭圆曲线的同态加密方案相较于RSA加密算法产生的密钥更小，因此产生密钥的速度非常快，在产生密钥和初始化的过程中具有绝对的效率优势.因此，忽略密钥生成和初始化过程中的开销，可以得到表1的性能分析结果。表1性能分析结果Tab.1Performance analysis results交易方案计算复杂度文献16 方案9logp文献17 方案31ogp文献8 方案36+66log p本文方案36+24logp根据表1可以说明，本文提出的交易方案相较于其他算法在效率上有一定的优势。4结论随着区块链技术的日趋成熟和应用的广泛普及，用户的个人信息的隐私性也越来越多地得到重(17)视.区块链其本身存在的技术缺漏不断显现，强大的数据挖掘和分析给个人隐私保护带来了潜在的威胁安全性攻击的事件频频发生，区块链交易过程中的不安全问题成为了区块链领域中呕需解决的难题.本文建立了在可通信范围内的一个去中心化的区块链网络，不需要具有权威性的中心证明节点，用户进行交易时，不需要向中心节点发送交易过程中的相关参数.在支持数据的隐私性的前提下，将数字承诺的加密机制和全同态加密机制结合，实现了对交易的正确性和合理性的验证，可以实现账本在各个节第49 卷去中心化金额隐藏一X第4期点中以加密形式进行更新.本文提出的基于数字承诺的去中心化区块链交易方案是在现有交易方案的基础上进行改良，为区块链中的安全交易方案提供了新的思路.致谢：本文得到中央财经大学新兴交叉学科建设项目的资助，在此表示感谢。参考文献：1NAKAMOTO S.Bitcoin:A peer-to-peer electronic cash sys-tem EB/OL.(2008)2021-08-10.https:/bitcoin.0org/bit-coin.pdf.2FAN K,REN Y,WANG Y,et al.Blockchain-based efficientprivacy preserving and data sharing scheme of content-centricnetwork in 5G JJ.IET Communications,2017,12(5):527-532.3JEMEL M,SERHROUCHNI A.Decentralized access controlmechanism with temporal dimension based on blockchainCJ/2017 IEEE 14th International Conference on e-BusinessEngineering(ICEBE).Shanghai:IEEE Press,2017:177-182.4（GENTRY C.Fully homomorphic encryption using ideal latticesC/Proceedings of the 4lst Annual ACM Symposium onTheory of Computing(STOC 2009).Bethesda:Ls.n.J,2009:169-178.5CLEAR M,McGOLDRICK C.Multi-identity and multi-keyleveled FHE from learning with errorsCJ/2015 AnnualCryptology Conference.Berlin:Springer,2015:630-656.6涂广升，杨晓元，周潭平.高效的身份基多用户全同态加密方案J.计算机应用，2 0 19，3 9（3）：7 50-7 55.李洋等：基于数字承诺的去中心化区块链交易方案1017 白平，张薇.多属性环境下基于容错学习的全同态加密方案J.计算机应用，2 0 18,3 8（5）：13 7 7-13 8 2.8张小艳，李秦伟，付福杰.基于数字承诺的区块链交易金额保密验证方法J.计算机科学，2 0 2 1,7（2)：1-9.9PEDERSEN T P.Non-interactive and information-theoretic se-cure verifiable secret sharing C/Annual International Cryp-tology Conference.Berlin,Heidelberg:Springer,1991:129-140.10董贵山，陈宇翔，范佳，等.区块链应用中的隐私保护策略研究J.计算机科学，2 0 19，46（5）：2 9-3 5.11RIVEST R L,ADLEMAN L,DERTOUZOS M L.On databanks and privacy homomorphisms J.Foundations of Se-cure Computation,1978,4(11):169-180.12LOPEZ-ALT A,TROMER E,VAIKUNTANATHAN V.On-the-fly multiparty computation on the cloud via multikeyfully homomorphic encryption C/Proceedings of the 44stAnnual ACM Symposium on Theory of Computing(STOC2012).New York:Tidalwave Productions,2012:1219-1234.13李瑞琪，贾春福.一个基于NTRU的多密钥同态加密方案J.密码学报，2 0 2 0，7（5）：6 8 3-6 97.14FEIGE U,FIAT A,SHAMIR A.Zero-knowledge proofs of i-dentity J.Journal of Cryptology,1988,1(2):77-94.15SCHNORR C P.Efficient signature generation by smart cardsJ.Journal of Cryptology,1991,4(3):161-174.16李龚亮，贺东博，郭兵，等.基于零知识证明的区块链隐私保护算法J.华中科技大学学报（自然科学版），2 0 2 0，48（7）：112-116.17WANG Q,QIN B,HU J,et al.Preserving transaction privacyin bitcoin J.Future Generation Computer Systems,2017,8(26):793-804.