コミットメント方式

解きたい問題：中身を今は見せず、後で「嘘をつけない」ようにする

じゃんけんを通信越しにするとき、先に手を送ったほうが不利です。相手はそれを見てから勝つ手を返せる。かといって同時送信は物理的に保証できません。先に値を封じておき、両者が出そろってから開封する――この「後出しを封じる封筒」を暗号で作るのが**コミットメント方式（commitment scheme）**です。

コミットメントは2段階で使います。コミット（commit）：値 m を封じたコミットメント値 c を計算して相手に渡す。開封（reveal / open）：後で m と補助情報（乱数など）を明かし、相手は c が本当に m を封じたものか検証する。この封筒には、封筒として成り立つための2つの性質が同時に要ります。

隠蔽性と束縛性：封筒に求められる2条件

• 隠蔽性（hiding）：コミットメント値 c だけからは、中の m について何も分からない。封を開けるまで中身は秘密。
• 束縛性（binding）：一度 c を出したら、コミットした本人でも後から別の値 m' に開き替えられない。封筒の中身は最初から確定している。

この2つが両立して初めて「封筒」になります。隠蔽性がなければ相手が中を覗けてしまい、束縛性がなければコミットした側が結果を見てから中身を差し替えられる。じゃんけんで言えば、隠蔽性は「相手に手を読ませない」、束縛性は「自分が後から手を変えない」に対応します。

最も素朴な構成：ハッシュコミットメント

一方向ハッシュ関数があれば、コミットメントはほぼそのまま作れます。値 m に**十分長い乱数 r（nonce / ブラインド）**を連結してハッシュした値をコミットメント値にします。

コミット: c = H(m || r)     r は CSPRNG で選ぶ十分長い乱数
公開:     c を相手に渡す
開封:     (m, r) を明かす
検証:     相手は H(m || r) を再計算し c と一致するか確認

• 隠蔽性は原像計算困難性から来ます。c = H(m || r) を見ても、r が十分ランダムなら m を逆算できない。ここで r が必須なのが要点で、r を省いて c = H(m) にすると、m の候補が少ない場合（例：じゃんけんの3手、Yes/No）に総当たりで開けられてしまう。r は候補空間を隠す目くらましです。
• 束縛性は衝突困難性から来ます。同じ c を与える別の (m', r') を見つけるのはハッシュ衝突を突く攻撃 と同じ難しさで、SHA-256 などなら計算量的に困難です。

つまりハッシュコミットメントは計算量的隠蔽・計算量的束縛です。ハッシュの安全性はその内部構造（Merkle–Damgård／スポンジ） に依存するため、H の選定がそのままコミットメントの強度になります。

Pedersen コミットメント：完全隠蔽と準同型

もう一つの代表格が Pedersen コミットメントで、離散対数の難しさを使います。位数 q の巡回群（安全な素数位数の群や楕円曲線群）に、生成元 g と、離散対数の関係が誰にも分からないもう一つの生成元 h（h = g^x の x を誰も知らない）を用意します。

公開パラメータ: 群 G（位数 q）, 生成元 g, h   ※ log_g(h) は未知
コミット: メッセージ m と乱数 r を選び  c = g^m · h^r
開封:     (m, r) を明かす
検証:     g^m · h^r == c を確認

• 完全隠蔽（情報理論的）：r が一様乱数なら h^r が群を一様に覆うため、c はどの m に対しても等確率に生じ得ます。c から m の情報は1ビットも漏れません。無限の計算力があっても中身は特定できない。
• 計算量的束縛：同じ c を m ≠ m' の2通りに開ける、つまり g^m · h^r = g^{m'} · h^{r'} を満たす別解を見つけられると、そこから log_g(h) が計算できてしまいます。これは離散対数問題を解くことに等しく、困難だと仮定します。裏を返せば、h の離散対数を知る者はいくらでも中身を差し替えられるため、h の生成方法（誰も裏口を持たないこと）が安全性の要です。

Pedersen の強力な点は加法準同型です。コミットメント同士を掛けると、中身を足したもののコミットメントになります。

c1 = g^{m1}·h^{r1},  c2 = g^{m2}·h^{r2}
c1 · c2 = g^{m1+m2} · h^{r1+r2}   ← 中身 (m1+m2) のコミットメントに一致

⇒ 値を開かないまま「合計」を検証できる

この性質は、秘密の値を開かずに「合計が0」「範囲内」などを証明する用途で決定的に効きます。検証可能秘密分散（VSS）で各シェアが正しい多項式上にあることを公開検証したり、機密取引で入出金額を隠したまま収支が合うことを示したりできます。

ゼロ知識証明での役割：証明者を言い逃れできなくする

コミットメントが最も本質的に効くのがゼロ知識証明（ZKP） です。多くの対話型証明は「コミット → チャレンジ → 応答」の3手（Σプロトコル）で進みます。証明者はまず秘密に関わる値をコミットして先に固定し、検証者がランダムなチャレンジを投げ、証明者がそれに応じて開封・応答します。

ここでコミットメントの束縛性が要になります。証明者が先に値を封じているため、チャレンジを見てから都合よく答えを作り替えることができません。これが健全性（嘘の証明が通らないこと）を支えます。一方で隠蔽性は、コミットメント値からは秘密が漏れないことを保証し、ゼロ知識性（証明が秘密を明かさないこと）に寄与します。Pedersen の準同型は、値を開かないまま「和が一致する」「範囲に入る」といった関係を証明する範囲証明・算術回路の証明で多用されます。

公平性プロトコルでの役割：後出しじゃんけんを封じる

コミットメントは、複数者が同時に値を出すべき場面で「順番の不公平」を消します。

• コイン投げ（coin flipping）：離れた2者が公平にコインを振るには、各自が乱数ビットをコミットして交換し、両方出そろってから開封し、b1 XOR b2 を結果とします。束縛性で後から自分のビットを変えられず、隠蔽性で相手のビットを見て合わせることもできない。どちらも一方的に結果を操れません。
• 封印入札（sealed-bid auction）：各入札者が金額をコミットして提出し、締切後に一斉開封します。他人の額を見てから自分の額を決める後出しを封じられます。開札時に全員が r 付きで開封し、コミットメントと突き合わせて改ざんがないことを確認します。
• 検証可能な乱数（randomness beacon）：複数者が各自のエントロピーをコミットしてから合成することで、最後に開封する者が結果を選び取る「last-revealer 攻撃」を防ぎます。

これらに共通するのは、「値を確定させる時点」と「値を明かす時点」を分離するという一点です。コミットメントはこの2つの時点を安全に切り離す道具に他なりません。ブロックチェーンの秘匿取引では、Pedersen コミットメントで金額を隠したまま収支の整合を検証し、認証データ構造（Merkle 木） と組み合わせて台帳全体の完全性と秘匿性を両立させます。

まとめ

コミットメント方式は、値をいったん封じて公開し（commit）、後で開封して中身を証明する（reveal）2段階の暗号の封筒です。封筒として成り立つには隠蔽性（開封前は中身が漏れない）と束縛性（後から別の値に開き替えられない）が同時に要りますが、両方を無条件には満たせず、片方を完全にすると他方は計算量的仮定に頼ります。

ハッシュコミットメント H(m || r) は原像困難性で隠蔽・衝突困難性で束縛する軽量な計算量的方式で、r（ブラインド）が候補空間を隠す鍵になります。Pedersen コミットメント g^m · h^r は離散対数を使い、c がどの m にも等確率に生じる完全隠蔽と、コミットメント同士を掛けると中身が足される加法準同型を備え、ゼロ知識証明 や検証可能秘密分散、秘匿取引で重宝します。ZKP では束縛性が「後出しの改ざん」を封じて健全性を支え、コイン投げ・封印入札などの公平性プロトコルでは「値を確定する時点」と「明かす時点」を安全に切り離します。ハッシュの強度はハッシュ関数の内部構造、群の選び方は楕円曲線暗号の内部 と併せて押さえると、封筒の底が抜けない理由まで一本でつながります。