We note that since these signature

We note that since these signature and verification algorithms need to compute U, they both run
in time O(t), which is slightly super-polynomial.
Proposition 4.3 Suppose that S is existentially unforgeable under a chosen message attack in the
Random Oracle Model. Then S
u is also existentially unforgeable under a chosen message attack in
the Random Oracle Model, but implementing it with any function ensemble yields a scheme that is
totally breakable under chosen message attack and existentially forgeable under key-only attack.
Proof: Since RU is evasive, then from Proposition 4.1 it follows that Su is secure in the Random
Oracle Model. On the other hand, suppose that one tries to replace the random oracle in the
scheme by an ensemble Fi (where i be the index in the enumeration). An adversary, given a seed s
of a function in Fi can then set msg = hi, si and output the pair (msg, ), which would be accepted
as a valid message-signature pair by Vu. Alternatively, it can ask the signer for a signature on this
message msg, and so obtain the secret signing-key.
4.3 Third step
We now use CS-proofs to construct a new signature scheme that works in the Random Oracle
Model. This construction is similar to the one in Subsection 4.2, except that instead of checking
that (msg, O(msg)) ∈ RU, the signer/verifier gets a CS-proof of that claim, and it only needs to
verify the validity of that proof. Since verifying the validity of a CS-proof can be done much more
efficiently than checking the claim “from scratch”, the signing and verifications algorithms in the
new scheme may work in polynomial time. On the other hand, when the scheme is implemented
using the function ensemble Fi, supplying the adequate CS-proof (i.e., for (msg, fs i(msg)) ∈ RU)
only requires polynomial-time (i.e., time polynomial in the time it takes to evaluate fs i). This yields
the following:
Theorem 4.4 There exists a signature scheme that is existentially unforgeable under a chosen
message attack in the Random Oracle Model, but such that when implemented with any function
ensemble, the resulting scheme is existentially forgeable using key-only attack and totally breakable
under chosen message attack.
We note again that unlike the “signature scheme” presented in Subsection 4.2, the signature scheme
presented below works in polynomial-time.

Kết quả (Việt) 1:

Chúng tôi lưu ý rằng vì các chữ ký và xác minh thuật toán cần phải tính toán U, cả hai đều chạytrong thời gian O(t), mà là một chút siêu đa thức.Döï Luaät 4.3 giả sử S là existentially unforgeable bị tấn công thông điệp được lựa chọn một trong cácMẫu ngẫu nhiên Oracle. Sau đó Su cũng là existentially unforgeable theo một cuộc tấn công được lựa chọn tin nhắnOracle mẫu ngẫu nhiên, nhưng thực hiện nó với toàn bộ chức năng bất kỳ một đề án là sản lượng.hoàn toàn bể bị tấn công được lựa chọn tin nhắn và existentially forgeable bị tấn công chỉ có chìa khóa.Bằng chứng: Kể từ khi RU là lẫn tránh, sau đó từ Döï Luaät 4.1 nó sau Su là an toàn trong ngẫu nhiênMô hình Oracle. Mặt khác, cho rằng một trong những cố gắng để thay thế nhà tiên tri ngẫu nhiên trong cácđề án dàn Fi (nơi tôi là các chỉ số trong điều tra). Một kẻ thù, được đưa ra một hạt giống smột chức năng trong Fi có thể sau đó thiết lập msg = hi, si và đầu ra cặp (msg,), mà sẽ được chấp nhậnnhư là một cặp hợp lệ thư-chữ ký của vũ. Ngoài ra, nó có thể yêu cầu người ký chữ ký nàytin nhắn msg, và như vậy có được bí mật đăng-chìa khóa.4.3 bước thứ baChúng tôi bây giờ sử dụng CS-bằng chứng để xây dựng một chương trình chữ ký mới các công trình trong Oracle ngẫu nhiênMô hình. Xây dựng này là tương tự như một trong các tiểu mục 4.2, ngoại trừ thay vì kiểm trađó (msg, O(msg)) ∈ RU, người ký tên chung/verifier được CS-chứng minh rằng yêu cầu bồi thường, và nó chỉ cầnxác minh tính xác thực của bằng chứng đó. Kể từ khi xác nhận tính hợp lệ của một chứng minh CS có thể được thực hiện nhiều hơn nữahiệu quả hơn so với kiểm tra yêu cầu bồi thường "từ đầu", ký kết và minh thuật toán trong cácđề án mới có thể làm việc trong thời gian đa thức. Mặt khác, khi đề án được thực hiệnbằng cách sử dụng toàn bộ chức năng Fi, cung cấp đầy đủ chứng minh CS (tức là, đối với (msg, fs i(msg)) ∈ RU)chỉ đòi hỏi thời gian đa thức (tức là, thời gian đa thức trong thời gian để đánh giá fs tôi). Điều này mang lạiCác tùy chọn sau:Định lý 4.4 có tồn tại một chương trình chữ ký đó là existentially unforgeable theo một lựa chọnthông điệp cuộc tấn công trong mô hình Oracle ngẫu nhiên, nhưng như vậy mà khi thực hiện với bất kỳ chức năngtoàn bộ, kết quả đề án là existentially forgeable bằng cách sử dụng tấn công chỉ có chìa khóa và hoàn toàn Bểbị tấn công được lựa chọn tin nhắn.Chúng tôi lưu ý lại rằng không giống như các "chữ ký đề án" trình bày trong phần phụ 4.2, chương trình chữ kýtrình bày dưới đây các công trình trong thời gian đa thức.

Kết quả (Việt) 2:

Chúng tôi lưu ý rằng kể từ khi những chữ ký và xác minh các thuật toán cần phải tính toán U, cả hai đều chạy
trong thời gian O (t), đó là hơi siêu đa thức.
Dự 4.3 Giả sử S là existentially làm giả dưới một cơn nhắn được lựa chọn trong
Random Oracle Model. Sau đó S
u cũng là existentially làm giả dưới một cơn nhắn được lựa chọn trong
các ngẫu nhiên Oracle Model, nhưng thực hiện nó với bất kỳ chức năng quần thể mang lại một chương trình đó là
hoàn toàn vỡ bị tấn công tin được lựa chọn và existentially forgeable dưới phím chỉ tấn công.
Chứng minh: Từ RU là lảng tránh, sau đó từ Dự 4.1 nó sau đó Su là an toàn trong Random
Oracle Model. Mặt khác, giả sử rằng một trong những cố gắng để thay thế cho oracle ngẫu nhiên trong
Đề án của một bộ quần áo đồng Fi (nơi mà tôi có các chỉ số trong kiểu liệt kê). Một kẻ thù, cho một hạt giống
sau đó của một hàm trong Fi có thể thiết lập msg = hi, si và đầu ra cặp (msg,?), Mà sẽ được chấp nhận
như là một cặp nhắn chữ ký hợp lệ của Vũ. Ngoài ra, nó có thể yêu cầu người ký cho một chữ ký trên này
msg tin nhắn, và do đó có được những bí mật ký-key.
Thứ ba bước 4.3
Bây giờ chúng ta sử dụng CS-bằng chứng để xây dựng một sơ đồ chữ ký mới mà làm việc trong các ngẫu nhiên Oracle
Model. Xây dựng này là tương tự như tại tiểu mục 4.2, ngoại trừ việc thay vì kiểm tra
đó (msg, O (msg)) ∈ RU, người ký / xác minh được một CS-bằng chứng khẳng định điều đó, và nó chỉ cần
xác minh tính hợp lệ của mà bằng chứng. Kể từ khi xác minh tính hợp lệ của một CS-bằng chứng có thể được thực hiện nhiều hơn nữa
hiệu quả hơn so với việc kiểm tra các tuyên bố "từ đầu", việc ký kết và xác minh các thuật toán trong
kế hoạch mới có thể làm việc trong thời gian đa thức. Mặt khác, khi đề án này được thực hiện
bằng cách sử dụng Fi chức năng ấn tượng, cung cấp đầy đủ CS-proof (tức là, cho (msg, fs i (msg)) ∈ RU)
chỉ đòi hỏi thời gian đa thức (tức là, thời gian đa thức trong thời gian cần thiết để đánh giá fs i). Điều này mang lại
như sau:
Định lý 4.4 Có tồn tại một chương trình chữ ký đó là existentially làm giả dưới một lựa chọn
tấn công tin nhắn trong Random Oracle Model, nhưng như vậy mà khi thực hiện với bất kỳ chức năng
ấn tượng, chương trình kết quả là existentially forgeable sử dụng khóa-chỉ tấn công và hoàn toàn vỡ
bị tấn công nhắn được lựa chọn.
Chúng tôi lưu ý một lần nữa rằng không giống như "án chữ ký" trình bày tại tiểu mục 4.2, chương trình chữ ký
được trình bày bên dưới công trình trong thời gian đa thức.