Shai’s ConclusionsThe negative resu

Shai’s Conclusions
The negative results in this work (and in particular Theorems 4.4 and 4.6) leave me with an uneasy
feeling: adopting the view that a good theory should be able to explain “the real world”, I would
have liked theoretical results that explain the apparent success of the random oracle methodology
in devising useful, seemingly secure, cryptographic schemes. (Indeed, this was one of the original
motivations for this work.) Instead, in this work we show that security of cryptographic schemes
in the Random Oracle Model does not necessarily imply security in “the real world”. Trying to
resolve this apparent mismatch, one may come up with several different explanations. Some of
those are discussed below:
• The current success of this methodology is due to pure luck: all the current schemes that are
proven secure in the Random Oracle Model, happen to be secure also in the “real world” for
24
This explains the fact the Random Oracle Methodology is in fact used in practice. In also explains why many
reasonable schemes, the security of which is still an open problem, are secure in the Random Oracle Model: good
suggestions should be expected to pass a sanity check.
25
Would I, personally, endorse this method is a different question. My answer is very much time-sensitive: Given
the current misconceptions regarding the Random Oracle Model, I would suggest not to include, in currently published
work, proofs of security in the Random Oracle Model. My rationale is that the dangers of misconceptions (regarding
such proofs) seem to out-weight the gain of demonstrating that the scheme passed a sanity check. I hope that in the
future such misconceptions will be less prevailing, at which time it would be indeed recommended to report on the
result of a sanity check.
32
no reason. However, our “common sense” and sense of aesthetics must lead us to reject such
explanation.
• The current apparent success is a mirage: some of the schemes that are proven secure in the
Random Oracle Model are not really secure, and attacks on them may be discovered in the
future.
This explanation seems a little more attractive than the previous one. After all, a security
proof in the Random Oracle Model eliminates a broad class of potential attacks (i.e., the ones
that would work also in the Random Oracle Model), and in many cases it seems that attacks
of this type are usually the ones that are easier to find. Hence, it makes sense that if there
exists a “real life” attack on a scheme that is secure in the Random Oracle Model, it may be
harder – and take longer – to find this attack.
• Another possible explanation is that the random oracle methodology works for the current
published schemes, due to some specific features of these schemes that we are yet to identify.
That is, maybe it is possible to identify interesting classes of schemes, for which security in
the Random Oracle Model implies the existence of a secure implementation.26
Identifying such interesting classes, and proving the above implication, is an important – and
seemingly hard – research direction. (In fact, it even seems to be hard to identify classes of
schemes for which this implication makes a reasonable conjecture.)
As we illustrate in the introduction, we could attribute the “mismatch” between the apparent
security of the practical schemes that were devised using the random oracle methodology and the
(proven) insecurity of our contrived schemes, to our current lack of knowledge regarding “what
can be done with a code of a function”. One can hope that improving the understanding of
this point could shed light also on the relations between the security of ideal schemes and their
implementations. (I.e., let us either find new types of attacks, as per the second point above, or
identify cases where attacks are infeasible, as per the third point.)
For now, however, I view the random oracle methodology as a very useful “engineering tool” for
devising schemes. As a practical matter, I would much rather see today’s standards built around
schemes that are proven secure in the Random Oracle Model, than around schemes for which no
such proofs exist. If nothing else, it makes finding attacks on such schemes a whole lot harder.
Acknowledgments
We wish to thank Silvio Micali for enlightening discussions. We thank Clemens Holenstein for
uncovering a flaw in an earlier version of the proof of Proposition 5.5. Special thanks to Kobbi
Nissim for telling us about his related results (i.e., Propositions 5.7 and 5.8) and permitting us to
include them in this write-up. We also thank the reviewers for their useful comments.

Kết quả (Việt) 1:

Kết luận của ShaiCác kết quả tiêu cực trong công việc này (và đặc biệt định lý 4.4 và 4.6) để lại cho tôi một khó chịucảm thấy: việc áp dụng các quan rằng một lý thuyết tốt nên có thể giải thích "thế giới thực", tôi sẽcó thể thích kết quả lý thuyết giải thích sự thành công rõ ràng của các phương pháp ngẫu nhiên oracletrong đặt ra hữu ích, dường như an toàn, mã hóa đề án. (Thật vậy, đây là một bản gốcđộng lực cho công việc này.) Thay vào đó, trong công việc này chúng tôi cho rằng bảo mật của mật mã đề ántrong mô hình Oracle ngẫu nhiên không nhất thiết phải bao hàm bảo mật trong "thế giới thực". Cố gắnggiải quyết này không phù hợp rõ ràng, ai có thể đi lên với nhiều lời giải thích khác nhau. Một sốnhững người được thảo luận dưới đây:• Sự thành công hiện tại của phương pháp này là do may mắn thuần túy: tất cả các chương trình hiện tạichứng minh an toàn trong mô hình Oracle ngẫu nhiên, xảy ra để được an toàn cũng trong thế giới thực"" cho24Điều này giải thích thực tế phương pháp Oracle ngẫu nhiên trong thực tế được sử dụng trong thực hành. Trong cũng giải thích lý do tại sao nhiềuchương trình hợp lý, an ninh trong đó vẫn là một vấn đề mở, được an toàn trong các mô hình Oracle ngẫu nhiên: tốtđề nghị nên được dự kiến sẽ vượt qua một kiểm tra sanity.25Nào tôi, cá nhân, xác nhận phương pháp này là một câu hỏi khác nhau. Câu trả lời của tôi là rất nhiều thời gian nhạy cảm: đưa rahiện tại hiểu lầm về các mô hình Oracle ngẫu nhiên, tôi sẽ đề nghị không để bao gồm, hiện đang xuất bản««««làm việc, chứng minh về bảo mật trong các mô hình Oracle ngẫu nhiên. Lý do của tôi là sự nguy hiểm của quan niệm sai lầm (vềbằng chứng như vậy) dường như ra-trọng lượng đạt được chứng minh rằng các chương trình thông qua một kiểm tra sanity. Tôi hy vọng rằng ở cáctrong tương lai quan niệm sai lầm như vậy sẽ có ít hiện hành, lúc đó thời gian nó sẽ được thực sự khuyến khích để báo cáo về cáckết quả của một kiểm tra sanity.32không có lý do. Tuy nhiên, "common sense" và cảm giác thẩm Mỹ của chúng tôi phải dẫn chúng tôi để từ chối như vậylời giải thích.• Thành công rõ ràng hiện tại là một ảo cảnh: một số các chương trình được chứng minh là an toàn trong cácNgẫu nhiên Oracle mô hình này không thực sự an toàn và tấn công chúng có thể được phát hiện trong cáctrong tương lai.Điều này giải thích có vẻ hấp dẫn hơn một chút so với trước đó. Sau khi tất cả, một bảo mậtbằng chứng trong các mô hình Oracle ngẫu nhiên loại bỏ một lớp học rộng lớn của các cuộc tấn công tiềm năng (nghĩa là, những ngườimà sẽ làm việc cũng theo mô hình Oracle ngẫu nhiên), và trong nhiều trường hợp, nó có vẻ rằng các cuộc tấn côngloại này thường là những người dễ dàng hơn để tìm thấy. Do đó, nó làm cho cảm giác rằng nếu cótồn tại một cuộc tấn công "thực tế cuộc sống" trên một chương trình bảo mật trong mô hình Oracle ngẫu nhiên, nó có thểkhó khăn hơn- và mất nhiều thời gian-để tìm kiếm cuộc tấn công này.• Một lời giải thích có thể là phương pháp ngẫu nhiên oracle hoạt động nhất hiện naychương trình được công bố, do một số tính năng cụ thể của các chương trình mà chúng tôi chưa xác định.Có nghĩa là, có lẽ nó có thể để xác định các lớp học thú vị của chương trình, cho bảo mật trongMẫu ngẫu nhiên của Oracle ngụ ý sự tồn tại của một implementation.26 an toànXác định các thú vị các lớp học, và chứng minh ngụ ý ở trên, là quan trọng- vàdường như khó khăn-nghiên cứu hướng. (Trong thực tế, nó thậm chí có vẻ là khó khăn để xác định các lớp học củaCác chương trình mà ngụ ý này làm cho một giả thuyết hợp lý.)Như chúng tôi minh họa trong phần giới thiệu, chúng tôi có thể thuộc tính "không phù hợp" giữa các rõ ràngbảo mật của các chương trình thực tế đã nghĩ ra cách sử dụng các phương pháp ngẫu nhiên oracle và các(chứng minh) mất an ninh của chúng tôi chương trình contrived, để chúng tôi hiện nay thiếu kiến thức về "cái gìcó thể được thực hiện với một mã số của một chức năng". Ai có thể hy vọng rằng việc cải thiện sự hiểu biết củađiểm này có thể sáng tỏ cũng về quan hệ giữa an ninh của chương trình lý tưởng và của họtriển khai. (Tức là, hãy cho chúng tôi hoặc tìm mới các loại tấn công, theo điểm thứ hai ở trên, hoặcxác định các trường hợp tấn công đâu infeasible, theo thứ ba điểm.)Bây giờ, Tuy nhiên, tôi xem các phương pháp ngẫu nhiên oracle là một "công cụ kỹ thuật rất hữu ích"chương trình đặt ra. Như một vấn đề thực tế, tôi muốn nhiều thay vì nhìn thấy tiêu chuẩn hiện nay được xây dựng xung quanhchương trình được chứng minh là an toàn trong mô hình Oracle ngẫu nhiên, so với xung quanh đề án mà khôngbằng chứng như vậy tồn tại. Nếu không có gì khác, nó làm cho việc tìm kiếm các cuộc tấn công vào các chương trình như một toàn bộ rất nhiều khó khăn hơn.AcknowledgmentsChúng tôi muốn cảm ơn Silvio Micali enlightening các cuộc thảo luận. Chúng tôi cảm ơn Clemens Holenstein chokhám phá ra một lỗ hổng trong phiên bản trước đó của các bằng chứng Döï Luaät 5.5. Đặc biệt nhờ KobbiNissim cho chúng tôi biết về kết quả có liên quan của mình (ví dụ, mệnh đề 5.7 và 5.8) và cho phép chúng tôi đểbao gồm chúng trong này viết lên. Chúng tôi cũng cảm ơn những người đánh giá cho ý kiến hữu ích của họ.

Kết quả (Việt) 2:

Kết luận Shai của
Các kết quả tiêu cực trong việc này (và đặc biệt là định lý 4.4 và 4.6) để lại cho tôi với một khó chịu
cảm giác: áp dụng quan điểm cho rằng một lý thuyết tốt sẽ có thể giải thích "thế giới thực", tôi sẽ
có thể thích kết quả lý thuyết để giải thích sự thành công rõ ràng của các phương pháp oracle ngẫu nhiên
, có kế hữu ích,, chương trình mã hóa dường như an toàn. (Trên thực tế, đây là một trong những nguyên
động lực cho công tác này.) Thay vào đó, trong công việc này, chúng tôi cho thấy rằng an ninh của các chương trình mã hóa
trong các ngẫu nhiên Oracle mẫu không nhất thiết phải bao hàm sự an ninh trong "thế giới thực". Đang cố gắng để
giải quyết phù hợp rõ ràng này, người ta có thể đưa ra lời giải thích khác nhau. Một số
những người được thảo luận dưới đây:
• Những thành công của phương pháp này là do tinh khiết may mắn: tất cả các chương trình hiện tại được
chứng minh là an toàn trong Random Oracle Model, xảy ra được an toàn cũng có trong "thế giới thực" cho
24
này giải thích thực tế, Oracle phương pháp ngẫu nhiên là trong thực tế sử dụng trong thực tế. Trong này cũng giải thích tại sao nhiều
chương trình hợp lý, an ninh trong đó vẫn còn là một vấn đề mở, được an toàn trong các ngẫu nhiên Oracle mẫu: tốt
gợi ý nên được dự kiến sẽ vượt qua một kiểm tra sự tỉnh táo.
25
có tôi, cá nhân, xác nhận phương pháp này là một câu hỏi khác nhau . Câu trả lời của tôi là rất nhiều thời gian nhạy cảm: Với
những quan niệm sai lầm hiện nay liên quan ngẫu nhiên Oracle Model, tôi sẽ đề nghị không để bao gồm, trong hiện công bố
công việc, bằng chứng về an ninh trong Random Oracle Model. Lý do của tôi là sự nguy hiểm của quan niệm sai lầm (liên quan đến
chứng minh như vậy) có vẻ ngoài trọng lượng đạt được của các chứng minh rằng chương trình này thông qua một kiểm tra sự tỉnh táo. Tôi hy vọng rằng trong
tương lai quan niệm sai lầm như vậy sẽ ít thịnh hành, lúc đó nó sẽ được thực sự khuyến khích để báo cáo về
kết quả của một kiểm tra sự tỉnh táo.
32
không có lý do. Tuy nhiên, "thông thường" của chúng tôi và cảm giác thẩm mỹ phải dẫn chúng ta từ chối như vậy
. Giải thích
• Sự thành công rõ ràng hiện nay là một ảo ảnh: một số đề án đã được chứng minh an toàn trong
Random Oracle mẫu không thực sự an toàn, và các cuộc tấn công vào chúng có thể được phát hiện trong
tương lai.
Điều này giải thích có vẻ nhiều hơn một chút hấp dẫn hơn so với trước. Sau khi tất cả, một bảo
chứng minh trong các ngẫu nhiên Oracle mẫu loại bỏ một lớp rộng các cuộc tấn công tiềm năng (tức là, những người
đó sẽ làm việc cũng trong Random Oracle Model), và trong nhiều trường hợp, nó có vẻ như các cuộc tấn công
kiểu này thường là những người mà được dễ dàng hơn để tìm thấy. Do đó, nó làm cho cảm giác rằng nếu có
tồn tại một "cuộc sống thực" tấn công vào một chương trình đó là an toàn trong Random Oracle Model, nó có thể
khó khăn hơn - và mất nhiều thời gian -. Để tìm cuộc tấn công này
• Một lời giải thích có thể là do oracle ngẫu nhiên phương pháp áp dụng cho hiện
đề án được công bố, do một số tính năng cụ thể của các chương trình mà chúng tôi vẫn chưa xác định.
đó là, có thể nó có thể xác định các lớp học thú vị của chương trình, mà an ninh trong
các ngẫu nhiên Oracle mẫu ngụ ý sự tồn tại của một đảm bảo implementation.26
Xác định các lớp học thú vị như vậy, và chứng minh ý nghĩa ở trên, là một quan trọng - và
hướng nghiên cứu - có vẻ khó khăn. (Trong thực tế, nó thậm chí còn có vẻ là khó để xác định các lớp học của
các chương trình mà hàm ý điều này làm cho một giả thuyết hợp lý.)
Như chúng ta đã minh họa trong phần giới thiệu, chúng tôi có thể thuộc tính là "không phù hợp" giữa rõ ràng
an ninh của chương trình thực tế được đặt ra sử dụng các phương pháp oracle ngẫu nhiên và
(đã được chứng minh) bất an của đề án giả tạo của chúng tôi, thiếu hiện nay của chúng ta về kiến thức liên quan đến "những gì
có thể được thực hiện với một mã số của một hàm". Người ta có thể hy vọng rằng việc cải thiện sự hiểu biết về
thời điểm này có thể làm sáng tỏ cũng về quan hệ giữa bảo mật của chương trình lý tưởng và họ
hiện thực. (Tức là, chúng ta hãy thể tìm thấy kiểu tấn công mới, theo quan điểm thứ hai ở trên, hoặc
xác định các trường hợp tấn công là không khả thi, theo điểm thứ ba.)
Đối với doanh nghiệp, tuy nhiên, tôi xem các phương pháp oracle ngẫu nhiên như một rất hữu ích " công cụ kỹ thuật "cho
việc đưa ra các đề án. Như một vấn đề thực tế, tôi thích gặp tiêu chuẩn hiện nay được xây dựng xung quanh
các đề án đã được chứng minh an toàn trong Random Oracle Model, vì xung quanh đề án mà không có
bằng chứng như vậy tồn tại. Nếu không có gì khác, nó làm cho việc tìm kiếm các cuộc tấn công vào các công trình như khó khăn hơn rất nhiều.
Lời cảm ơn
Chúng tôi xin cảm ơn Silvio Micali cho các cuộc thảo luận sáng tỏ. Chúng tôi cảm ơn Clemens Holenstein cho
phát hiện ra một lỗ hổng trong phiên bản trước của chứng minh của mệnh đề 5.5. Đặc biệt cảm ơn Kobbi
Nissim cho chúng tôi biết về kết quả liên quan của mình (ví dụ, mệnh đề 5.7 và 5.8) và cho phép chúng ta
đưa chúng vào trong này viết lên. Chúng tôi cũng cảm ơn những nhận xét ​​cho ý kiến hữu ích của họ.