1.1.2 Implementing an ideal systemS

1.1.2 Implementing an ideal system
Since most real-world systems do not have access to a random oracle, there is a need to “implement”
the random oracle aspect of the ideal systems from above. The soundness of the random oracle
methodology depends on finding a suitable notion of implementation, such that whenever the ideal
system is secure in the Random Oracle Model, the implementation will be secure in the standard
model. Furthermore, the implementation should be directly available (i.e., fully specified) to each
party.1 However, all the notions that we consider in this work fail poorly at this challenge.
Loosely speaking, by “implementing” a particular ideal system we mean using an easy-toevaluate function f instead of the random oracle. That is, whenever the ideal system queries the
oracle with a value x, the implementation instead evaluates f(x). In this work, we examine three
formalizations of this notion. First we briefly examine (and discard of) the notion of implementation
by a single function. Then we discuss implementation by a function ensemble, which is the notion
we use through most of the paper. Finally, we discuss a more stringent notion, where the functions
in the ensemble can only be evaluated on inputs of a pre-determined (short) length.
Implementation by a single function. This is perhaps the most “natural” notion, in that it
corresponds to the common practice of using a fixed function (e.g., SHA-1) to replace the oracle.
Here, an ideal system (for some specific application), Π, is transformed into a real system (for
the same application) by transforming each interactive oracle machine, into a standard interactive
machine in the natural manner. That is, each oracle call is replaced by the evaluation of a fixed
function f on the corresponding query.2
The above system is called an implementation of Π using function f. The adversary, attacking
this implementation, may mimic the behavior of the adversary of the ideal system, by evaluating
f at arguments of its choice, but it may also do other things. In particular, it may obtain some
global insight into the structure of the function f, and use this insight towards its vicious goals.
An implementation is called secure if any adversary attacking it may succeed only with negligible
1 One implementation that is clearly sound, is to replace the random function by a pseudorandom one, whose
seed remains secret. (Presumably, for this to work there should be an online trusted party who knows the seed and
can evaluate the function.) However, this implementation is not fully specified (i.e., it is not directly available to the
users). We stress that the random oracle methodology is typically applied in settings where we need a fully specified
implementation that the parties can evaluate on their own.
2
Formally, the function f also takes as input the security parameter k, so that the function f(k, ·) maps {0, 1}∗
to {0, 1}`out(k).
3
probability, where the success event is defined exactly as in the ideal system (i.e., it is defined by
the same polynomial-time computable predicate of the application’s global view).
Using this notion of an implementation, we would like to say that a function f is a “good
implementation of a random oracle” if for any ideal system Π, security of Π implies security of
the implementation of Π using f. It is very easy to see, however, that no (single) polynomialtime computable function can provide a good implementation of a random oracle. Consider, for
example, a candidate function f. Then, a (contrived) application for which f does not provide
a good implementation consists of an oracle machine (representing an honest party) that upon
receiving a message m, makes query m to the oracle and reveals its private input if the oracle
answers with f(m). Suppose that the adversary is deemed successful whenever the honest party
reveals its private input. Clearly, this ideal system is secure (in the Random Oracle Model),
since the random oracle will return the value f(m) only with negligible probability; however, its
implementation using f is certainly not secure.
One should not be surprised by the failure

Kết quả (Việt) 1:

1.1.2 thực hiện một hệ thống lý tưởngKể từ khi hầu hết các hệ thống thế giới thực không có quyền truy cập để oracle ngẫu nhiên, có một nhu cầu để "thực hiện"Các khía cạnh oracle ngẫu nhiên của các hệ thống lý tưởng từ trên cao. Soundness của oracle ngẫu nhiênphương pháp phụ thuộc vào việc tìm kiếm một khái niệm phù hợp với quá trình thực hiện, như vậy mà bất cứ khi nào lý tưởngHệ thống an toàn trong mô hình Oracle ngẫu nhiên, việc thực hiện sẽ được an toàn trong các tiêu chuẩnMô hình. Hơn nữa, việc thực hiện phải trực tiếp có sẵn (tức là, đầy đủ quy định) cho mỗiParty.1 Tuy nhiên, tất cả các khái niệm mà chúng tôi xem xét trong công việc này không kém thách thức này.Lỏng lẻo nói, bằng cách "thực hiện" một hệ thống lý tưởng đặc biệt chúng tôi có nghĩa là bằng cách sử dụng một hàm f toevaluate dễ dàng thay vì oracle ngẫu nhiên. Có nghĩa là, bất cứ khi nào các truy vấn hệ thống lý tưởng cácOracle với một giá trị x, việc thực hiện thay vì đánh giá f (x). Trong tác phẩm này, chúng ta xem xét baformalizations của khái niệm này. Trước tiên, chúng tôi một thời gian ngắn kiểm tra (và loại bỏ của) các khái niệm của việc thực hiệnmột chức năng duy nhất. Sau đó chúng tôi thảo luận về việc thực hiện bởi một toàn bộ chức năng, mà là khái niệmchúng tôi sử dụng thông qua hầu hết các giấy. Cuối cùng, chúng tôi thảo luận về một khái niệm nghiêm ngặt hơn, nơi mà các chức năngtrong toàn bộ chỉ có thể được đánh giá trên các đầu vào chiều dài (ngắn) được xác định trước.Thực hiện bởi một chức năng duy nhất. Điều này có lẽ nhất khái niệm "tự nhiên", trong đó nótương ứng với phổ biến thực hành bằng cách sử dụng một chức năng cố định (ví dụ như, SHA-1) để thay thế nhà tiên tri.Ở đây, một hệ thống lý tưởng (đối với một số ứng dụng cụ thể), Π, biến thành một hệ thống thực tế (choCác ứng dụng tương tự) bằng cách chuyển đổi mỗi máy tương tác oracle, thành một tiêu chuẩn tương tácMáy theo cách tự nhiên. Có nghĩa là, mỗi cuộc gọi oracle được thay thế bằng việc đánh giá của một cố địnhhàm số f ngày query.2 tương ứngCác hệ thống trên được gọi là một việc thực hiện của Π bằng cách sử dụng hàm f. Kẻ thù tấn côngviệc thực hiện này có thể bắt chước hành vi của kẻ thù của hệ thống lý tưởng, bằng cách đánh giáf tại các đối số của sự lựa chọn của mình, nhưng nó cũng có thể làm những thứ khác. Đặc biệt, nó có thể có được một sốcái nhìn sâu sắc toàn cầu vào cấu trúc của hàm f, và sử dụng cái nhìn sâu sắc này hướng tới mục tiêu độc ác của mình.Việc thực hiện được gọi là an toàn nếu bất kỳ kẻ thù tấn công nó có thể thành công chỉ với không đáng kể1 thực hiện một là rõ ràng âm thanh, là để thay thế chức năng ngẫu nhiên bởi một ngẫu nhiên ảo qua, màhạt giống vẫn bí mật. (Có lẽ, để làm việc này nên có một bữa tiệc đáng tin cậy trực tuyến những người hiểu biết những hạt giống vàcó thể đánh giá các chức năng.) Tuy nhiên, việc thực hiện này không hoàn toàn xác định (tức là, nó không phải là trực tiếp có sẵn cho cácngười sử dụng). Chúng tôi nhấn mạnh rằng các phương pháp ngẫu nhiên oracle thường được áp dụng trong cài đặt mà chúng ta cần một quy định đầy đủthực hiện các bên có thể đánh giá riêng của họ.2Chính thức, hàm số f cũng mất như đầu vào k tham số an ninh, do đó bản đồ của hàm f (k, ·) {0, 1} ∗với {0, 1}'out(k).3xác suất, nơi mà các sự kiện thành công định nghĩa chính xác như trong hệ thống lý tưởng (nghĩa là, nó được định nghĩa bởitrong cùng một thời gian đa thức computable vị ngữ của các ứng dụng xem toàn cầu).Sử dụng khái niệm này của một cách hiện thực, chúng tôi muốn nói rằng một hàm f là rất tốt"thực hiện của oracle ngẫu nhiên"nếu cho bất kỳ hệ thống lý tưởng Π, an ninh của Π ngụ ý bảo mật củathực hiện bằng cách sử dụng f Π. Rất dễ dàng để xem, Tuy nhiên, không có chức năng computable polynomialtime (đơn) có thể cung cấp một thực hiện tốt của oracle ngẫu nhiên. Xem xét, choVí dụ, một ứng cử viên hàm f. Sau đó, một ứng dụng đó f (contrived) không cung cấpthực hiện tốt bao gồm một máy oracle (đại diện cho một đảng trung thực) mà khinhận được một tin nhắn m, làm cho truy vấn m với nhà tiên tri và tiết lộ của nó nếu đầu vào riêng nhà tiên tricâu trả lời với f(m). Giả sử rằng kẻ địch được coi là thành công bất cứ khi nào Đảng Trung thựccho thấy đầu vào riêng của mình. Rõ ràng, Hệ thống này lý tưởng là an toàn (trong ngẫu nhiên Oracle mô hình),kể từ khi nhà tiên tri ngẫu nhiên sẽ trả về giá trị f(m) chỉ với xác suất không đáng kể; Tuy nhiên, của nóthực hiện bằng cách sử dụng f là chắc chắn không an toàn.Một không nên ngạc nhiên bởi sự thất bại

Kết quả (Việt) 2:

1.1.2 Thực hiện một hệ thống lý tưởng
Vì hầu hết các hệ thống thực tế không có quyền truy cập vào một oracle ngẫu nhiên, có một nhu cầu "thực hiện"
các khía cạnh oracle ngẫu nhiên của hệ thống lý tưởng từ trên cao. Tính đúng đắn của oracle ngẫu nhiên
phương pháp phụ thuộc vào việc tìm kiếm một khái niệm thích hợp thực hiện, như vậy là bất cứ khi nào lý tưởng
là hệ thống an toàn trong Random Oracle Model, việc thực hiện sẽ được an toàn trong các tiêu chuẩn
mô hình. Hơn nữa, việc thực hiện nên được trực tiếp có sẵn (tức là, đầy đủ quy định) cho mỗi
party.1 Tuy nhiên, tất cả những khái niệm mà chúng ta xem xét trong công việc này không kém ở thử thách này.
Nói đại khái, bởi "thực hiện" một hệ thống lý tưởng Đặc biệt chúng tôi có nghĩa là sử dụng một hàm f dễ toevaluate thay vì oracle ngẫu nhiên. Đó là, bất cứ khi nào hệ thống lý tưởng truy vấn
oracle với một giá trị x, việc thực hiện thay vì đánh giá f (x). Trong tác phẩm này, chúng ta xem xét ba
formalizations của khái niệm này. Đầu tiên chúng tôi một thời gian ngắn kiểm tra (và loại bỏ của) các khái niệm thực hiện
bởi một chức năng duy nhất. Sau đó, chúng tôi thảo luận về thực hiện bởi một quần thể chức năng, mà là quan điểm
chúng tôi sử dụng thông qua hầu hết các bài báo. Cuối cùng, chúng tôi thảo luận về một khái niệm nghiêm ngặt hơn, nơi mà các chức năng
trong bộ quần áo đồng chỉ có thể được đánh giá trên các đầu vào của một xác định trước (ngắn) chiều dài.
Thực hiện bởi một chức năng duy nhất. Đây có lẽ là "tự nhiên" ý niệm nhất, trong đó nó
tương ứng với thực tế phổ biến của việc sử dụng một chức năng cố định (ví dụ, SHA-1) để thay thế cho oracle.
Ở đây, một hệ thống lý tưởng (đối với một số ứng dụng cụ thể), Π, là chuyển đổi thành một hệ thống thực (đối với
các ứng dụng tương tự) bằng cách chuyển đổi mỗi máy oracle tương tác, tương tác vào một tiêu chuẩn
máy theo cách tự nhiên. Đó là, mỗi cuộc gọi oracle được thay thế bởi các đánh giá của một cố định
hàm f trên tương ứng query.2
Các hệ thống trên được gọi là một thực hiện Π sử dụng hàm f. Các kẻ thù, tấn công
này thực hiện, có thể bắt chước hành vi của kẻ thù của hệ thống lý tưởng, bằng cách đánh giá
f ở đối số của sự lựa chọn của mình, nhưng nó cũng có thể làm những việc khác. Đặc biệt, nó có thể có được một số
cái nhìn sâu sắc toàn cầu vào cấu trúc của hàm f, và sử dụng những hiểu biết này hướng tới mục tiêu luẩn quẩn của nó.
An thực hiện được gọi là an toàn nếu có kẻ thù tấn công nó có thể thành công chỉ với không đáng kể
1 Một thực hiện mà rõ ràng là âm thanh, là để thay thế các hàm ngẫu nhiên bởi một giả ngẫu nhiên một, mà
hạt giống còn là bí mật. (Có lẽ, để làm việc này cần phải có một bên tin cậy trực tuyến những người hiểu biết các hạt và
có thể đánh giá hàm). Tuy nhiên, thực hiện điều này không được quy định đầy đủ (tức là, nó không phải là trực tiếp có sẵn cho
người sử dụng). Chúng tôi nhấn mạnh rằng phương pháp oracle ngẫu nhiên thường được áp dụng trong các môi trường mà chúng ta cần một quy định hoàn toàn
việc thực hiện mà các bên có thể đánh giá riêng của họ.
2
hình thức, chức năng e cũng mất như đầu vào các thông số an ninh k, do đó hàm f (k , ·) bản đồ {0, 1} *
{0, 1} `ra (k).
3
xác suất, nơi các sự kiện thành công được định nghĩa chính xác như trong hệ thống lý tưởng (tức là, nó được tạo bởi
cùng một thời gian đa thức tính toán vị ngữ của cái nhìn toàn cầu của ứng dụng).
Sử dụng khái niệm về một thực hiện, chúng tôi muốn nói hàm f là một "tốt
thực hiện một oracle ngẫu nhiên" nếu cho bất kỳ hệ thống lý tưởng Π, an ninh của Π nghĩa an ninh của
việc thực hiện Π sử dụng f. Nó là rất dễ dàng để xem, tuy nhiên, điều đó không có (duy nhất) polynomialtime chức năng tính toán có thể cung cấp một thực hiện tốt một oracle ngẫu nhiên. Xem xét, ví
dụ, một chức năng ứng cử viên f. Sau đó, một (giả tạo) ứng dụng mà e không cung cấp
một thực hiện tốt bao gồm một máy oracle (đại diện cho một đảng trung thực) rằng khi
nhận được một thông điệp m, làm cho truy vấn m với oracle và tiết lộ đầu vào riêng của nó nếu oracle
câu trả lời với f (m). Giả sử rằng các đối thủ được coi là thành công bất cứ khi nào các bên trung thực
cho thấy đầu vào riêng của nó. Rõ ràng, hệ thống lý tưởng này là an toàn (trong Random Oracle Model),
kể từ oracle ngẫu nhiên sẽ trả lại giá trị f (m) chỉ với xác suất không đáng kể; Tuy nhiên, nó
thực hiện bằng cách sử f là chắc chắn không an toàn.
Chúng ta không nên ngạc nhiên bởi sự thất bại