隨機預言模型下的可證明安全：
Goldwasser 等學者首次比較系統地闡述了可證明安全思想，並給出了具有可證明安全性的加密和簽名方案[44，48]，然而，上述方案的可證明安全是以嚴重犧牲效率為代價的，因此，上述方案雖然在理論上具有重要意義，但並不實用。1993年,Bellare 和 Rogaway 兩位學者[49]正式提出了隨機預言模型（Random OracleModel,ROM）方法論，使得過去純作理論研究的可證明安全方法論迅速在實際應用領域取得重大進展，一大批快捷有效安全方案相繼提出，同時，還產生了“具體安全性（concrete security or exact security）”,其意義在於，我們不再僅僅滿足安全性的漸近度，而是可以確切地得到較準確的安全度量。面向實際的可證安全性理論已被學術界和產業界廣泛接受。歸約是可證明安全性理論最常用的工具或推理方法，在可證明安全方案中，首先要建立安全模型，為了證明方案的安全性需要建立一個挑戰演算法C （類比挑戰者角色）。演算法C 將一個複雜的安全性問題歸結為數學上難題（如大數分解、求解離散對數、CDH 困難問題等），在 ROM 中的歸約論斷一般表現為：
①先形式化定義方案的安全性，假設 在機率多項式時間內（PPT）內敵手能以不可忽略的機率破壞方案的安全性（如偽造簽名）；
②然後類比者C 為敵手提供一個與實際環境不可區分的類比環境（ROM），回答敵手的所有預言詢問（類比敵 手能得到所有的攻擊條件）；
③最後，利用敵手攻擊的結果（如存在一個偽造簽名）設法解決數學上難題。
其中，演算法C 要將困難問題的一個隨機執行個體嵌入到攻擊者類比過程中，但挑戰者C 不知道困難問題中所涉及到的私密金鑰，為了類比回答攻擊者所有的詢問，或掩飾不知道私密金鑰的事實（即類比一個真實的攻擊環境），使得攻擊認為自己在和一個真正的挑戰者在進行互動，
演算法C 需要某種特殊能力來彌補對私密金鑰的無知，這種能力在構造過程中通過隨機預言機來實現。
在證明過程中，將雜湊函數看作是隨機的函數，即隨機預言機。任何人都能通過詢問隨機預言機來獲得雜湊函數的值，這樣通過控制預言機，C 就能在提供真實的攻擊環境下利用攻擊者的能力來求解數學難題。利用預言機上述性質所得到的證明模型稱為隨機預言機模型（簡稱 ROM）。
標準模型下的可證明安全
在 ROM 中證明了的方案安全並不能保障該方案在現實生活中的安全性。目前，存在許多 ROM 中是可證安全的，但具體的應用中卻無法構造出相應的執行個體。標準模型中可證安全更具有重要的現實意義。在標準模型中，演算法仍然是通過預言機來彌補對私密金鑰的無知，不同在於這個預言機的內部映射並不是隨機指定的，必須符合具體方案中的函數關係，這樣增加了方案設計的難度。儘管 ROM 方法論並不能作為實際方案安全的絕對證據，但其可作為任何實際方案的一種必要的基本安全性測試，ROM 方法論至少可以排除很多安全隱患。利用 ROM 設計簡單而有效協議，可以抵抗許多未知攻擊[54]。也有一些學者仍然堅持在標準模型中證明方案安全性，認為儘管在 ROM 中可證安全的方案非常有效，但是把雜湊函數看成了一個完全隨機的理想模型，這是一種很強的假設，而且方案在 ROM 中的安全性和通過雜湊函數實現的安全性之間無必然的因果關係。例如，一些簽名和加密方案在 ROM 中是安全的，但在實際應用中卻不是安全的。
摘自 無限性對的無認證公開金鑰密碼學研究_劉文浩
"Many researchers have expressed doubts about the wisdom of relying on the random oracle model.In particular, Canetti et al.[19] proved that there are signature and encryption schemes that are secure in the random oracle model, but insecure for any instantiation of the standard oracle. "
form:"An efficient and provably‐secure certificateless signature scheme without bilinear pairings"
隨機預言機模型：
在安全證明中，隨機預言機模型通常是現實中雜湊函數的理想化的替身。雜湊函數是一個輸入為任意長度，輸出為固定長度的函數，除此之外還滿足一些其它特性，例如單向性，抗碰撞性等。隨機預言機的概念起源於Fiat和Shamir[111]的把雜湊函數看為隨機的函數的思想，然後進一步由研究者Bellare和Rogaway [65]轉化為隨機預言機模型。
在隨機預言機模型下，通常設計一個方案並證明是安全的；而在方案的實際執行時，用具體的雜湊函數來替換方案中的隨機預言機。應該指出，在隨機預言機模型下證明安全的方案在實際具體實現中未必是安全的。研究者Canetti，Goldreich和Halevi[112,113]曾給出這樣的例子。
標準模型 不依賴隨機預言機的模型，稱為標準模型。一般指所設計的方案（如果使用了雜湊函數）在證明時，僅使用了現實中雜湊函數可以實現的特性，那麼可以認為是標準模型。第一個標準模型下可證明安全的高效的公開金鑰加密課題在1998年由Cramer和Shoup[101]提出，隨後大部分研究者的興趣轉向了設計標準模型下可證明安全的方案。 來自 基於屬性密碼體制的相關研究 王永濤
·標準模型(StandardModel) 標準模型下，敵手只受時間和計算能力的約束，而沒有其他假設，如果在此條件下，可以將密碼學方案歸約到困難性問題上，則稱為該歸約是基於標準模型的，也稱方案具有在標準模型下的可證明安全性。然而在實際中，很多方案在標準模型下建立安全性歸約是比較困難的，也就是難於證明在安全模型下的安全性。因此為了降低證明的難度，往往在安全性歸約過程中加入其他的假設條件，就是下面將要討論的隨機預言機模型。
·隨機預言機模型122(Random Oracle Model) 隨機預言機模型在安全模型之上，加入了針對散列函數的隨機預言機假設。這種假設下進行安全歸約得到的安全性也稱為隨機預言機模型下的可證明安全性。隨機預言機模型，是從散列函數抽象出來的一種模型，是在可證明安全中被廣泛使用的證明方法。 隨機預言機是一種散列函數，我們可以把它理解為完美的散列函數： 1)一致性：對於相同的輸入，其輸出必然相同； 2)可計算性：輸出的計算可以在多項式時間內完成； 3)均勻分布性：預言機的輸出在取值空間內均勻分布，無碰撞。
在隨機預言機模型中，假定敵手不會利用散列函數的弱點來攻擊密碼學方案。換句話說，即使將方案中的實際散列函數換成隨機預言機，敵手仍然可以成功。
隨機預言機雖然廣泛應用與密碼學方案的證明，為可證明安全提供了很大的方便，但人們對隨機預言機模型下的安全性證明的有效性仍存在爭議的。隨機預言機是一種過於理想的假設，要求敵手不利用散列函數的弱點來對方案進行攻擊。而在現實中，並不存在這樣一種完美的散列函數，因此在隨機預言機模型下安全的一些方案，在使用真實的散列函數之後，就不再安全了。儘管如此，基於隨機預言機模型的安全證明除了散列函數外的環節都可以達到安全要求，目前大多數的可證明安全方案也是基於隨機預言機模型的。因此，隨機預言機模型仍被認為是可證明安全中最成功的應用。
