Ideal-Cipher-Modell
Ein Beweismodell, in dem die Blockchiffre für jeden Schlüssel als unabhängige Zufallspermutation gilt, die sich in beide Richtungen abfragen lässt.
Es kommt ins Spiel, wenn eine Konstruktion die Blockchiffre auf eine Weise nutzt, die die PRP-Annahme nicht abdeckt – vor allem dann, wenn der Angreifer den Schlüssel selbst wählen darf. Hashkonstruktionen wie Davies-Meyer speisen die Nachricht als Schlüssel ein, und Black, Rogaway und Shrimpton bewiesen 2002 ihre Sicherheit genau in diesem Modell. Coron, Patarin und Seurin zeigten 2008, dass das Modell im Wesentlichen so stark ist wie das Random-Oracle-Modell; eine Lücke im Beweis wurde 2011 mit vierzehn Feistel-Runden geschlossen.
Der Haken ist derselbe wie bei Random Oracles: Keine reale Chiffre ist ideal. AES-256 hat bekannte Related-Key-Angriffe, die für gewöhnliche Verschlüsselung harmlos sind, aber relevant werden, sobald jemand daraus eine Hashfunktion baut. Der Beweis stimmt; die Annahme nicht immer.