דמיטרי גריגורביץ' פבלוב (; 23 באוקטובר 1897 - 22 ביולי 1941) היה גנרל רוסי שפיקד על החזית המערבית של ברית המועצות בתחילת מבצע ברברוסה והוצא להורג לאחר תבוסת כוחותיו בימים הראשונים של המערכה.
קריירה צבאית.
הוא הצטרף לצבא האדום ב-1919 והשתתף במלחמת האזרחים ברוסיה. סיים את המכללה הצבאית על שם פרונזה במוסקבה ב-1928 ופיקד על יחידות חיל רגלים.
בשנים 1936–1937 השתתף במלחמת האזרחים בספרד כמפקד בריגדת טנקים סובייטיים בצבא הרפובליקני. על כך קיבל עיטור של גיבור ברית המועצות.
פבלוב הצליח לעבור את הטיהורים הגדולים. הוא דגל בשילוב טנקים ביחידות רגלים ולא ביחידות נפרדות, דעה שהוכחה במלחמה כבלתי נכונה. הוא השתתף במספר סכסוכי גבול עם יפן ובמלחמת החורף עם פינלנד.
ב-22 בפברואר 1940 הועלה לדרגת גנרל של הצבא. הוא מונה למפקד החזית הבלרוסית שעם פתיחת המערכה שונה שמה לחזית המערבית.
מבצע ברברוסה.
מבצע ברברוסה החל ב-22 ביוני 1941 ותוך מספר ימים הצליחו הגרמנים לכתר בקרב ביאליסטוק-מינסק מאות אלפי חיילים סובייטים ולהתקדם במהירות לתוך ברית המועצות. הם הצליחו להשמיד כמעט את כל המטוסים בחזית דבר שהקנה להם עליונות אווירית.
ב-30 ביוני 1941 הודח פבלוב מתפקידו.
מאסר והוצאה להורג.
ב-4 ביולי נעצר פבלוב והועמד לדין. הוא הואשם בתחילה בקשר נגד המדינה, במורך לב ובחוסר תפקוד שאפשרו קריסת הפיקוד והפקרת נשק ללא קרב בידי הגרמנים דבר שאפשר פריצת האויב דרך שורות הצבא האדום ויש בזה בגידה במולדת. בית הדין קבע שהוא אשם באי מילוי תפקידו אך לא בבגידה וגזר עליו מוות. גזר הדין ניתן ב-22 ביולי 1941. באותו יום הוסרו דרגותיו, רכושו הוחרם והוא הוצא להורג על ידי אנשי הנ.ק.וו.ד בשדה עזוב ליד מוסקבה ונקבר שם.
גם קצינים נוספים מהחזית המערבית זכו לגורל דומה:
הם זוכו ב-1956 "מחוסר הוכחות".
מודל אורקל אקראי
בקריפטואנליזה, מודל אורקל אקראי (Random oracle model) הוא פרדיגמה לבניית פרוטוקול קריפטוגרפי עם ביטחון מוכח שהוצעה לראשונה ב-1995 על ידי מיהיר בלייר מאוניברסיטת קליפורניה בסן דייגו ופיליפ רוגווי מאוניברסיטת קליפורניה בדייוויס. מודל אורקל אקראי מהווה מעין ממוצע בין מצב שבו קיימת הוכחת ביטחון מוצקה לפי המודל הסטנדרטי לבין מצב שלא קיימת הוכחה כלל. בעוד שהמודל אינו משקף את המציאות לגמרי, לפחות הוא מספק אמון רב יותר בביטחון הפרוטוקול על פי המודל, לעומת מצב שבו לא קיימת הוכחה כלשהי מעבר לעובדה שמפתחי האלגוריתם הצהירו כי לא מצאו שיטה טובה לשבירתו. או כפי שניסחו המחברים "מודל אורקל אקראי מהווה גשר בין קריפטוגרפיה תאורטית לבין קריפטוגרפיה מעשית".
אורקל אקראי.
בקריפטוגרפיה מודרנית נוח להשתמש באובייקט תאורטי הנקרא אורקל. אפשר לחשוב עליו כעל קופסה שחורה שמקבלת כקלט מחרוזת בינארית ומחזירה מחרוזת בינארית. המבנה הפנימי של הקופסה "מסתורי" ואינו ידוע לאיש. כל אחד, כולל היריב רשאי להפעיל את הקופסה והיא פועלת כפונקציה המקבלת את formula_1 ומחזירה את formula_2. בהקשר זה formula_1 נקרא שאילתה. למען הפשטות מבלי לוותר על הכלליות מניחים כמה הנחות יסוד לגבי האורקל:
אפשר להתייחס לכל formula_6 כאל טבלה ענקית שמכילה עבור כל קלט אפשרי את הפלט המתאים. בכל טבלה formula_14 סיביות בסך הכול ובתחום כולו קיימות בסך הכול formula_15 פונקציות שונות עם קלט ופלט באורך המצוין. דרך אחרת היא להתייחס ל-formula_6 כאל פונקציה אקראית בתנאי אחד, עבור כל formula_1 הפונקציה בודקת תחילה אם הופיע בעבר, אם לא היא מחזירה formula_2 אקראי ושומרת את הזוג formula_1 ו-formula_2 במסד נתונים כלשהו. אם formula_1 כבר מופיע במסד הנתונים של הפונקציה משמע שכבר הוגשה שאילתה עם formula_1 זה ולכן היא תחזיר את formula_2 המתאים השמור במסד הנתונים.
חשוב להדגיש שיש הבדל בין מודל אורקל אקראי לבין אורקל אקראי בהקשר של פונקציה פסאודו-אקראית. שם הגישה לאורקל היא רק קונספט תאורטי שמנסה להסביר איך פונקציה קונקרטית עם מפתח נחשבת לפסאודו-אקראית. כאן האורקל האקראי מהווה חלק בלתי נפרד מהפרוטוקול כך שיש צורך לממשו בדרך זו או אחרת.
רעיון כללי.
מהיבט תאורטי עדיף היה לפתח ולנתח פרוטוקול באופן כזה שניתן יהיה להוכיח לפי מודל סיבוכיות סטנדרטי (קונקרטי או אסימפטוטי) שהוא אכן בטוח לשימוש בהתבסס על השערה מתמטית חזקה. אולם במציאות המצב הוא שפרוטוקול כזה נוטה להיות לא יעיל ומרבית המשתמשים נוטים לוותר על האבטחה כליל מאשר לסבול פרוטוקול שזמן ביצועו מתארך יתר על המידה וגורם לקפאון המחשב. לפי המודל הסטנדרטי כמעט לא קיימים פרוטוקולים קריפטוגרפיים מוכחים שהם גם יעילים. בעוד שקריפטוגרפים עמלים במרץ על פיתוח שיטות הצפנה בטוחות יותר, מפתחים תאוריות ומספקים השערות חדשות ושיטות פיצוח חדשות, בה בעת נוצר מצב שבמציאות נשארים עם יותר שאלות מאשר תשובות לגבי מה בטוח ומה לא. לכן נאלצים להתפשר על שיטות אד הוק שמסתמכות בעיקר על גאונות ותחכום הממציא ושאין להם כל הוכחה מתמטית מפורשת באשר לטענות לגבי ביטחונן.
רעיון מודל אורקל אקראי מנסה לגשר על הפער הזה על ידי תוספת אורקל אקראי. באופן תאורטי נוספת לפרוטוקול פונקציה אקראית formula_6 שניתנת להערכה רק באמצעות שאילתה לאורקל שמקבל formula_1 כלשהו ומחזיר את formula_26 באופן אקראי. אמנם הפונקציה לא מציאותית אך היא מספקת שיטה לפיתוח ובדיקה של פרוטוקול קריפטוגרפי בשני מהלכים, לפי הגישה הבאה:
בתהליך זה מקווים שפונקציית הגיבוב טובה במידה מספקת כדי שתוכל לדמות את האורקל האקראי, כך שההוכחה שניתנה במסגרת מודל אורקל אקראי תשליך גם על יישום השיטה בפועל. הקושי נעוץ בעובדה שאין הצדקה תאורטית לשאיפה זו כי פונקציית גיבוב היא פונקציה דטרמיניסטית באופייה ולמעשה קיימת הוכחה בכיוון ההפוך שמראה שגם במקרה שהפרוטוקול בטוח במסגרת המודל, אינה בטוחה בפועל ללא תלות במימוש האורקל. יתרה מזו, לא ניתן להגדיר בצורה ברורה איזו פונקציית גיבוב "טובה" כדי לדמות אורקל אקראי אם בכלל הדבר אפשרי. מסיבות אילו, כל הוכחה שניתנה במסגרת מודל אורקל אקראי ששיטת הצפנה נחשבת בטוחה, אינה הוכחה במובן המתמטי המלא אלא הוכחה היוריסטית בלבד, מעין עדות לכך ששיטת ההצפנה אינה מכילה "כשלים מבניים".
ביקורת.
לטענת מבקרים סקפטיים של הרעיון היות שהפונקציה המחליפה בפועל אינה רנדומלית אמיתית, ההוכחה אינה משיגה מאומה. נותרת השאלה האם ההוכחה תהיה תקפה כאשר מחליפים את formula_29 בפונקציה מעשית. אפשר להביט בזה בדרך אחרת, לעיתים נוח לקריפטאנליסט לצורך ניתוח פרוטוקול המשלב פונקציה מתורת המספרים ופונקציית גיבוב כלשהי formula_29 (כמו RSA עם SHA-2), להתייחס אל האחרונה כאל פונקציה אקראית. התקפה בסגנון כזה כנגד הפרוטוקול נקראת 'גנרית' במובן שאינה מניחה הנחות מוקדמות כלשהן לגבי formula_29 וזה בדיוק המצב בו רעיון האורקל האקראי יכול להיות שימושי. כלומר המודל מאפשר לפחות להוכיח שהתקפה גנרית כזו תכשל אלא אם כן הפונקציה מתורת המספרים אינה כפי שהיא מתיימרת. יש המכנים זאת הוכחה ברדוקציית קופסה שחורה. אך יש להיזהר בפועל בבחירת הפונקציה formula_29 שחשוב שתהיה 'עצמאית' ביחס לפרוטוקול, או במילים אחרות שהפרוטוקול עצמו אינה מתייחס אליה בדרך כלשהי.
התועלת במודל אורקל אקראי שהוא נותן כלים כדי לבחון פרוטוקול תחת הגדרות פורמליות איתנות של ביטחון, אפילו אם המשמעות היא שמניחים שחלק מהפרימיטיבים שבשימוש חזקים מאוד. זאת בניגוד לפרוטוקול שמפותח בשיטות אד הוק מוחלטות שבהן לא קיימת הגדרה פורמלית כלל. אמנם אי אפשר להצהיר שהפרוטוקול המעשי בטוח באופן מוחלט אם המודל התאורטי שלו בטוח, אך אפשר להניח לפחות שאינו מכיל 'פגמים מבניים' כלשהם כך שכל התקפה כנגד יישום הפרוטוקול חייבת ליהנות מחולשות בפרימיטיבים הקריפטוגרפיים עצמם כדי שתצליח. לכן ההנחה היא שהפרוטוקול בטוח כל עוד הפרימיטיבים בטוחים.
רן קנטי, עודד גולדרייך ושי הלוי (1998) ביקרו את רעיון מודל האורקל האקראי והשימוש בפונקציות גיבוב קריפטוגרפיות ליישומו והוכיחו שקיים פרוטוקול שנקרא בטוח תחת מודל אורקל אקראי אך כל ניסיון ליישמו על ידי החלפה מפונקציה תאורטית בפונקציה מעשית, מניב סכמה לא בטוחה. הם מסכמים בהצעות משלהם ליישום בטוח של המודל ומציינים מספר מגבלות. יש הסבורים שהסיטואציה שהעלו קצת מלאכותית ולא סביר שתקרה במנגנונים קריפטוגרפיים אמיתיים.
תיאור המודל.
באופן כללי קיים פער בין תאורטיקנים בתחום ההצפנה לבין המיישמים בפועל. מהיבט תאורטי פונקציה חד כיוונית היא הבסיס למבנים קריפטוגרפיים מורכבים יותר כמו פונקציה פסאודו-אקראית (PRF). מנקודת ראות תאורטית אין משקל ליעילות, לכן ניסיון להגיע לביטחון מוכח עשוי לבוא על חשבון יעילות. אולם מהיבט מעשי קיימים אלגוריתמים יעילים מאוד כמו AES או SHA-2 שנחשבים לפונקציה פסאודו-אקראית אם כי לא קיימת הוכחה פורמלית כלל. הפתרון שמוצע לפי המודל הזה הוא לראות ב-SHA-2 כפונקציה אקראית רק לצורך הדיון. כלומר נניח שקיימת פונקציה אקראית formula_29 ונניח שקיימת בעיה (משימה) formula_34 שאותה מנסים לפתור באמצעות פיתוח פרוטוקול מתאים, ושהיא נפרדת ובלתי תלויה בפונקציה formula_29. נתון אורקל אקראי המסומן בקיצור formula_36. כלומר הוא מקבל כקלט מחרוזת כלשהי באורך לא מוגדר ומחזיר מחרוזת אקראית אמיתית כלשהי. כדי להמציא פרוטוקול formula_37 שפותר את הבעיה האמורה אפשר לפעול כדלהלן:
א. מנסחים הגדרה פורמלית לבעיה formula_34 בסביבה שבה כל המשתתפים כולל יריב אפשרי נגישים לאורקל formula_39.