44、抗颠覆签名与哈希函数的构建与分析

抗颠覆签名与哈希函数的构建与分析

1. 抗颠覆哈希函数的基础概念

在构建安全的密码学系统时，哈希函数是至关重要的组成部分。由于我们要从单向函数构建一次性签名，就需要一种方法将两个公钥（一次性签名的公钥）哈希到一个公钥的大小，以使签名构造能够正常工作。

首先，我们给出哈希函数族的定义。一个哈希函数族 $H$ 是一对概率多项式时间（ppt）算法 $(Gen, H)$，其中 $Gen$ 以安全参数 $1^{\lambda}$ 为输入，输出一个（非秘密）密钥 $s$，而 $H$ 以密钥 $s$ 和字符串 $x \in {0, 1}^*$ 为输入，输出 $H_s(x)$。这里我们只考虑接受固定长度输入的密钥哈希函数，假设输入长度为 $2\lambda$。

接着，我们来看两个与哈希函数相关的安全概念：
- 目标碰撞抗性（TCR） ：设 $H = (Gen, H)$ 是一个哈希函数族，若 $Pr[Exp^{TCR}_H_A(1^{\lambda}) = 1] \leq negl(\lambda)$，则称 $H$ 是目标碰撞抗性的，其中 $Exp^{TCR}_H_A(1^{\lambda})$ 有特定的实验设定。
- 随机目标碰撞抗性（rTCR） ：设 $H = (Gen, H)$ 是一个哈希函数族，若 $Pr[Exp^{RTCR}_H_A(1^{\lambda}) = 1] \leq negl(\lambda)$，则称 $H$ 是随机目标碰撞抗性的，$Exp^{RTCR}_H_A(1^{\lambda})$ 也有对应的实验设定。

2. 大定义域哈希函数的颠覆攻击