53、哈希函数构造：迭代哈希函数解析

哈希函数构造：迭代哈希函数解析

哈希函数构造背景

哈希函数具有多种特性，在无密钥或使用公钥时，可具备抗碰撞性、抗二次原像性或单向性；在使用私钥时，可能具有伪随机性或用作消息认证码。这些特性使哈希函数成为几乎所有复杂密码方案的基本构建块，广泛应用于签名方案和公钥加密方案的构建中。

构建哈希函数的主要挑战之一是处理任意长度的消息。哈希函数通常定义为固定输出长度，但需要能够处理任意长度的输入。一种自然的设计方法是将其分解为两部分：首先考虑能处理固定输入长度的原语，并确保其具备所需特性，如抗碰撞性；然后使用迭代方案多次调用该固定输入长度的原语，以处理任意长度的消息。这种迭代方案也称为域扩展方案。

域扩展与迭代方案

设 $h : {0, 1}^{h.il(\lambda)} \to {0, 1}^{h.ol(\lambda)}$ 是一个函数，其中输入大小 $h.il(\lambda)$ 对于每个安全参数 $\lambda \in N$ 是固定的。迭代方案 $H$ 使用固定输入长度的函数 $h$ 构建一个新函数 $H_h : {0, 1}^* \to {0, 1}^{H.ol(\lambda)}$，该函数可以处理任意长度的输入消息并产生固定长度的输出。

核心函数 $h$ 通常是压缩函数，即 $h.il(\lambda) > h.ol(\lambda)$，但也有例外，如 SHA - 3 构造中的迭代函数是一个置换。迭代方案可以通过图形表示更直观地理解，当核心函数 $h$ 是压缩函数，输入 $x$ 产生输出 $y$ 时，可以表示为：

h
x
y