15、哈希函数的原像攻击：MD4、MD5与3 - 通HAVAL

哈希函数的原像攻击：MD4、MD5与3 - 通HAVAL

1. 哈希函数安全基础与原像攻击背景

哈希函数在现代密码学中扮演着重要角色，它将任意长度的消息 M 映射为固定长度的哈希值 H ，并需满足三项核心安全要求：
- 碰撞抗性 ：难以找到两个不同的消息 M 和 M* ，使得 h(M) = h(M*) 。
- 第二原像抗性 ：给定消息 M ，难以找到另一个不同的消息 M* ，使得 h(M) = h(M*) 。
- 原像抗性 ：给定哈希值 H ，难以找到消息 M ，使得 h(M) = H 。

哈希函数对碰撞和（第二）原像攻击的抗性主要取决于哈希值的长度 n 。无论哈希函数如何设计，攻击者在尝试约 2^n 个不同消息后总能找到原像或第二原像。而由于生日悖论，找到碰撞所需的尝试次数约为 2^(n/2) 。

近年来，哈希函数的密码分析结果主要集中在碰撞攻击上，原像攻击的相关成果较少。MD4、MD5 和 HAVAL 等哈希函数都曾遭受严重的碰撞攻击，但在原像攻击方面的研究相对不足。

2. MD4 的原像攻击