17、3 - 轮 HAVAL 和步数缩减 MD5 的原像攻击及 SMASH 变体的密码分析

3 - 轮 HAVAL 和步数缩减 MD5 的原像攻击及 SMASH 变体的密码分析

1. 3 - 轮 HAVAL 和步数缩减 MD5 的原像攻击

在密码学领域，原像攻击是评估哈希函数安全性的重要手段。对于 3 - 轮 HAVAL 和步数缩减的 MD5 哈希函数，研究人员提出了一系列原像攻击方法。

1.1 原像攻击基础

在对 MD5 压缩函数的原像攻击中，中间人攻击（MITM）成功的概率为 (2^{-96} = 2^{64} \times 2^{64}/2^{224})。为了得到一个 192 位的原像，需要进行 (2^{96} \times 2^{64} = 2^{160}) 次试验，同时需要 (2^{69}) 字节的存储空间。若要获得完整的 256 位原像，则需对剩余的 64 位进行暴力破解，这会使攻击成本增加到 (2^{224}) 次试验。

1.2 攻击扩展到哈希函数

将对压缩函数的原像攻击扩展到哈希函数时，会受到填充规则和预定义初始向量（IV）的限制。MD5 和 HAVAL 的填充规则要求消息的最后几位编码其长度，因此原像攻击需要找到符合该约束的消息。在实际攻击中，可选择消息的结尾形式为 (100 \cdots 0\langle\ell\rangle)，其中 (\langle\ell\rangle) 表示原始消息（不包含填充位）的位长度。

然而，压缩函数原像的 IV 与固定的 IV 不同。例如，在对缩减到 47 步的 MD5 攻击中，需要 (B_0 = 0)，并得到一个随机的 (C_0) 值。为了从预定义的 IV 开始进行原像攻击，有以下两种方法：