34、基于分组密码构建哈希函数的方案解析

基于分组密码构建哈希函数的方案解析

1. MDP - MMO 概述

MDP - MMO（ E, π, IV ）是一种基于分组密码构建哈希函数的方案。其填充后的消息表示为 pad(M) = M1M2 · · · Mk ，相关结构如图 1 所示。

1.1 MDP - MMO 的安全性

1.1.1 抗碰撞性

若 MDP - MMO 的压缩函数具有抗碰撞性（CR），即难以找到一对不同的 (S, X) 和 (S′, X′) 使得 ES(X)⊕X = ES′(X′)⊕X′ ，那么 MDP - MMO 本身也具有抗碰撞性。虽然分组密码 E 的伪随机性不能直接推出该性质，但设计良好的分组密码（如 AES）可以合理假设具有此性质。此外，MDP - MMO 的抗碰撞性也可在理想密码模型中使用特定技术证明。

1.1.2 与随机预言机的不可区分性

在理想密码模型中，MDP - MMO[E, π, IV] 与 VIL 随机预言机是不可区分的。相关定理如下：
设 E 是一个 (n, n) 分组密码，π 是一个置换， Pπ 是其不动点集合。设 A 是一个敌手，它向 VIL 预言机最多发起 qH 次查询，向 FIL 加密预言机最多发起 qE 次查询，向 FIL 解密预言机最多发起 qD 次查询。设 l