12、某些双调用哈希函数的碰撞与原像抗性分析

某些双调用哈希函数的碰撞与原像抗性分析

1. 引言

密码哈希函数能将任意长度的消息映射为固定长度的摘要。其设计通常包含两部分：一是设计固定输入长度的压缩函数，二是设计该压缩函数的操作模式，其中最常用的操作模式是Merkle - Damgård构造。本文聚焦于压缩函数的设计。

压缩函数设计一般分为两类：一类基于现有密码原语（如分组密码），像PGV方案和MDC - 2构造；另一类是专门为哈希设计的，例如MD4、MD5、SHA系列等，尽管许多这类设计的结构看起来类似基于分组密码的设计。

部分压缩函数设计在假设底层密码原语为理想状态时，被证明是安全的（如抗碰撞）。在安全证明中，攻击者通常被假设为计算能力无界（或信息论意义上的），即只计算攻击者对底层原语的调用次数来评估复杂度。近年来，这种类型的安全证明受到了广泛关注。

2. 背景知识

• 单调用压缩函数的局限性 ：Black等人指出，在理想密码模型中，仅对置换进行一次调用的压缩函数，在信息论安全模型下无法提供理想的抗碰撞性。
• 复杂度上界的推导 ：Rogaway和Steinberger推广了Black等人的结果，推导出使用任意数量底层置换的压缩函数的碰撞和原像攻击复杂度的上界，同样假设信息论意义上的攻击者。他们还提出了在假设理想底层原语和信息论攻击者的情况下被证明安全的构造。
• 达到安全边界的构造 ：Shrimpton和Stam提出了达到Rogaway和Steinberger所提出的安全边界的构造。Stam进一步推广并评论了Rog