24、哈希函数、承诺方案与对称密钥原语实用构造

哈希函数、承诺方案与对称密钥原语实用构造

1. 哈希函数与承诺方案

哈希函数在现代密码学中具有重要地位，它有多种安全属性，如抗碰撞性、抗第二原像性和抗原像性。可以从随机预言机 $H$ 轻松构建一个安全的承诺方案。为了对消息 $m$ 进行承诺，发送者选择均匀的 $r \in {0, 1}^n$，并输出 $com := H(m \parallel r)$。在随机预言机模型中，由于 $H$ 实际上充当了方案的公共参数，所以不需要 $Gen$ 和 $params$。

承诺方案的绑定性源于 $H$ 的抗碰撞性。直观地说，其隐藏性是因为敌手查询 $H(\star \parallel r)$ 的概率可忽略不计（因为 $r$ 是均匀的 $n$ 位字符串）；如果敌手从未进行这种形式的查询，那么 $com = H(m \parallel r)$ 不会泄露关于 $m$ 的任何信息。

以下是一些相关的性质和结论：
- 抗碰撞性与抗第二原像性 ：任何抗碰撞的哈希函数都是抗第二原像的。
- 压缩函数的性质 ：如果一个将 $2n$ 位输入映射到 $n$ 位输出的压缩函数是抗第二原像的，那么它也是抗原像的。

还可以对哈希函数进行组合，例如定义 $(Gen, H)$，其中 $Gen$ 运行 $Gen_1$ 和 $Gen_2$ 分别获得密钥 $s_1$ 和 $s_2$，然后 $H_{s_1,s_2}(x) = H_{s_1}^1(x) \parallel H_{s_2}^2(x)$。若 $(Gen_1, H_1)$ 和 $(Gen_2, H_2)$ 中至少有一个是抗碰撞的，那么 $(Gen, H)$