36、MD4和MD5碰撞中的消息自由度：APOP应用解析

MD4和MD5碰撞中的消息自由度：APOP应用解析

1. 引言

在密码学领域，哈希函数的碰撞攻击一直是研究的热点。Wang等人在EUROCRYPT ’05和CRYPTO ’05上提出了针对MD4家族哈希函数（如MD4、MD5、HAVAL、RIPEMD、SHA - 0和SHA - 1）的新型攻击方法，能够高效地找到这些哈希函数的碰撞。然而，这种攻击在实际应用中存在一定局限性，由于消息修改技术，碰撞块难以选择且看起来随机。

不过，这些攻击可以使用任意初始向量（IV），攻击者可以为两个碰撞消息选择一个共同的前缀，并且Merkle - Damgård构造允许添加共同的后缀。但攻击者必须想办法隐藏碰撞块（MD4和SHA - 0中为1块，MD5和SHA - 1中为2块）。

以下是一些利用这些特性的攻击示例：
- 中毒消息攻击 ：创建两个不同的PostScript文件，显示不同的选定文本但摘要相同。
- X.509证书攻击 ：为相同的可分辨名称创建不同的X.509证书，但具有不同的安全RSA模数。

近年来，出现了更具体的攻击，如Stevens等人找到了针对两个不同可分辨名称的碰撞X.509证书。此外，还有利用Wang碰撞攻击HMAC的应用。

本文的主要目标是扩展Wang的攻击，解决碰撞块内的消息自由度问题，并展示其在攻击APOP（一种挑战 - 响应认证协议）中的应用。具体成果如下：
- 部分控制碰撞块 ：提出一种技术，可对碰撞块进行部分控制，能选择碰撞消息末尾的部分内容。例如，在单块MD4碰撞中可选择最后三个消息