31、PHOTON：轻量级哈希函数家族的创新之作

PHOTON：轻量级哈希函数家族的创新之作

1. 哈希函数背景与PHOTON简介

在哈希函数领域，不同的应用场景对哈希函数的要求各异。例如，在一些需要处理64位输入的场景中，需要哈希函数提供64位的原像安全性，且不要求具备抗碰撞性。过去，像ARMADILLO这样的轻量级哈希函数家族虽被提出，但后来被发现存在严重的安全弱点。而QUARK哈希函数则采用海绵函数作为域扩展算法，其内部置换受到流密码GRAIN和分组密码KATAN的启发。

传统的n位哈希函数构造，如MD - SHA家族，使用Merkle - Damgård域扩展算法和基于n位分组密码E的Davies - Meyer模式压缩函数。与之不同，海绵函数作为操作模式在紧凑性方面更进一步，它避免了前馈操作，节省了大量内存寄存器，但代价是迭代过程可逆，导致在相同内部状态大小下，（第二）原像安全性降低。因此，设计者需要在安全性和内存需求之间进行权衡。

PHOTON是一种面向硬件的新型哈希函数家族。它选择使用海绵函数框架，以尽可能降低内部内存大小。同时，对该框架进行了扩展，在硬件中实现了原像安全性和小消息哈希速度之间的良好权衡。其内部置换类似于AES原语，专为硬件设计，列混合层可以串行计算，同时保持最佳扩散特性。PHOTON不仅是目前已知最小的哈希函数，还实现了出色的面积/吞吐量权衡。

在安全性方面，使用类似AES的置换具有很大优势。可以充分利用之前对AES和基于AES的哈希函数进行的所有密码分析，还能直接推导置换四轮中活动S盒数量的简单界限，从而自信地设置适当的轮数以确保足够的安全裕度。

2. 设计选择

2.1 安全级别选择

在基于标签的应用中，通常