33、从有缺陷的理想密码构造哈希函数

从有缺陷的理想密码构造哈希函数

1. 引言

在密码学中，基于底层原语的构造通常会将原语建模为理想对象进行设计和分析，如随机预言机、随机置换或理想密码。然而，当这些原语在现实世界中实例化时，可能会存在“缺陷”，与理想状态相差甚远。因此，设计能够抵御底层原语已知或潜在缺陷的构造是一个重要目标。

我们关注的是当底层块密码容易受到相关密钥攻击时，构造抗碰撞哈希函数的情况。许多著名的哈希函数都基于底层（可调整）块密码，相关密钥攻击也已在多个现实世界的块密码中被证明存在。所以，分析和理解这些构造的安全性具有重要的实际意义。

2. 定义

2.1 有缺陷的理想密码

理想密码是一个预言机 $E : {0, 1}^n \times {0, 1}^n \to {0, 1}^n$，对于每个 $k \in {0, 1}^n$，函数 $E_k(\cdot) = E(k, \cdot)$ 是从 ${0, 1}^n$ 上的置换集合中均匀选择的。$E^{-1}$ 表示 $E$ 的逆，即 $E^{-1}_k(y)$ 是使得 $E_k(x) = y$ 的唯一 $x$。

现在定义一个除了具有相关密钥弱点外其他方面都是理想的密码。具体来说，存在一个非零位移 $\triangle k \neq 0^n$ 以及位移 $\triangle x, \triangle y \in {0, 1}^n$，使得 $E_k(x) = E_{k \oplus \triangle k}(x \oplus \triangle x) \oplus \triangle y$。

定义 1（易受相关密钥攻击的理想密码） ：设 $