9、70步SHA - 1碰撞搜索的全面成本分析

70步SHA - 1碰撞搜索的全面成本分析

一、引言

近期，碰撞搜索攻击的微小改进引起了密码学界的关注。例如，针对缩减到58步的SHA - 1和完整SHA（SHA - 1的前身）的碰撞搜索实现了23倍的加速。新改进的报告可能会影响标准化机构的短期建议。然而，在估计SHA系列碰撞搜索攻击复杂度时，存在一些在文献中未明确阐述的技术问题，包括消息修改的计算成本、早期停止技术的影响以及2块攻击中两个块最后条件的影响。这些问题都会影响差分碰撞搜索的总成本。同时，新提出的Boomerang方法在碰撞搜索中的效率不如预期。

二、SHA - 1简介

SHA - 1是一个迭代哈希函数，处理512位输入消息块，生成160位哈希值。它基于MD4的设计原则，主要由消息扩展和状态更新转换两部分组成。
- 符号说明
| 符号 | 描述 |
| ---- | ---- |
| (X \oplus Y) | (X)和(Y)的按位异或 |
| (X + Y) | (X)和(Y)模(2^{32})加法 |
| (X) | 任意32位字 |
| (X^2) | 字对，((X, X^*))的简写 |
| (M_i) | 输入消息字(i)（32位） |
| (W_i) | 扩展后的输入消息字(t)（32位） |
| (X \ll n) | (X)左移(n)位，(0 \leq n \leq 31) |
| (X \gg n) | (X)右移(n)位，(0 \leq n \leq 31) |
| (N) | 压缩函数的步数 |