10、70步SHA - 1碰撞搜索：全面成本分析

70步SHA - 1碰撞搜索：全面成本分析

1. 引言

在密码学领域，哈希函数的碰撞搜索是一个重要的研究方向。对于SHA - 1这类哈希函数，目前已知的差分碰撞搜索攻击所需内存少且易于并行化。然而，理论分析往往会对实际碰撞搜索的实现成本得出过于乐观的结论，因此需要通过测量结果并与标准哈希实现进行比较，来评估不同的碰撞搜索策略。

2. 碰撞搜索方法

2.1 方程求解法

Sugita等人在2007年的FSE会议上提出了一种使用符号计算进行SHA - 1消息修改的新方法。该方法能显著减少所需的消息对试验次数，但会增加消息修改成本。他们声称，使用此方法构建58步SHA - 1的碰撞，复杂度接近28次消息修改（符号计算）步骤，约相当于231次SHA - 1计算（实验得出）。而Wang对58步SHA - 1的攻击复杂度约为234次哈希计算。不过，Sugita等人未说明与SHA - 1计算的比较方式，且方法描述模糊，也未给出对完整SHA - 1哈希函数攻击复杂度的估计，目前尚不清楚该方法能否改进SHA - 1的攻击复杂度。

2.2 中性比特法

Biham和Chen在分析SHA时发明了中性比特技术。该方法的主要思想是从某个中间步骤r开始进行碰撞搜索，以提高攻击复杂度。对于满足特征到步骤r的消息对(m, m )，若消息对(m ⊕ 2j, m ⊕ 2j)也满足到步骤r的特征，则第j位被称为中性比特。每组中性比特可生成2t个新的消息对（t为中性比特的数量），且其中约1/8的消息对仍满足到步骤r的特征，因此可得到2t - 3个满足特征到步骤r的消息对，从而降低了SHA碰撞搜索的复杂度。

2