3、改进的哈希函数碰撞攻击与流密码区分攻击

改进的哈希函数碰撞攻击与流密码区分攻击

一、Grøstl哈希函数的碰撞攻击与区分器

1. 对8轮Grøstl - 224和 - 256的半自由启动碰撞攻击
   • 攻击方法 ：使用超级S盒反弹技术，对简化为8轮的Grøstl - 224和 - 256压缩函数进行半自由启动碰撞攻击。消息块在P(m ⊕ IV)和Q(m)之间的差分路径如图7所示。
   • 复杂度分析
     • 受控阶段从第4轮MixBytes的输入开始，到第7轮SubBytes的输入结束，生成遵循该受控阶段路径的内部状态对的平均时间复杂度为1。
     • 对于正向（从第7轮SubBytes到压缩函数结束），路径遵循概率几乎为1；对于反向（从第4轮逆ShiftBytes到压缩函数开始），在第3轮逆MixBytes处进行两个8 → 1转换需要2^112次计算，在第3轮逆AddConstants处需要2^16次计算。因此，找到遵循整个路径的消息块的时间复杂度为2^128。
     • 由于路径末尾的CV差异由最终MixBytes之前的8字节差异和IV的8个非零字节决定，为了获得CV碰撞的消息对，需要2^64个遵循该路径的消息块。所以，攻击的总时间复杂度为2^192，内存复杂度为2^64。
   • 攻击可行性 ：通过计算自由度，预计最多可生成2^64个遵循该路径的消息块，由于攻击需要2^64个这样的消息块，因此很有可能获得一个CV碰撞。此外，