Tại sao RSA không phải là hàm băm?

RSA là một cái bẫy-hoán vị, với cách thiết kế của bạn, bạn chỉ cần cung cấp RSA-HASH với những vấn đề này;

• Miền giới hạn với hoán vị: các hàm băm mật mã, mặc dù chúng có thể băm kích thước tùy ý nhưng chúng có miền lớn hơn nhiều so với phạm vi của chúng; xem xét

  • SHA-256 trong khi nó có thể có kích thước đầu ra 256 bit thì phạm vi miền là $2^{64}$ chút ít.
  • SHA-3 trong khi nó có thể có kích thước đầu ra 256 bit trở lên thì phạm vi miền là $2^{128}$ chút ít.

  Mặc dù Keccak (SHA-3) sử dụng hoán vị, nhưng cuối cùng nó không phải là hoán vị vì nó sử dụng kích thước đầu vào lớn hơn $2^{128}$. Một hoán vị duy nhất có thể gây ra một số vấn đề.

  Mặt khác, tiền tố dưới dạng hàm băm có ít cách sử dụng, miễn là bạn không xem xét việc băm tệp hoặc chữ ký có kích thước mô-đun rất lớn là không thể với RSA-HASH.

• Tiêu chuẩn: Giả sử NIST đã xuất bản hàm RSA-HASH-3 dưới dạng $H(m) = m^3 \bmod n$. Bây giờ, mọi người trong cộng đồng tiền điện tử sẽ tranh luận rằng trong khi xây dựng RSA-HASH-3, họ đã không phá hủy $p$ và $q$ và họ giữ $d$ như riêng tư. Không có gì đảm bảo rằng họ sẽ làm điều này hay không. Vì vậy, tin tưởng một cách ngây thơ rằng chúng đã bị xóa không phải là cách hoạt động của mật mã ( Bình luận của Moralan).

• Chúng tôi hy vọng rằng các hàm băm có thể mô phỏng Oracles ngẫu nhiên và một số không thành công vì cuộc tấn công mở rộng chiều dài của chúng. Mặt khác, RSA-HASH khác xa với một lời tiên tri ngẫu nhiên. Thuộc tính nhân của RSA ngăn chặn điều này. Trong một Oracle ngẫu nhiên, chúng tôi không mong đợi một mối quan hệ chung giữa các đầu vào được đưa vào một số mối quan hệ giữa các đầu ra, tuy nhiên, RSA-HASH có nó $$RSA(m_1)RSA(m_2) = RSA(m_1 m_2)$$

• Không gian đầu vào ngắn: Để giảm thời gian băm, bạn có thể muốn sử dụng $e=3$, sau đó với root khối tấn công tất cả các thông báo < $\sqrt[3]{N}$ có thể được dễ dàng. Tăng $e$ sẽ làm tăng chi phí băm. Hãy nhớ về nhu cầu sử dụng RSA 2048-bit.

• hậu lượng tử: hiện tại mật mã khối và hàm băm đã an toàn trở lại thuật toán Grover. Chỉ cần sử dụng khóa 256 bit cho mật mã khối và sử dụng ít nhất hàm băm đầu ra 256 bit. Có một công trình cải tiến (Brassard et al.) cho các hàm băm giảm kích thước thành căn bậc ba ( thay vì căn bậc hai của Grover - tối ưu tiệm cận!), tuy nhiên, chi phí diện tích bằng chi phí, vì vậy có không có nguy hiểm ở đó.

  Mặt khác, RSA sẽ bị phá hủy sau khi thuật toán của Shor được xây dựng. Cho nên, RSA-HASH không an toàn sau lượng tử.

Bất kỳ sử dụng?: RSA-HASH có thể phục vụ như một hoán vị ngẫu nhiên tốt nếu kích thước mô-đun phù hợp với ứng dụng của bạn.

Tóm lại là: hoán vị, bảo mật với độ tối, tốc độ và không có hậu lượng tử không phải là lựa chọn tốt cho hàm băm mật mã.

Sử dụng Dòng SHA-2, SHAK của SHA-3, BLAKE2 (rất nhanh), BLAKE3 (rất nhanh), v.v. cho các ứng dụng của bạn.