原像电阻和二次原像电阻的区别

Question

Wikipedia 说：

• 原像阻力：对于基本上所有预先指定的输出，要找到任何散列到该输出的输入在计算上是不可行的，即，很难找到任何原像 x 给定 a "y" 使得 h(x) = y。

• second-preimage resistance：要找到与指定输入具有相同输出的任何第二个输入在计算上是不可行的，即，给定 x，很难找到第二个原像x' ≠ x 使得 h(x) = h(x')。

然而，我不明白。 h(x′)（其中 x' 是输入）生成 y（输出） ，然后将其与相同的 h(x)?

进行比较

说，我有一个字符串“示例”。它生成 MD5“1a79a4d60de6718e8e5b326e338ae533”。为什么只使用 MD5 与使用 MD5 不同（示例）？

Answer 1

理想的散列就像取一个人的指纹，它是唯一的，它是不可逆的（你不能仅仅从指纹中得到整个人），它可以作为一个简短的标识符用于给定的人。

如果我们将您引入的一些术语带入我们的类比中，我们会看到 原像阻力 是指哈希函数不可逆的能力。想象一下，如果你可以从他们的指纹中生成一个完整的人的肖像，除了非常酷之外，这也可能非常危险。出于同样的原因，必须制作散列函数，以便攻击者无法找到生成散列的原始消息。从这个意义上说，哈希函数是单向，因为消息生成哈希，而不是反过来。

第二原像抗性是指给定哈希函数的唯一性。如果任何数量的人可以共享相同的指纹，法医指纹识别将是一种严重的浪费时间（让我们暂时排除同卵双胞胎。编辑：请参阅下面的 Det 评论）。如果使用给定的哈希来验证数据是否损坏，那么如果损坏的数据很有可能生成相同的哈希，那将毫无意义。

同时具有原像抗性和第二原像抗性哈希函数采用了几个特性来帮助它们。哈希函数非常常见的一个特征是给定的输入与输出没有对应关系。单个位更改可以产生一个与原始输入的散列完全没有字节共享的散列。出于这个原因，一个好的散列函数通常用于消息认证。

虽然您是对的，直接比较原始消息在功能上等同于比较哈希值，但在大多数情况下根本不可行。例如：

如果甲方想要可靠地向乙方发送消息，甲方/乙方需要就在传输过程中检测数据损坏的方案达成一致。注意：在甲方发送之前，乙方没有原始消息。

一种可能的传输方案可能是将消息传输两次，以便 B 方可以验证第二条消息是否等于第一条消息。这样做的问题是有可能在同一个地方发生两次损坏（以及显着更高的带宽）。这只能通过更多次发送消息来减少，从而产生严重的带宽成本。

作为替代方案，A 方可以将他/她的长消息传递到一个散列函数中，并生成一个他/她发送给 B 方的短散列，然后是原始消息。然后乙方可以将收到的消息传递给散列函数并匹配散列。如果消息或散列在传输过程中被损坏，即使是单个位，生成的散列也不会匹配，这要归功于第二个原像阻力（没有两个明文应该具有相同的散列）。

如果消息在传输过程中被加密但哈希是在加密之前获取的，那么在这种情况下，原像抵抗将很有用（这是否合适是另一个讨论）。如果哈希是可逆的，窃听者可以拦截哈希并反向找到原始消息。

所有散列函数都不相等，这就是为什么在选择使用哪些、哪些是安全的以及哪些should be deprecated and replaced时考虑它们的原像抗性/第二原像抗性很重要。

Answer 2

你了解原像和第二原像抗性吗？它说散列函数的输出是唯一的，至少在理论上是这样。从散列中获取原始字符串是“计算上”不可行的。虽然这是可能的（蛮力），但会占用大量时间和资源。

现在，哈希函数的输出和字符串本身是不同的。例如，考虑一个带有仪表板的网站。您在注册时提供您的 user_id 和密码。如果网站将您的密码存储在他们的数据库中，黑客就可以访问它。他可以访问您的帐户。但是，如果存储了您密码的哈希值，即使他设法破解了服务器，该哈希值对他也毫无用处。因为，如果没有您的密码，他就无法访问您的帐户，并且从哈希（原像抗性）中获取您的密码在计算上是不可行的。将 md5 (yourpassword) 与存储在数据库中的哈希值进行比较是不同的。每次输入密码时，都会使用 sampe 散列函数对其进行散列，并与现有散列进行比较。根据第二原像抵抗，如果您输入了错误的密码，则哈希将不匹配。

散列的另一个例子是版本控制或源代码控制机制。为了跟踪文件中的更改，使用了散列。他们散列整个文件并保留它。如果文件被修改，它的哈希值也会相应改变。

这些都是解释你问什么的例子。