基于第二个抗预图像的散列函数的HMAC总是令人难忘的吗？

Question

如果哈希函数是冲突的，那么它的相关的HMAC总是令人难忘的.但假设哈希函数仅具有抗二次预图像能力，而不一定具有抗碰撞能力。那么我的问题是，它的相关HMAC总是令人难忘的？

Answer 1

即使是碰撞电阻也不足以使HMAC无法忘记，第二预图像电阻也是如此。

设H : \{0,1\}^* \to \{0,1\}^n是一个抗碰撞的散列函数。我们将哈希函数H' : \{0,1\}^* \to \{0,1\}^{n+1}定义为

H'(m\Vert b) = H(m)\Vert b,

在哪里|b|=1。

因为对于任何m_0\Vert b_0和m_1\Vert b_1，它都认为H'(m_0\Vert b_0) = H'(m_1\Vert b_1)当且仅当b_0=b_1和H(m_0)=H(m_1)，所以很容易看出H'中的任何碰撞都意味着H中的冲突。因此，H'必须保持抗碰撞能力。

但是，用H'实例化HMAC是很容易忘记的。

\begin{align} \mathsf{HMAC}(K,m\Vert b) =& H'\Bigl((K\oplus \mathsf{opad})\Vert H'\bigl((K\oplus \mathsf{ipad})\Vert m\Vert b\bigr)\Bigr)\\ =&H'\Bigl((K\oplus \mathsf{opad})\Vert H\bigl((K\oplus \mathsf{ipad})\Vert m\bigr)\Vert b\Bigr)\\ =&H\Bigl((K\oplus \mathsf{opad})\Vert H\bigl((K\oplus \mathsf{ipad})\Vert m\bigr)\Bigr)\Vert b\\ \end{align}

例如，对手可以将标记t作为任意消息m的标记，并将(m\oplus 0\dots01,t\oplus 0\dots01)表示为具有概率1的有效伪造。