MD4的碰撞微分--一个关于符号的问题(Wang，等)

Question

在论文“哈希函数MD4和RIPEMD的密码分析”中，作者介绍了以下表示法(第4.1段)：

$\Delta$$H_0$ =0 $\xrightarrow{(M_，M')}$ $\Delta$$H$ =0

这到底是什么意思？我知道$\Delta$$H$可能是哈希输出之间的区别，但是$\Delta$$H_0$呢？

免责声明:我对差分密码分析一无所知，所以如果上面的公式是某种标准符号，我很抱歉。

Answer 1

在MD4算法中，正在被散列的消息被分割成一系列的512位块。您所引用的碰撞攻击在单个块中形成冲突。也就是说，攻击形成两个碰撞消息，X和X'，除了一个块之外，每个块都是相同的。本文将X和X‘的分块分别称为M和M’。

由于块M和M‘之前的X和X’部分是相同的，所以它们具有相同的散列。这些块的散列称为H$_0$。所以$\Delta$H$_0$ =0只是说M和M‘块之前消息的中间散列是相同的。

$\xrightarrow{(M_，M')}$表示块M被散列为消息的一部分，块M‘作为消息的一部分进行散列。

一旦这些消息块被散列，两个消息的散列仍然是相同的，这就是$\Delta$H =0的意思。

所以，从整体上讲，这个等式在英语中的意思是：“两个消息的中间散列是相同的。然后，我们处理每条消息的一个块。这些块叫做M和M‘。即使这些块不相同，它们的最后散列是相同的。”

注意，在一些用于差分密码分析的文章中，M和M‘不是指单个消息块，而是指整个消息。这不是标准的表示法。

当我开始进行微分密码分析的时候，我也很难理解这个方程，但我希望这对你有所帮助。