[论文解读] HF-hash : Hash Functions Using Restricted HFE Challenge-1

Dhananjoy Dey, P. R. Mishra+1 more|arXiv (Cornell University)|Sep 8, 2009

Cryptographic Implementations and Security参考文献 22被引用 3

一句话总结

HF-hash 是一种新型密码散列函数，其使用受限版本的 HFE Challenge-1 多变量多项式系统——具体而言，使用其中前 32 个（共 64 个）多项式，并将 16 个变量设为零——来构建 256 位摘要。它实现了与 SHA-256 相当的效率，并由于底层多变量系统的复杂性及其在压缩和消息扩展中的设计选择，能够抵抗已知的差分攻击，包括 Chabaud 和 Joux 以及 Wang 等人提出的攻击。

ABSTRACT

Vulnerability of dedicated hash functions to various attacks has made the task of designing hash function much more challenging. This provides us a strong motivation to design a new cryptographic hash function viz. HF-hash. This is a hash function, whose compression function is designed by using first 32 polynomials of HFE Challenge-1 with 64 variables by forcing remaining 16 variables as zero. HF-hash gives 256 bits message digest and is as efficient as SHA-256. It is secure against the differential attack proposed by Chabaud and Joux as well as by Wang et. al. applied to SHA-0 and SHA-1.

研究动机与目标

• 设计一种对 MD4、MD5、SHA-0 和 SHA-1 上已知差分攻击具有抗性的新型密码散列函数。
• 探索利用 HFE Challenge-1 中的多变量二次多项式作为安全压缩函数基础的可行性。
• 确保所生成的散列函数在保持与 SHA-256 相当的高效率的同时，对碰撞攻击和差分攻击具有强抵抗能力。
• 提供 HF-hash 的完整规格说明与分析，包括填充方式、解析规则、初始值以及压缩函数的设计。

提出的方法

• 压缩函数由 HFE Challenge-1 系统的前 32 个多变量二次多项式构建，其中 16 个变量被设为零，从而将 64 个变量的系统简化为仅使用 32 个方程的 64 个变量系统。
• 消息通过在末尾附加一个 '1' 位，随后填充零，再附加原始消息长度的 64 位表示进行填充，以满足条件 l + 1 + k + 64 ≡ 0 mod 448。
• 填充后的消息被解析为 448 位的块（每块 14 个 32 位字），并通过压缩函数迭代处理。
• 初始值由 π 的小数部分导出，使用其十六进制表示生成 8 个字（共 256 位）作为初始状态。
• 压缩函数在 GF(2) 上对当前状态和消息块应用 32 个多变量多项式，并通过前馈机制更新内部状态。
• 在处理完所有消息块后，最终输出最终状态作为 256 位摘要。

实验结果

研究问题

• RQ1 能否使用 HFE Challenge-1 多变量多项式系统的受限子集来构建安全且高效的密码散列函数？
• RQ2 仅使用 HFE Challenge-1 中的 32 个（共 64 个）多项式是否能保持足够的非线性以及对差分密码分析的抵抗能力？
• RQ3 HF-hash 在安全性与性能方面与 SHA-256 及其他 MD 家族或 SHA 家族散列函数相比如何？
• RQ4 通过采用基于多变量多项式系统的根本不同的压缩函数，是否可以避免 MD4、MD5、SHA-0 和 SHA-1 中观察到的结构性弱点？
• RQ5 HF-hash 中的消息扩展与压缩设计是否足以防止用于攻击 SHA-0 和 SHA-1 的已知差分模式？

主要发现

• HF-hash 使用基于 HFE Challenge-1 前 32 个多项式并固定 16 个变量为零的压缩函数，生成 256 位消息摘要，确保了紧凑且高效的结构设计。
• 该散列函数的效率与 SHA-256 相当，因此适用于对高速散列有要求的实际系统部署。
• HF-hash 对 Chabaud 和 Joux 提出的针对 SHA-0 的差分攻击具有抗性，该攻击需 2^61 次计算，其根源在于底层多变量系统的高度复杂性。
• 它能抵抗 Wang 等人用于攻击 SHA-1 的高级差分模式，因为 HF-hash 中的消息扩展与压缩结构不允许对状态转移施加相同的控制程度。
• 在 GF(2) 上使用一组固定的 32 个多变量二次多项式，引入了足够的非线性，增强了对代数攻击和差分攻击的抵抗能力。
• 该设计通过用基于多项式系统的更复杂代数结构替代 MD4 和 SHA-1 家族中迭代的位级操作，避免了这些算法的结构性弱点。