security - 为什么密码散列函数中的冲突检测使查找其他冲突更容易？

Question

从维基百科，我读到：

Joux[3] 指出，2 次冲突会导致 n 次冲突：如果可以找到具有相同 MD5 哈希的两条消息，那么实际上找到攻击者想要的具有相同 MD5 哈希的尽可能多的消息并不困难。

但为什么会这样呢？我无法想象为什么？算法是开放的，人们可以阅读生成哈希的数学，这是摘要机器。那么，如果我们知道一次碰撞，为什么它有助于找到新的碰撞呢？

它只是对第一个碰撞消息进行小迭代，然后监视它们的更改以重新映射它们吗？

Answer 1

这不是所有哈希函数的属性，而是Merkle-Damgård 构造（MD5 和 SHA-1 所基于）的弱点，称为长度扩展。弱点在于您可以使用特别选择的附加数据“恢复”哈希计算。有关如何使用它来生成任意多个冲突的完整详细信息，请参阅：

• 迭代哈希函数中的多重冲突。应用于级联结构(Antoine Joux)

基于此思想的相关攻击，参见：

• 了解哈希长度扩展攻击
• Flickr 的 API 签名伪造漏洞

Answer 2

我认为这里的关键是“可行”这个词。在加密领域，可行意味着“与我试图打破的任何东西的价值相比，合理的时间量”，或者可能是“使用蛮力所花费的时间更少”，具体取决于你如何看待事物。

所以，如果我可以找到 1 次碰撞，那么我可以找到 n 次碰撞，因为n*small仍然很小。

仍然会有一些n where n*small > value of breakage。

这适用于其他哈希函数吗？我相信是这样，但我可能是错的。

让燃烧开始。