抗碰撞性

抗碰撞要求攻击者难以找到任意两个不同输入具有相同哈希，而不是给定一个输入后再找第二原像。压缩到有限输出空间必会把某些输入映到同一摘要，碰撞在数学上不可避免；安全性只要求这些碰撞藏得足够深，让现实算法在可行计算内找不到。对理想 $n$ bit 哈希，生日现象把通用碰撞攻击复杂度降到约 $2^{n/2}$，因此输出位数需按该平方根安全级别选择。

生日攻击使理想 $n$ bit 哈希的碰撞成本约为 $2^{n/2}$；对 $256$ bit 理想哈希，通用生日碰撞工作量约 $2^{128}$，远小于前像搜索的 $2^{256}$。MD5 已可实用构造碰撞，所以不能再用于需要抗碰撞的签名、证书或内容承诺。碰撞抗性不自动蕴含伪随机性或抗长度扩展，也不保证对低熵口令的原像安全。

仅检查两个随机文件哈希不同不能证明函数抗碰撞；攻击者会专门构造输入。抗碰撞也不意味着 MAC 安全，因为无密钥哈希任何人都能计算；密码存储主要依赖抗离线猜测与盐，而不只是碰撞性质。

抗碰撞性是 密码哈希函数公理库密码哈希函数Cryptographic hash function把任意长输入压缩到固定长度并要求原像、第二原像或碰撞难求的函数族。 的核心目标之一，与前像、第二原像性质区分，并支撑内容完整性、数字签名公理库数字签名Digital signature由私钥签名、公开验证并提供不可伪造性的认证机制。 的 hash-then-sign、Merkle 树和 承诺方案公理库承诺方案Commitment scheme由承诺和打开两个阶段组成并满足隐藏性与绑定性的密码协议。，防止同一摘要被解释为两份内容。