抗碰撞性

碰撞很多，为什么仍可能找不到 ​

若输出只有 $n$ 比特，而允许输入的数量超过 $2^n$，鸽巢原理已经保证存在不同输入落到同一输出上。但存在性没有交付找到它们的有效方法，正如知道某把锁有钥匙，并不等于知道钥匙的形状。

攻击者无需命中特定输出，只要在已见输出中找到任意重复即可。对理想的 $n$ 比特随机函数，在 $q$ 个不同输入上求值，且 $q\le 2^n$ 时，碰撞概率为

这个量由输入对的个数 $(\genfrac{}{}{0ex}{}{q}{2})$ 决定，而不只是由输入个数 $q$ 决定。因此约 $2^{n/2}$ 次求值就达到常数成功概率，这就是生日攻击的平方根尺度。它说明 $256$ 比特摘要在理想模型下对应约 $128$ 比特的经典通用碰撞搜索强度；这不是对某个具体函数不存在结构性攻击的证明。[1]

三个安全目标的输入顺序不同 ​

碰撞攻击可以预先设计两份文档再请求签署其中一份；第二原像攻击则必须匹配已经固定的文档。两者的控制权不同，生日攻击的 $2^{n/2}$ 成本不能直接当作匹配某份既定文档的成本。严格讨论蕴含关系时，还要固定输入分布、长度与函数族，不能只比较三个中文名称。

两个对象相同编码，不是哈希碰撞 ​

假设系统直接拼接两个字段，不写分隔符或长度。那么对象 ("ab", "c") 和 ("a", "bc") 都被编码为字节串 abc。它们的哈希当然相同，但这没有产生定义要求的 $x\ne x^{\prime }$：送入哈希函数的字节串根本相同。

解决这类歧义要靠无歧义序列化，例如长度前缀、规范编码或带类型的编码。抗碰撞哈希只保证不同输入难以发生摘要碰撞，不能修复对象到输入字节之间已经丢失的区分。

变动敏感、保密与来源认证也不同 ​

“输入改一位，输出通常变化很多”是扩散现象，并不充分推出抗碰撞性。反过来，抗碰撞函数也不应被当作加密：哈希身份证末位、布尔状态或其他小候选集合，攻击者仍可枚举所有候选并比对摘要。

公开摘要本身也不能认证来源。若攻击者能同时替换文件与公开的摘要，他可对替换文件重新计算摘要，完全不必找碰撞。来源保证来自可信渠道、消息认证码或数字签名；哈希只是其中一个组成部分。

在“先哈希、再签名”中，签名绑定的是摘要。若攻击者找到两条不同消息共用摘要，就可能把对一条消息的签名转移到另一条消息上。因此整个构造既需要适当的签名安全，也需要正确的哈希与编码规则。[2]

在 Merkle 树或内容寻址存储中，节点摘要压缩了子对象的描述。抗碰撞性支撑“两个不同结构难以得到同一标识”，但叶节点与内部节点应使用可区分的编码，避免结构歧义。用于承诺时，抗碰撞性可以支撑绑定性；隐藏性仍要由随机性和相应定义另外保证。

使用一个哈希函数前，应说明到底依赖哪条性质：去重是否容许误判、签名是否依赖碰撞困难、认证是否已经有秘密密钥。这比把所有要求统称为“哈希很安全”更具体。

Merkle认证树理路Merkle认证树Merkle authentication tree · Merkle tree · 哈希认证树以有序叶、分域哈希和逐层兄弟路径认证某个位置的值，把错误打开归约到真实碰撞，并明确可信根、树形与隐藏性的边界。把这条要求落实为可复算的归约：错误位置值若沿路径得到同一可信根，就在叶或第一个汇合层交出两个不同输入的同一摘要。多重证明理路Merkle多重证明Merkle multiproof · 批量Merkle认证路径把多个叶到根的认证路径合成共享前沿，只传计算中真正缺失的兄弟摘要，并逐层验证坐标、完整性和无多余输入。共享多条路径的中间计算，稀疏树理路稀疏Merkle树Sparse Merkle tree · SMT authenticated map给每个固定宽度键保留唯一叶位置，用默认子树摘要省去空区域，并把非成员声明化为该位置空叶的认证路径。则把固定键处为空也纳入认证；二者仍需明确可信根与规范编码。