H 可以作用于任意一个长度的数据块（实际上不是任意的，比如SHA-1要求不超过2^64）
H 产生一个固定长度的输出（比如SHA-1的输出是160比特，SHA-256的输出是256比特）
对任意给定的x，H（x）计算相对容易，无论是软件还是硬件实现
单向性（抗原像）（one-way）：对于任意给定的消息，计算其哈希值容易。但是，对于给定的哈希值H，要找到M使得H（M）=H在计算上是不可行的。即给定消息可以产生一个哈希值，而给定哈希值不可能产生对应的消息；否则, 设传送数据 C =< M,H(M||K)>，K是密钥。攻击者可以截获C，求出哈希函数的逆，从而得出H^-1(C)，然后从M 和M‖K即可得出K
弱抗碰撞（抗二次原像）（Weakly Collision-Free）：对于给定的消息x，要发现另一个消息y，满足H（x）=H（y）在计算上是不可行的。是保证一个给定的消息的哈希值不能找到与之相同的另外的消息，即防止伪造。否则，攻击者可以劫获报文M及其哈希值H（M），并找出另一报文M'，使得H（M）=H（M'）。这样攻击者可以用M'去冒充M。
强抗碰撞（Strongly Collision-Free）：找任意一对不同的消息x、y，使H（x）=H（y）在计算上是不可行的。是对已知的生日攻击方法的防御能力，强抗碰撞自然包含弱抗碰撞。（？）

图：哈希函数强碰撞性示意图

发展

图：哈希函数结构示意图

1978年，Merkle和Damagad设计MD迭代结构
1993年，来学嘉和Messay改进加强MD结构；
在90年代初 MIT Laboratory for Computer Science和RSA数据安全公司的Rivest设计了散列算法MD族，MD代表消息摘要.
MD族中的MD2、MD4和MD5都产生一个 128位的信息摘要
MD2(1989年)
MD4(1990年)
MD5(1991年)：由美国密码学家罗纳德ꞏ李维斯特(Ronald Linn Rivest)设计，经MD2、MD3和 MD4发展而来，输出的是128位固定长度的字符串.
RIPEMD-128/160/320：国际著名密码学家Hans Dobbertin的在1996年攻破了MD4算法的同时，也对MD5的安全性产生了质疑，从而促使他设计了一个类MD5的RIPEMD-160. 在结构上， RIPEMD-160可以视为两个并行的类MD5算法，这使得RIPEMD-160的安全性大大提高.
值得注意得是，MD4， MD5已经在2004年8月Crypto2004 上，被我国密码学者王小云等破译，即在有效的时间内找到了它们的大量碰撞

SHA-0：正式称作为SHA，这个版本在发行后不久被指出存在弱点
SHA-1：是NIS于1994年发布的，它于MD4与MD5算法非常相似，被认为是MD4和MD5的后继者
SHA-2：实际上分为SHA-224、SHA-256、SHA384、SHA-512算法

图：SHA系列哈希函数相关参数比较

图：哈希函数碰撞攻击复杂度示意图（单位：年）

常见攻击方法

1.穷举攻击

（a）原像攻击和第二原像攻击（Preimage or Second Preimage attack）

对于给定的哈希值h，试图找到满足H（x）=h的x
对于m位的哈希值，穷举规模大约是2^m

（b）碰撞攻击（Collision Resistance）

找到两个信息x不等于y，满足H(x) = H(y)
对于m位的哈希值，平均预计在2^m/2次尝试后就找到两个具有相同哈希值的数据

（c）因此对于m位的哈希值，抗穷举攻击的强度为2^m/2：

目前128比特已经不够，需要160比特甚至更多

2.生日攻击

情景：考虑教室有30位同学，定义函数 H: {张三,李四,ꞏꞏꞏꞏꞏꞏ|在教室里的同学}→{1,2, ꞏꞏꞏꞏꞏꞏ,365}，如果有两个同学的生日相同，则称为一个“碰撞”. 直观看来，产生碰撞的可能性较小. 但是, 对于30个人的人群，这个事情发生的可能性大约为1/2.当人数增加时，这个可能性就增大. 这个事实与我们的直观相悖, 称为”生日悖论”.

生日悖论是指在不少于 23 个人中至少有两人生日相同的概率大于 50%。例如在一个 30 人的小学班级中，存在两人生日相同的概率为 70%。对于 60 人的大班，这种概率要大于 99%。从引起逻辑矛盾的角度来说，生日悖论是一种 “佯谬”。但这个数学事实十分反直觉，故称之为一个悖论。生日悖论的数学理论被应用于设计密码学攻击方法——生日攻击。

生日悖论普遍的应用于检测哈希函数：N 位长度的哈希表可能发生碰撞测试次数不是 2N 次而是只有 2N/2 次。这一结论被应用到破解密码哈希函数 (cryptographic hash function) 的 “生日攻击” 中。

总结：对于n位的哈希值，只要尝试2^n/2次，就至少存在一对x和x'，使得H（x）和H（x'）相同

3.其他攻击

利用算法的某种特性进行攻击
哈希函数的迭代结构：将消息分组后分别进行处理
密码分析的攻击集中于压缩函数 f 的碰撞

构造方法

1.利用对称密码体制来设计哈希函数

分组密码的工作模式是：根据不同的数据格式和安全性要求，以一个具体的分组密码算法为基础构造一个分组密码系统的方法.基于分组的对称密码算法比如DES/AES算法只是描述如何根据秘钥对一段固定长度(分组块)的数据进行加密，对于比较长的数据，分组密码工作模式描述了如何重复应用某种算法安全地转换大于块的数据量.

简单的说就是，DES/AES算法描述怎么加密一个数据块，分组密码工作模式描述了如果重复加密比较长的多个数据块. 常见的分组密码工作模式有五种：电码本( Electronic Code Book， ECB)模式、密文分组链接(Cipher Block Chaining，CBC)模式、密文反馈(Cipher Feed Back ， CFB)模式、输出反馈(Output Feed Back ，OFB)模式和计数器(Counter, CTR)模式

（1）ECB工作模式

加密：输入的是当前明文分组

解密：每一个密文分组分别解密

公式： $C_n = E_k[P_n]$ ， $P_n = D_k[C_n]$

（2）CBC工作模式

加密：输入是当前铭文分组和前一次密文分组的异或

解密：每一个密文分组被解密后，再与前一个密文分组异或得明文

公式：

（3）CFB工作模式

加密算法的输入是64比特移位寄存器，其初值为某个初始向量IV.
加密算法输出的最左(最高有效位)j比特与明文的第一个单元P1进行异或，产生出密文的第1个单元C1，并传送该单元.
然后将移位寄存器的内容左移j位并将C1送入移位寄存器最右边(最低有效位)j位.
这一过程继续到明文的所有单元都被加密为止.

（4）OFB工作模式

工作模式类似CFB
不同：OFB模式是将加密算法的输出反馈到移位寄存器；CFB模式中是将密文单元反馈到移位寄存器

（5）CTR工作模式

加密：输入是当前明文分组和计数器密文分组的异或

解密：每一个密文分组被解密后，再与计数器密文分组异或得到明文

公式：

5种工作模式的比较

ECB模式，简单、高速，但最弱、易受重发攻击，一般不推荐.
CBC模式适用于文件加密，比ECB模式慢.安全性加强. 当有少量错误时，不会造成同步错误.
OFB模式和CFB模式较CBC模式慢许多. 每次迭代只有少数比特完成加密. 若可以容忍少量错误扩展，则可换来恢复同步能力，此时用CFB或OFB模式. 在字符为单元的流密码中多选 CFB模式.
CTR模式用于高速同步系统，不容忍差错传播.

下面利用对称密码来构造哈希函数，我们规定：

1.1基于分组密码的CBC工作模式杂凑函数

1.2基于分组密码的CFB工作模式杂凑函数

总结：上述两种基于分组密码的杂凑函数中，K可以公开，称为不带密钥的哈希函数；k也可以不公开，称为带密钥的哈希函数（MAC）。在K公开的情况下，上述两种构造杂凑函数的方法是不安全的，容易找到碰撞。这是为什么呢？

2.直接设计哈希函数

Merkle在1989年提出迭代型哈希函数的一般结构；(另外一个工作是默克尔哈希树)
Ron Rivest在1990年利用这种结构提出MD4；(另外一个工作是RSA算法)
这种结构在几乎所有的哈希函数中使用，具体做法为：
- 把所有消息M分成一些固定长度的块Yi；
- 最后一块padding并使其包含消息 M的长度；
- 设定初始值CV0；
- 循环执行压缩函数f，CVi=f(CVi - 1||Yi -1)；
- 最后一个CVi为哈希值

算法中重复使用一个压缩函数f ；
f 的输入有两项，一项是上一轮输出的n比特值CVi-1，称为链接变量，另一项是算法在本轮的b比特输入分组Yi-1 ；
f 的输出为n比特值CVi，CVi又作为下一轮的输入；
算法开始时还需对链接变量指定一个初值IV，最后一轮输出的链接变量CVL即为最终产生的杂凑值；
通常有b>n，因此称函数f为压缩函数.
算法可表达如下：CV0=IV= n比特长的初值；
CVi=f(CVi-1,Yi-1)；1≤i≤L；
H(M)=CVL
算法的核心技术是设计难以找到碰撞的压缩函数f，而敌手对算法的攻击重点是f 的内部结构；
f 和分组密码一样是由若干轮处理过程组成；
对f 的分析需要找出f 的碰撞.由于f 是压缩函数，其碰撞是不可避免的，因此在设计f 时就应保证找出其碰撞在计算上是困难的

常用哈希函数简介

1.SHA-256算法

概况

SHA系列标准哈希函数是由美国标准与技术研究所(National Institute of Standards and Technology，NIST)组织制定的.
1993年公布了SHA-0 (FIPS PUB 180)，后发现不安全.
1995年又公布了SHA-1(FIPS PUB 180--1).
2002年又公布了SHA-2( FIPS PUB 180--2)，包括 3种算法：SHA-256, SHA-384, SHA-512.
2005年王小云院士给出一种攻击SHA-1的方法，用 2^69操作找到一个强碰撞，以前认为是 2^80.
2017 年 2 月23日，谷歌宣布找到SHA-1碰撞的算法，需要耗费110 块GPU一年的运算量

图：SHA系列哈希函数的参数比较

注意：所有的长度以比特为单位；安全性是指对输出长度为n比特哈希函数的生日攻击产生碰撞的工作量大约为2^n/2

算法描述

输入数据长度为k比特，1 <= k <= (2^64) -1
输出哈希值的长度为256比特

（1）常量与函数：SHA-256算法使用以下常数与函数：

①常量初始值IV = 0x6a09e667 bb67ae85 3c6ef372 a54ff53a 510e527f 9b05688c 1f83d9ab 5be0cd19，这些初值是对自然数中前 8个质数(2,3,5,7,11,13,17,19)的平方根的小数部分取前32比特而来.

举个例子来说， 2小数部分约为0.414213562373095048，而0.414213562373095048 ≈ 6 ∗16−1 +a ∗16−2+0 ∗16−3 +9 ∗16−4 +...于是，质数 2 的平方根的小数部分取前32比特就对应出0x6a09e667. 另外，SHA-256还用到了64个常数： K0, K1, …, K63 =

和 8个初始值类似，这些常量是对自然数中前64个质数(2, 3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37, 41, 43, 47, 53, 59, 61, 67, 71, 73, 79, 83, 89, 97…) 的立方根的小数部分取前32比特而来

②函数 SHA-256用到了以下函数：

其中： ∧表示按位“与”； ¬ 表示按位“补”；⊕表示按位“异或”； ROTR i (x )表示循环右移 i比特； SHR i (x )表示右移 i比特；

(2) 算法描述 ①填充

对数据填充的目的是使填充后的数据长度为512的整数倍.因为迭代压缩是对512位数据块进行的，如果数据的长度不是512的整数倍，最后一块数据将是短块，这将无法处理.
设消息 m长度为 l比特.首先将比特“1”添加到 m的末尾，再添加 k个“0”，其中， k是满足下式的最小非负整数 l +1+ k = 448 mod 512
然后再添加一个64位比特串，该比特串是长度 l的二进制表示.填充后的消息 m 的比特长度一定为512的倍数.

以信息“abc”为例显示补位的过程.a, b, c对应的ASCII码分别是97, 98, 99；于是原始信息的二进制编码为：01100001 01100010 01100011.

① 补一个“1” ： 0110000101100010 01100011 1

② 补423个“0”：01100001 01100010 01100011 10000000 00000000 … 00000000

③ 补比特长度24 (64位表示 )，得到512比特的数据：

②消息分块将填充后的消息 m′按512比特分成 n组： m′= M(0)||M(1)|| ꞏ ꞏ ꞏ || M(n-1)，其中： n = ( l+ k+65)/512.

③消息扩展

对一个消息分组M(t) 迭代压缩之前，首先进行消息扩展
- 将16个字的消息分组 M t 扩展生成如下的64个字，供压缩函数使用 W0，W1，…，W63；
- 消息扩展把原消息位打乱，隐蔽原消息位之间的关联，增强了安全性；
消息扩展的步骤如下：

④压缩函数

压缩函数是SHA-256的核心
令 a, b, c, d, e, f, g, h为字寄存器， T1, T2为中间变量.
压缩函数： V(t+1)= CF( V(t) ，M(t)), 0 ≤ t ≤ n -1.
压缩函数CF的压缩处理：内层迭代
- ① FOR t = 0 TO 63
- ② CF= F( T1 , T2 , a, b, c, d, e, f, g, h,M(t) )
- ③ END FOR

图：SHA-256算法的压缩函数工作流程示意图

⑤基本压缩函数

基本压缩函数的流程如右边公式所述.

说明：

a, b, c, d, e, f, g, h为字寄存器， T1, T2为中间变量；
+运算为mod 232 算术加运算；
字的存储为大端(big-endian)格式.即，左边为高有效位，右边为低有效位

下图是SHA-256算法的基本压缩函数示意图

⑥SHA-256工作全过程

安全性

专业机构设计，经过充分测试和论证；
安全性可满足应用的安全需求；
学者已开展对SHA-256的安全分析 (如缩减轮的分析 )，尚未发现本质的缺陷

程序设计

typedef.h：定义数据类型；
sha256.h：定义SHA-256算法相关功能函数、数据接口声明；
sha256.c：实现SHA-256算法相关功能函数；
sha256_test.h：定义测试函数、数据接口声明；
Sha256_test.c：实现测试功能函数；
main.c：实现main函数，测试程序的正确性、性能等.

2.Keccak算法

概况

能够直接替代SHA-2.这要求SHA--3必须也能够产生224，256，384，512比特的哈希值.
保持SHA-2的在线处理能力. 这要求SHA-33必须能处理小的数据块 ( 如512 或1024比特).
安全性：能够抵抗原像和碰撞攻击的能力，能够抵抗已有的或潜在的对于SHA-2的攻击.
效率：可在各种硬件平台上的实现，且是高效的和存储节省的.
灵活性：可设置可选参数以提供安全性与效率折中的选择，便于并行计算等
2008 年10 月有64 个算法正式向NIST提交了方案，经过初步评价，共有51个算法进入第一轮评估，主要对算法的安全性、消耗、和实现特点等进行分析；
2009 年 7 月24日宣布，其中14个算法通过第一轮评审进入第二轮；
2010 年12 月 9日宣布，其中 5个算法(JH、Grstl、Blake、Keccak 和Skein)通过第二轮评审进入第三轮.
2012 年10 月 2 日NIST公布了最终的优胜者.它就是由意法半导体公司的Guido Bertoai Bertoai、 Jean Daemen Daemen、Gilles Van Assche Assche 与恩智半导体公司的Micha Michaëël Peeters 联合设计的Keccak算法.
SHA-3成为NIST的新哈希函数标准算法(FIPS PUB 180--5).
Keccak算法的分析与实现详见：https://keccak.team/index.html
SHA-3的结构仍属于Merkle提出的迭代型哈希函数结构.
最大的创新点是采用了一种被称为海绵结构的新的迭代结构. 海绵结构又称为海绵函数.
在海绵函数中，输入数据被分为固定长度的数据分组.每个分组逐次作为迭代的输入，同时上轮迭代的输出也反馈至下轮的迭代中，最终产生输出哈希值.
海绵函数允许输入长度和输出长度都可变，具有灵活的性.
海绵函数能够用于设计哈希函数 (固定输出长度 )、伪随机数发生器，以及其他密码函数.

Keccak算法描述

输入数据没有长度限制；
输出哈希值的比特长度分为：224，256，384，512.

(1) 符号与函数 Keccak算法使用以下符号与函数：

①符号

r：比特率 (比特 rate)，其值为每个输入块的长度.
c：容量(capacity)，其长度为输出长度的两倍.
b：向量的长度， b = r + c，而 b的值依赖于指数 I，即 b=25 * 2^l

图：Keccak算法的参数定义

②函数 Keccak算法用到了以下 5个函数： θ(theta)、ρ(rho)、π(pi)、χ(chi)、ι(iota)

(2) 算法描述

Keccak算法对数据进行填充，然后迭代压缩生成哈希值.

①填充

对数据填充的目的是使填充后的数据长度为 r的整数倍.因为迭代压缩是对 r位数据块进行的，如果数据的长度不是 r的整数倍，最后一块数据将是短块，这将无法处理.

设消息 m长度为 l比特.首先将比特“1”添加到 m的末尾，再添加 k个“0”，其中， k是满足下式的最小非负整数： l +1+ k = r-1 mod r ；
然后再添加比特“1”添加到末尾. 填充后的消息 m 的比特长度一定为 r的倍数

以算法Keccak-256，信息“abc”为例显示补位的过程. a, b, c对应的ASCII码分别是97, 98, 99；于是原始信息的二进制编码为：01100001 01100010 01100011.此时 r = 1088.

补一个“1” ： 0110000101100010 01100011 1
补1062个“0”：01100001 01100010 01100011 10000000 00000000 … 00000000
补一个“1” ，得到1088比特的数据

②整体描述

Keccak算法采用海绵结构(Sponge Construction)，在预处理(padding并分成大小相同的块 ) 后，海绵结构主要分成两部分：

吸入阶段(Absorbing Phase)：将块 xi传入算法并处理.
挤出阶段(Squeezing Phase)：产生一个固定长度的输出.

Keccak算法的整体运算结构如下图

③吸入与挤出阶段

给定输入串 x ，首先对 x 做padding，使其长度能被 r整除，将padding后分割成长度为 r的块，即 x =x 0|| x1|| x 2||...|| xt-1 .然后执行以下吸入阶段和挤出阶段：

初始化一个长度为 r + c 比特的全零向量.
输入块 xi，将 xi和向量的前 r个比特做异或运算，然后输入到 f 函数中处理.
重复上一步，直至处理完 x中的每个块.
输出长为 r的块作为y 0，并将向量输入到 f 函数中处理，输出 y1，以此类推.得到的哈希序列即为y = y 0 || y1|| y 2 ||...|| y u .在Keccak-224/256/384/512中，只需要在y 0中取出前224/ 256/ 384/ 512位即可

图：Kecca算法的吸入阶段和挤出阶段示意图

④压缩函数

压缩函数 f 是Keccak算法的核心，它包含 nr轮.
nr的取值与我们之前计算 b时用到的指数 I ( b=25 * 25^l)有关，具体地， nr =12+2* I.Keccak-224/256/384/512中，取 I=6，因此 nr =24.
在每一轮中，要以此执行五步，即 θ(theta)、ρ(rho)、π(pi)、 χ(chi)、ι(iota).
在处理过程中，我们把 b=1600个比特排列成一个5*5* w 的三维数组，其中 w=2^I=64比特，如图所示：

图：Kecca算法的三维数组示意图

图：Kecca算法的压缩函数结构示意图

(3) 安全性与性能

安全性
- 可以抵御对哈希函数的所有现有攻击.
- 到目前为止，没有发现它有严重的安全弱点.
灵活性：可选参数配置，能够适应哈希函数的各种应用.
高效性：设计简单，软硬件实现方便.在效率方面，它是高效的.
尚未广泛应用，需要经过实践检验

3.SM3算法

概况

SM3是我国商用密码管理局颁布的商用密码哈希函数
用途广泛：
- 商用密码应用中的辅助数字签名和验证
- 消息认证码的生成与验证
- 随机数的生成
SM3在结构上属于基本压缩函数迭代型的哈希函数.

SM3算法描述

输入数据长度为 l比特，1≤ l ≤264-1；
输出哈希值的长度为256比特.

(1) 常量与函数：SHA-256算法使用以下常数与函数：

①常量初始值IV=7380166f 4914b2b9 172442d7 da8a0600 a96f30bc 163138aa e38dee4d b0fb0e4e.

②函数

布尔函数

置换函数

其中： ∧表示按位“与”； ∨表示按位“或” ； ¬ 表示按位“补”；⊕表示按位“异或”； <<<表示循环左移

(2) 算法描述

①填充

对数据填充的目的是使填充后的数据长度为512的整数倍.因为迭代压缩是对512位数据块进行的，如果数据的长度不是512的整数倍，最后一块数据将是短块，这将无法处理.
设消息 m长度为 l比特.首先将比特“1”添加到 m的末尾，再添加 k个“0”，其中， k是满足下式的最小非负整数.l +1+ k = 448 mod 512
然后再添加一个64位比特串，该比特串是长度 l的二进制表示.填充后的消息 m 的比特长度一定为512的倍数

以信息“abc”为例显示补位的过程.a, b, c对应的ASCII码分别是97, 98, 99；于是原始信息的二进制编码为：01100001 01100010 01100011.

补一个“1” ： 0110000101100010 01100011 1
补423个“0”：01100001 01100010 01100011 10000000 00000000 … 00000000
补比特长度24 (64位表示 )，得到512比特的数据

②消息扩展

对一个消息分组 B(i)迭代压缩之前，首先进行消息扩展
- 将16个字的消息分组 B(i)扩展生成如下的132个字，供压缩函数CF使用 W0，W1，…，W67，W′ 0， W′ 1，…，W′63
- 消息扩展把原消息位打乱，隐蔽原消息位之间的关联，增强了安全性
消息扩展的步骤如下：

③迭代压缩处理

将填充后的消息 m′按512比特分组： m′= B^(0) B^(1) … B^(n−1)，其中： n = ( l+ k+65)/512.
对 m′按下列方式迭代压缩：//外层迭代
- FOR i = 0 TO n-1
- V ^(i+1)= CF^( V(i) ，B^(i) )
- ENDFOR
- 其中CF是压缩函数， V ^(0) 为256比特初始值IV，B^(i)为填充后的消息分组，
迭代压缩的结果为 V^(n)，它为消息 m的哈希值

④压缩函数

压缩函数是SM3的核心
令A, B, C, D, E, F, G, H为字寄存器，SS1, SS2, TT1, TT2为中间变量.
压缩函数： V^( i+1) = CF( V^(i) ，B^(i)), 0 ≤i ≤ n -1. 压缩函数CF的压缩处理：//内层迭代
- FOR j=0 TO 63
- CF= F(SS1, SS2, TT1, TT2 ， A, B, C, D, E, F, G, H ，Wj ，W′ j ) //基本压缩函数
- ENDFOR

图：SM3算法的迭代压缩流程示意图

⑤基本压缩函数 F

SS1 ←((A <<< 12) + E + ( Tj<<< j)) <<< 7
SS2 ←SS1 ⊕(A <<< 12)
TT1 ←FFj (A，B，C) + D + SS2 + Wj ’
TT2 ←GGj (E，F，G ) + H + SS1 + Wj 5. D ← C
C ← B <<< 9
B ←A
A ←TT1
H ← G
G ← F <<<19
F ← E
E ←P0( TT2

注意：

A, B, C, D, E, F, G, H为字寄存器，SS1, SS2, TT1, TT2为中间变量；
+运算为mod 232 算术加运算；
字的存储为大端(big-endian)格式.即，左边为高有效位，右边为低有效位

图：SM3算法的基本压缩函数示意图

⑥SM3工作全过程

⑦压缩函数的作用

压缩函数是SM3安全的关键
第一个作用是数据压缩.SM3的压缩函数CF把每一个512位的消息分组 B(i)压缩成256 位.经过各数据分组之间的迭代处理后把l位的消息压缩成256位的哈希值.
第二个作用是提供安全性.在SM3的压缩函数CF中，布尔函数FFj (X,Y,Z) 和GGj (X,Y,Z)是非线性函数，经过循环迭代后提供混淆作用.置换函数P0(X) 和P1(X)是线性函数，经过循环迭代后提供扩散作用.加上压缩函数CF中的其它运算的共同作用，压缩函数CF具有很高的安全性，从而确保SM3具有很高的安全性

⑶安全性

专业机构设计，经过充分测试和论证；
安全性可满足上述应用的安全需求；
学者已开展对SM3的安全分析 (如缩减轮的分析 )，尚未发现本质的缺陷

哈希函数在区块链中的应用

1.以太坊用户地址的生成

第一步：生成私钥 (private key)

产生的 256比特随机数做为私钥(256比特 16进制 32字节 )： 18e14a7b 6a307f42 6a94f811 4701e7c8 e774e7f9 a47e2c20 35db29a2 06321725

第二步：生成公钥 (public key)

利用将私钥(32字节)和椭圆曲线ECDSA-secp256k1计算公钥(65字节)(前缀04||X公钥||Y公钥)： 04 ||50863ad6 4a87ae8a 2fe83c1a f1a8403c b53f53e4 86d8511d ad8a0488 7e5b2352 || 2cd47024 3453a299 fa9e7723 7716103a bc11a1df 38855ed6 f2ee187e 9c582ba6
利用Keccak-256算法计算公钥的哈希值(32bytes)： fc12ad81 4631ba68 9f7abe67 1016f75c 54c607f0 82ae6b08 81fac0ab eda21781
取上一步结果取后20bytes即以太坊地址： 1016f75c54c607f082ae6b0881fac0abeda21781

第三步：输地址 (address)：0x1016f75c54c607f082ae6b0881fac0abeda21781

2.默克尔哈希树

Merkle树_LEVI_104的博客-CSDN博客

3. 挖矿难度的设置

比特币难度是对挖矿困难程度的度量，即指：计算符合给定目标的一个哈希值的困难程度.

difficulty = difficulty_1_target / current_target difficulty_1_target

的长度为256比特，前32位为0，后面全部为1 ，一般显示为哈希值，

0x00000000FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF difficulty_1_target表示btc网络最初的目标哈希. current_target是当前块的目标哈希，先经过压缩然后存储在区块中，区块的哈希值必须小于给定的目标哈希值, 表示挖矿成功

4. 数字签名

比特币需要利用公钥进行加锁，利用私钥签名进行解锁，从而实现数字货币的交易. 解锁过程实际上是利用ECDSA算法的产生数字签名. 给定交易信息 m，签名过程如下：

选择一个随机数 k；
计算点 R = k*G= (xR, yR ) ，计算 r = xR mod n；
利用私钥 d计算 s ＝ k-1 * (( H( m) - d * r)) mod n；
输入签名 ( r, s)

5. 软件发布

图：挖矿软件发布信息示意图

区块链与哈希函数

哈希函数

定义

性质

发展

常见攻击方法

1.穷举攻击

2.生日攻击

3.其他攻击

构造方法

1.利用对称密码体制来设计哈希函数

2.直接设计哈希函数

常用哈希函数简介

1.SHA-256算法

2.Keccak算法

3.SM3算法

哈希函数在区块链中的应用

1.以太坊用户地址的生成

2.默克尔哈希树

3. 挖矿难度的设置

4. 数字签名

5. 软件发布

猜你喜欢