散列函数安全性概要

本文总结了已知公开的针对密码散列函数的攻击。请注意，此列表可能不及最新研究成果新。有关其他参数的摘要，请参阅密码散列函数比较（英语：Comparison of cryptographic hash functions）。

图例

  没有攻击——攻击只能用于散列函数的一个简化版本，或攻击复杂性比散列自身声明的最低值还高

  攻击理论可行——攻击可用于完整的散列函数，攻击复杂性也比散列函数原先声明的最低值要低

  攻击实际可行

常用散列函数

抗碰撞

主条目：碰撞_(计算机科学)

散列函数	安全声明	最佳攻击[a]	发表日期	注释
MD5	264	218时间	2013-03-25	在普通PC上只需几秒钟。双块碰撞[b]需218，单块碰撞需241。[1]
SHA-1	280	263.1	2017-02-23	论文发表。[2]
SHA256	2128	64轮中的31轮（265.5）	2013-05-28	双块碰撞。[3]
SHA512	2256	80轮中的24轮（232.5）	2008-11-25	论文发表。[4]
SHA-3	最大2512	25轮中的6轮（250）	2017	论文发表。[5]
BLAKE2s	2128	10轮中的2.5轮（2112）	2009-05-26	论文发表。[6]
BLAKE2b	2256	12轮中的2.5轮（2224）	2009-05-26	论文发表。[6]

选择前缀碰撞攻击

散列函数	安全声明	最佳攻击	发表日期	注释
MD5	264	239	2009-06-16	普通PC上需数小时。[7]
SHA-1	280	277.1	2012-06-19	论文发表。[8]
SHA256	2128
SHA512	2256
SHA-3	最大2512
BLAKE2s	2128
BLAKE2b	2256

抗原像

主条目：原像攻击

散列函数	安全声明	最佳攻击	发表日期	注释
MD5	2128	2123.4	2009-04-27	论文发表。[9]
SHA-1	2160	80轮中的45轮	2008-08-17	论文发表。[10]
SHA256	2256	64轮中的43轮（2254.9时间，26内存)	2009-12-10	论文发表。[11]
SHA512	2512	80轮中的46轮（2511.5时间，26内存)	2008-11-25	论文发表[12]，且有更新[11]。
SHA-3	最大2512
BLAKE2s	2256	10轮中的2.5轮（2241）	2009-05-26	论文发表。[6]
BLAKE2b	2256	12轮中的2.5轮（2481）	2009-05-26	论文发表。[6]

其他散列函数

抗碰撞

散列函数	安全声明	最佳攻击	发表日期	注释
GOST	2128	2105	2008-08-18	论文发表。[13]
HAVAL-128	264	27	2004-08-17	2004年报道了碰撞方法[14]，2005年发表了密码学分析报告[15]。
MD2	264	263.3时间，252内存	2009	比生日攻击的计算成本略低[16]，但对内存的要求使其实际应用变得不现实。
MD4	264	3次操作	2007-03-22	发现碰撞几乎与验证它们一样快。[17]
PANAMA	2128	26	2007-04-04	论文发表[18]，改进自2001年的理论攻击[19]。
RIPEMD（原始版本）	264	218时间	2004-08-17	2004年报道了碰撞方法[14]，2005年发表了密码学分析报告[20]。
RadioGatún	最大2608[c]	2704	2008-12-04	对于介于1-64位之间的字大小w，散列声明29.5w安全性。攻击可以在211w时间内发现碰撞。[21]
RIPEMD-160	280	80轮中的48轮（251时间）	2006	论文发表。[22]
SHA-0	280	233.6时间	2008-02-11	使用回旋镖攻击的双块碰撞。平均上使用PC攻击估计需要1小时。[23]
Streebog	2256	12轮中的9.5轮（2176时间，2128内存）	2013-09-10	反弹攻击。[24]
Whirlpool	2256	10轮中的4.5轮（2120时间）	2009-02-24	反弹攻击。[25]

抗原像

散列函数	安全声明	最佳攻击	发表日期	注释
GOST	2256	2192	2008-08-18	论文发表。[13]
MD2	2128	273时间，273内存	2008	论文发表。[26]
MD4	2128	2102时间，233内存	2008-02-10	论文发表。[27]
RIPEMD（原始版本）	2128	48轮中的35轮	2011	论文发表。[28]
RIPEMD-128	2128	64轮中的35轮
RIPEMD-160	2160	80轮中的31轮
Streebog	2512	2266时间，2259数据	2014-08-29	论文介绍了两种对可变量据有要求的次原像攻击。[29]
Tiger	2192	2188.8时间，28内存	2010-12-06	论文发表。[30]

参见

• 密码散列函数比较（英语：Comparison of cryptographic hash functions）
• 密码散列函数
• 碰撞攻击（英语：Collision attack）
• 原像攻击
• 密码安全性概要

注释

1. 这里的时间和内存都指数量级，见计算复杂性。
2. 指允许最多两个块不同而散列值相同，单块碰撞意义同。
3. RadioGatún是一系列散列函数，由64种不同的散列函数组成。图表中的安全级别和最佳攻击适用于64位版本。32位版本的RadioGatún声称安全性为2³⁰⁴，最佳攻击攻击需要2³⁵²时间。