散列函数安全性概要

本文總結了已知公開的針對密碼雜湊函數的攻擊。請注意，此列表可能不及最新研究成果新。有關其他參數的摘要，請參閱密碼散列函數比較（英語：Comparison of cryptographic hash functions）。

圖例

  沒有攻擊——攻擊只能用於散列函數的一個簡化版本，或攻擊複雜性比散列自身聲明的最低值還高

  攻擊理論可行——攻擊可用於完整的散列函數，攻擊複雜性也比散列函數原先聲明的最低值要低

  攻擊實際可行

常用散列函數

抗碰撞

主條目：碰撞_(計算機科學)

散列函數	安全聲明	最佳攻擊[a]	發表日期	注釋
MD5	264	218時間	2013-03-25	在普通PC上只需幾秒鐘。雙塊碰撞[b]需218，單塊碰撞需241。[1]
SHA-1	280	263.1	2017-02-23	論文發表。[2]
SHA256	2128	64輪中的31輪（265.5）	2013-05-28	雙塊碰撞。[3]
SHA512	2256	80輪中的24輪（232.5）	2008-11-25	論文發表。[4]
SHA-3	最大2512	25輪中的6輪（250）	2017	論文發表。[5]
BLAKE2s	2128	10輪中的2.5輪（2112）	2009-05-26	論文發表。[6]
BLAKE2b	2256	12輪中的2.5輪（2224）	2009-05-26	論文發表。[6]

選擇前綴碰撞攻擊

散列函數	安全聲明	最佳攻擊	發表日期	注釋
MD5	264	239	2009-06-16	普通PC上需數小時。[7]
SHA-1	280	277.1	2012-06-19	論文發表。[8]
SHA256	2128
SHA512	2256
SHA-3	最大2512
BLAKE2s	2128
BLAKE2b	2256

抗原像

主條目：原像攻擊

散列函數	安全聲明	最佳攻擊	發表日期	注釋
MD5	2128	2123.4	2009-04-27	論文發表。[9]
SHA-1	2160	80輪中的45輪	2008-08-17	論文發表。[10]
SHA256	2256	64輪中的43輪（2254.9時間，26內存)	2009-12-10	論文發表。[11]
SHA512	2512	80輪中的46輪（2511.5時間，26內存)	2008-11-25	論文發表[12]，且有更新[11]。
SHA-3	最大2512
BLAKE2s	2256	10輪中的2.5輪（2241）	2009-05-26	論文發表。[6]
BLAKE2b	2256	12輪中的2.5輪（2481）	2009-05-26	論文發表。[6]

其他散列函數

抗碰撞

散列函數	安全聲明	最佳攻擊	發表日期	注釋
GOST	2128	2105	2008-08-18	論文發表。[13]
HAVAL-128	264	27	2004-08-17	2004年報道了碰撞方法[14]，2005年發表了密碼學分析報告[15]。
MD2	264	263.3時間，252內存	2009	比生日攻擊的計算成本略低[16]，但對內存的要求使其實際應用變得不現實。
MD4	264	3次操作	2007-03-22	發現碰撞幾乎與驗證它們一樣快。[17]
PANAMA	2128	26	2007-04-04	論文發表[18]，改進自2001年的理論攻擊[19]。
RIPEMD（原始版本）	264	218時間	2004-08-17	2004年報道了碰撞方法[14]，2005年發表了密碼學分析報告[20]。
RadioGatún	最大2608[c]	2704	2008-12-04	對於介於1-64位之間的字大小w，散列聲明29.5w安全性。攻擊可以在211w時間內發現碰撞。[21]
RIPEMD-160	280	80輪中的48輪（251時間）	2006	論文發表。[22]
SHA-0	280	233.6時間	2008-02-11	使用迴旋鏢攻擊的雙塊碰撞。平均上使用PC攻擊估計需要1小時。[23]
Streebog	2256	12輪中的9.5輪（2176時間，2128內存）	2013-09-10	反彈攻擊。[24]
Whirlpool	2256	10輪中的4.5輪（2120時間）	2009-02-24	反彈攻擊。[25]

抗原像

散列函數	安全聲明	最佳攻擊	發表日期	注釋
GOST	2256	2192	2008-08-18	論文發表。[13]
MD2	2128	273時間，273內存	2008	論文發表。[26]
MD4	2128	2102時間，233內存	2008-02-10	論文發表。[27]
RIPEMD（原始版本）	2128	48輪中的35輪	2011	論文發表。[28]
RIPEMD-128	2128	64輪中的35輪
RIPEMD-160	2160	80輪中的31輪
Streebog	2512	2266時間，2259數據	2014-08-29	論文介紹了兩種對可變數據有要求的次原像攻擊。[29]
Tiger	2192	2188.8時間，28內存	2010-12-06	論文發表。[30]

參見

• 密碼散列函數比較（英語：Comparison of cryptographic hash functions）
• 密碼雜湊函數
• 碰撞攻擊（英語：Collision attack）
• 原像攻擊
• 密碼安全性概要

注釋

1. 這裡的時間和內存都指數量級，見計算複雜性。
2. 指允許最多兩個塊不同而散列值相同，單塊碰撞意義同。
3. RadioGatún是一系列散列函數，由64種不同的散列函數組成。圖表中的安全級別和最佳攻擊適用於64位版本。32位版本的RadioGatún聲稱安全性為2³⁰⁴，最佳攻擊攻擊需要2³⁵²時間。