cryptography - 对哈希函数的多重碰撞和第一次或第二次原像攻击之间有什么区别？

Question

散列函数中的多重碰撞与第一或第二原像之间有什么区别。

第一次原像攻击:给定一个散列 h，找到一条消息 m，使得

哈希(m) = h。

第二个原像攻击:给定一个固定的消息 m1，找到一个不同的消息 m2，使得

散列(m2) = 散列(m1)。

多重碰撞攻击:生成一系列消息 m1, m2, ... mN，使得

散列(m1) = 散列(m2) = ... = 散列(mN)。

维基百科告诉我们，一个 preimage attack与碰撞攻击的不同之处在于，有一个固定的散列或消息正在被攻击。

我对那些做出如下陈述的论文感到困惑:

The techniques are not only efficient to search for collisions, but also applicable to explore the second- preimage of MD4. About the second-preimage attack, they showed that a random message was a weak message with probability 2^–122 and it only needed a one-time MD4 computation to find the second-preimage corresponding to the weak message.

The Second-Preimage Attack on MD4

如果我理解作者似乎在说的是，他们已经开发了一种多重碰撞攻击，其中包含足够大的消息集，这些消息给定随机消息，有很大但极小的机会与他们的多重冲突中的一个重叠。碰撞。

我在许多论文中看到了类似的论点。我的问题是什么时候攻击不再是多次碰撞攻击并成为第二次原像攻击..

如果多重碰撞与 2^300 条其他消息发生碰撞，这算不算第二个原像，因为多重碰撞可用于计算与它碰撞的其中一个消息的“原像”？ 2^60、2^100、2^1000的分界线在哪里？

如果您可以生成所有以 23 开头的哈希摘要的原像怎么办？当然它不符合原像的严格定义，但它也非常肯定是密码散列函数中的一个严重缺陷。

如果有人有一个大的多重碰撞，那么他们总是可以恢复与多重碰撞散列碰撞的任何消息的图像。例如，

散列(m1) = 散列(m2) = 散列(m3) = h

有人请求 h 的原像，他们以 m2 响应。这什么时候停止愚蠢并成为真正的攻击？

经验法则？知道关于评估散列函数攻击的任何好的资源吗？

相关链接:

HASH COLLISION Q&A

Cryptographic Hashes

The eHash Main Page

Answer 1

这是关于一个攻击场景。区别在于输入的选择。在多重碰撞中有 两种输入自由选择 .第二个原像是关于找到与 具有相同输出的任何第二个输入任何指定的输入 .
当一个函数没有多重碰撞抵抗时，有可能找到某种消息的碰撞——而不是所有消息。所以这并不意味着第二原像弱点。