1-MSB 输入差分可否成为 MD5 算法 最 快 碰 撞 攻 击 差 分.pdfVIP

1-MSB 输入差分可否成为 MD5 算法 最 快 碰 撞 攻 击 差 分 ? 谢 涛 刘凡保 冯登国 中国科学院 信息安全国家重点实验室 北京 国防科学技术大学 软计算与密码学研究中心 长沙 摘 要 迄今为止，已经发现 MD5 算法的两个不同的 3-bit 碰撞差分，其中一个由王小 云于 2004 年发现并被最终改进至采用普通 PC 机一分钟内可生成一对碰撞数据；另 一个由谢涛于 2007 年发现，稍后被改进至半个小时之内即可产生一对碰撞数据。是 否存在更多的可行 MD5 碰撞差分？是否存在更高效的 MD5 碰撞搜索算法？ 本文在抽象出 MD5 算法可行碰撞差分路径性质的基础上，列出了所有构成可行 碰撞差分的 1~3-bit 输入差分共 95 组，对其中一个 1-MSB 输入差分进行了详细的分 析，并将该 1-MSB 输入差分的碰撞性能与两个已经发布的 3-bit 碰撞差分做了比较， 比较分析是在本文给出的7 项碰撞差分性能评价准则基础上进行的。 本文所提出的 1-MSB 输入差分碰撞技术中，仍然采用两个消息分组，但其中第 一个分组仅第九个消息字的最高位需要差分（ + 31 ），而第二个消息分组可无 Δ m 2 8 Pseudo-collision ）。 需差分（但也可以有差分），即第二个消息分组碰撞是一个伪碰撞（ 虽然由 1-MSB 输入差分所设计的差分路径表面上似乎不可行，但碰撞差分路径 必须满足的大多数条件位都可通过修改满足，并且碰撞搜索算法效率还可通过本文 专门为 MD5 算法设计的“分而治之”的条件满足方法得到显剧提高。“分而治之” 方法通过对差分路径条件位的适当分组可将原乘性复杂度变换成加性复杂度。特别 地，本文通过引入附加条件位利用类似隧道技术（tunneling technique ）来进一步提 高算法的效率。 最后，我们基于 1-MSB 输入差分开发了目前国际上最快的 MD5 碰撞搜索算法， 计算复杂度等价于220.96 MD5 压缩函数计算，在主频 2.66Ghz 的 PC 机上采用标准 IV0 平均 0.45 秒可生成一对碰撞数据，采用随机 IV0 平均 0.48 秒可生成一对碰撞数 据。并且，该碰撞搜索算法能以一定概率毫秒级时间内生成碰撞对数据，这为对基 于 MD5 算法的实际协议的实时攻击提供了可靠的技术支撑！ 关键词：MD5, 碰撞攻击, 碰撞差分, 差分路径. Could The 1-MSB Input Difference Be The Fastest Collision Attack For MD5 ? Tao Xie Fanbao Liu Dengguo Feng The State Key Laboratory on Information Security, Chinese Academy of Science, Beijing The Center for Soft-Computing and Cryptology, NUDT, Changsha, China (hamishxie@) Abstract So far, two different 2-block collision differentials, both with 3-bit