暗号ハッシュ関数

暗号ハッシュ関数（CHF）は、暗号化アプリケーションに望ましい特別な特性を持つハッシュアルゴリズム（任意のバイナリ文字列を固定ビットサイズのバイナリ文字列にマップする）です。 ^[1]${\displaystyle n}$

• ランダムな入力文字列 (「メッセージ」) に対する特定のビットの出力結果 (ハッシュ値)の確率は(任意の適切なハッシュと同様に) であるため、ハッシュ値はメッセージの代表として使用できます。${\displaystyle n}$${\displaystyle 2^{-n}}$
• すべての入力文字列が等しくあり得ると仮定すると、与えられたハッシュ値 (原像) に一致する入力文字列を見つけることは不可能です。このような検索に対する耐性はセキュリティ強度 として定量化されます 。ビットのハッシュ値を持つ暗号ハッシュは、可能な入力値の空間が ビットより大幅に小さい場合を除き、 ビットの原像耐性強度を持つと予想されます(実際の例は § ハッシュされたパスワードへの攻撃 にあります)。${\displaystyle n}$${\displaystyle n}$${\displaystyle 2^{n}}$
• 同じ期待値を持つ 2番目の原像暗号耐性の強度は、1 つのメッセージが既にわかっている場合に、指定されたハッシュ値と一致する 2 番目のメッセージを見つけるという同様の問題を指します。
• 同じハッシュ値 (衝突)を生成する異なるメッセージのペアを見つけることも不可能です。暗号ハッシュは、衝突耐性の強度がビット (誕生日のパラドックスにより低くなります) であると予想されます。${\displaystyle n/2}$

暗号ハッシュ関数は、デジタル署名、メッセージ認証コード(MAC)、その他の認証形式など、情報セキュリティの分野で多くの用途があります。また、通常のハッシュ関数として使用したり、ハッシュ テーブル内のデータのインデックス作成、フィンガープリント、重複データの検出、ファイルの一意の識別、偶発的なデータ破損の検出のためのチェックサムとして使用したりすることもできます。実際、情報セキュリティの文脈では、暗号ハッシュ値は (デジタル)フィンガープリント、チェックサム、または単にハッシュ値と呼ばれることもありますが、これらの用語はすべて、かなり異なる特性と目的を持つより一般的な関数を表しています。^[2]

非暗号ハッシュ関数はハッシュテーブルで使用され、偶発的なエラーを検出する。その構造は意図的な攻撃に対して耐性がないことが多い。例えば、線形巡回冗長検査（CRC）関数の場合のように衝突が簡単に見つかる場合、ハッシュテーブルに対するサービス拒否攻撃が可能になる。^[3]

ほとんどの暗号ハッシュ関数は、任意の長さの文字列を入力として受け取り、固定長のハッシュ値を生成するように設計されています。

暗号ハッシュ関数は、すべての既知のタイプの暗号解読攻撃に耐えることができなければなりません。理論的な暗号では、暗号ハッシュ関数のセキュリティ レベルは次の特性を使用して定義されています。

原像抵抗

ハッシュ値hが与えられた場合、 h = hash( m )となるメッセージm を見つけるのは困難です。この概念は一方向関数の概念に関連しています。この特性を持たない関数は原像攻撃に対して脆弱です。

第二原像抵抗

入力m ₁が与えられた場合、 hash( m ₁ ) = hash( m ₂ )となる異なる入力m _{2 を}見つけるのは困難である。この特性は、弱い衝突耐性と呼ばれることもある。この特性を持たない関数は、第 2 原像攻撃に対して脆弱である。

衝突耐性

hash( m ₁ ) = hash( m ₂ )となる2つの異なるメッセージm ₁とm ₂を見つけることは難しいはずである。このようなペアは暗号ハッシュ衝突と呼ばれる。この特性は強い衝突耐性と呼ばれることもある。原像耐性に必要なハッシュ値の少なくとも2倍の長さのハッシュ値が必要である。そうでなければ、誕生日攻撃によって衝突が発見される可能性がある。^[4]

衝突耐性は、2番目の原像暗号耐性を意味しますが、原像暗号耐性を意味するものではありません。^[5]理論的な暗号では弱い仮定が常に好まれますが、実際には、2番目の原像暗号耐性のみを持つハッシュ関数は安全ではないと考えられており、実際のアプリケーションには推奨されません。

非公式に言えば、これらの特性は、悪意のある攻撃者がダイジェストを変更せずに入力データを置き換えたり変更したりできないことを意味します。したがって、2 つの文字列のダイジェストが同じであれば、それらが同一であると確信できます。第 2 原像耐性は、攻撃者が制御できない文書と同じハッシュを持つ文書を作成することを攻撃者が防止します。衝突耐性は、攻撃者が同じハッシュを持つ 2 つの異なる文書を作成することを攻撃者が防止します。

これらの基準を満たす関数でも、望ましくない特性を持つ場合があります。現在、一般的な暗号ハッシュ関数は長さ拡張攻撃に対して脆弱です。hash ( m )とlen( m )は与えられているがmは与えられていない場合、適切なm ′を選択することで、攻撃者はhash( m ‖m ′ )を計算できます。ここで、‖は連結を表します。^[6]この特性は、ハッシュ関数に基づく単純な認証方式を破るために使用できます。HMAC構築はこれらの問題を回避します。

実際には、衝突耐性は多くの実用的用途には不十分です。衝突耐性に加えて、攻撃者が実質的に類似したダイジェストを持つ 2 つのメッセージを見つけることや、ダイジェストのみからデータに関する有用な情報を推測することが不可能である必要があります。特に、ハッシュ関数は、決定論的かつ効率的に計算可能でありながら、可能な限りランダム関数(セキュリティの証明ではランダム オラクルと呼ばれることが多い) のように動作する必要があります。これにより、 SWIFFT関数などの関数は除外されます。SWIFFT 関数は、理想的な格子上の特定の問題が計算上困難であると仮定すると、衝突耐性があることが厳密に証明できますが、線形関数としてはこれらの追加特性を満たしません。^[7]

CRC32やその他の巡回冗長検査などのチェックサム アルゴリズムは、はるかに弱い要件を満たすように設計されており、一般に暗号ハッシュ関数としては不適切です。たとえば、CRC はWEP暗号化標準のメッセージ整合性に使用されていましたが、チェックサムの直線性を悪用した攻撃がすぐに発見されました。

暗号の実践において、「困難」とは一般に、「システムのセキュリティが重要とみなされる限り、システムを破ることを阻止しなければならない敵対者の手の届かないところにある」ことを意味します。したがって、この用語の意味は、悪意のあるエージェントがタスクに費やす労力が期待される利益に比例することが多いため、アプリケーションによって多少異なります。ただし、必要な労力は通常、ダイジェストの長さに比例するため、処理能力の 1,000 倍の優位性も、ダイジェストの長さに 12 ビット追加するだけで無効にすることができます。

パスワードやその他の短いメッセージなど、限られたメッセージ セットから選択されたメッセージの場合、セット内のすべての可能なメッセージを試すことでハッシュを反転することが可能です。暗号ハッシュ関数は通常、高速に計算されるように設計されているため、このようなブルー​​ト フォース攻撃をより困難にする、より多くのコンピューティング リソースを必要とする特別なキー導出関数が開発されています。

いくつかの理論的分析では、「困難」には「漸近 多項式時間で解くことができない」など、特定の数学的意味があります。このような困難の解釈は、証明可能な安全性を持つ暗号ハッシュ関数の研究においては重要ですが、通常は実際のセキュリティとは強い関係がありません。たとえば、指数時間アルゴリズムは、実行可能な攻撃を行うのに十分な速さである場合があります。逆に、多項式時間アルゴリズム (たとえば、n桁のキーに対してn ²⁰ステップを必要とするアルゴリズム) は、実用には遅すぎる場合があります。

暗号ハッシュの潜在的な使用例を次に示します。アリスはボブに難しい数学の問題を提示し、それを解いたと主張します。ボブは自分で試してみたいものの、アリスがはったりをしていないことを確認したいと考えています。そこで、アリスは自分の解法を書き留め、そのハッシュを計算し、そのハッシュ値をボブに伝えます (ただし、解法は秘密にしておきます)。その後、数日後にボブが自分で解法を思いついたとき、アリスはそれを公開し、ボブにハッシュさせて、以前にボブに与えられたハッシュ値と一致するかどうかを確認させることで、自分が以前に解法を持っていたことを証明できます。(これは単純なコミットメント スキームの例です。実際には、アリスとボブはコンピューター プログラムであることが多く、秘密は主張されたパズルの解法よりも簡単には偽装できないものになります。)

セキュア ハッシュの重要な用途は、メッセージの整合性の検証です。送信前と送信後に計算されたメッセージ ダイジェスト (メッセージのハッシュ ダイジェスト) を比較することで、メッセージまたはファイルに変更が加えられたかどうかを判断できます。

MD5、SHA-1、またはSHA-2ハッシュダイジェストは、ダウンロードしたファイル^{[8]の整合性を検証できるようにウェブサイトやフォーラムで公開されることがあります。これには、}ミラーリングなどのファイル共有を使用して取得されたファイルも含まれます。この方法により、ハッシュがHTTPSによって認証された信頼できるサイト (通常は発信元サイト) に投稿されている限り、信頼のチェーンが確立されます。暗号ハッシュと信頼のチェーンを使用すると、ファイルへの悪意のある変更を検出できます。巡回冗長検査などの非暗号エラー検出コードは、衝突するコード値 を持つ意図的なスプーフィングを簡単に作成できるため、ファイルの悪意のない変更のみを防ぎます。

ほぼすべてのデジタル署名方式では、メッセージに対して暗号化ハッシュを計算する必要があります。これにより、比較的小さく、静的なサイズのハッシュ ダイジェストに対して署名計算を実行できます。署名とメッセージに対して再計算されたハッシュ ダイジェストを使用して署名検証が成功した場合、メッセージは本物であると見なされます。したがって、暗号化ハッシュのメッセージ整合性プロパティは、安全で効率的なデジタル署名方式を作成するために使用されます。

パスワードの検証は、一般的に暗号化ハッシュに依存します。すべてのユーザー パスワードを平文で保存すると、パスワード ファイルが侵害された場合に大規模なセキュリティ侵害が発生する可能性があります。この危険を軽減する方法の 1 つは、各パスワードのハッシュ ダイジェストのみを保存することです。ユーザーを認証するには、ユーザーが提示したパスワードをハッシュし、保存されているハッシュと比較します。パスワードのハッシュを実行する場合は、パスワード リセット メソッドが必要です。保存されているハッシュ値から元のパスワードを再計算することはできません。

しかし、SHAシリーズなどの標準的な暗号ハッシュ関数は、パスワードの保存にはもはや安全ではないと考えられています。^{[9] ：5.1.1.2}これらのアルゴリズムは高速に計算されるように設計されているため、ハッシュ値が危険にさらされた場合、推測されたパスワードを高速で試すことができます。一般的なグラフィックス処理装置は、 1秒間に数十億の可能性のあるパスワードを試すことができます。PBKDF2 、scrypt、Argon2などのキーストレッチングを実行するパスワードハッシュ関数は、通常、暗号ハッシュを繰り返し呼び出して、保存されたパスワードハッシュダイジェストに対するブルートフォース攻撃を実行するために必要な時間（および場合によってはコンピュータメモリ）を増やします。詳細については、「ハッシュ化されたパスワードへの攻撃」を参照してください。

パスワード ハッシュには、パスワード ハッシュとともに保存できる、ランダムで秘密ではない大きなソルト値も必要です。ソルトはパスワードとともにハッシュされ、各パスワードのパスワード ハッシュ マッピングが変更されるため、攻撃者がパスワード ハッシュ ダイジェストと比較できる計算済みのハッシュ値のテーブルを保存したり、盗んだハッシュ値を大量に並行してテストしたりすることが不可能になります。

プルーフ オブ ワーク システム (またはプロトコル、または機能) は、サービス要求者に何らかの作業 (通常はコンピューターによる処理時間) を要求することで、サービス拒否攻撃やネットワーク上のスパムなどのその他のサービス悪用を阻止するための経済的な対策です。これらのスキームの主な特徴は、その非対称性です。作業は、要求者側では適度に困難 (ただし実行可能) でなければなりませんが、サービス プロバイダーにとっては簡単にチェックできるものでなければなりません。ビットコイン マイニングとハッシュキャッシュで使用されている人気のシステムの 1 つは、部分的なハッシュ反転を使用して、作業が行われたことを証明し、ビットコインでのマイニング報酬のロックを解除し、ハッシュキャッシュで電子メールを送信するための善意のトークンとして使用します。送信者は、ハッシュ値がゼロ ビットの数で始まるメッセージを見つける必要があります。送信者が有効なメッセージを見つけるために実行する必要がある平均作業は、ハッシュ値に必要なゼロ ビットの数の指数関数であり、受信者は単一のハッシュ関数を実行することでメッセージの有効性を検証できます。たとえば、Hashcash では、送信者は 160 ビットの SHA-1 ハッシュ値の最初の 20 ビットがゼロであるヘッダーを生成するように求められます。送信者は、有効なヘッダーを見つけるために 平均2 ^{19回試行する必要があります。}

メッセージ ダイジェストは、ファイルを確実に識別する手段としても機能します。Git、Mercurial、Monotoneなどのいくつかのソース コード管理システムは、さまざまな種類のコンテンツ (ファイル コンテンツ、ディレクトリ ツリー、祖先情報など) のsha1sumを使用して、それらを一意に識別します。 ハッシュは、ピアツーピアファイル共有ネットワーク上のファイルを識別するために使用されます。たとえば、ed2k リンクでは、MD4バリアント ハッシュがファイル サイズと組み合わされ、ファイル ソースの検索、ファイルのダウンロード、およびそのコンテンツの検証に十分な情報が提供されます。別の例としては、マグネット リンクがあります。このようなファイル ハッシュは、ハッシュ リストまたはハッシュ ツリーの最上位ハッシュであることが多く、これにより追加の利点が得られます。

ハッシュ関数の主な用途の 1 つは、ハッシュ テーブル内のデータの高速検索を可能にすることです。特殊な種類のハッシュ関数である暗号ハッシュ関数は、この用途にも適しています。

しかし、標準的なハッシュ関数と比較すると、暗号ハッシュ関数は計算コストがはるかに高くなる傾向があります。このため、悪意のある参加者による偽造（期待されるデータと同じダイジェストを持つデータの作成）の可能性からユーザーを保護する必要がある状況で使用される傾向があります。^{[引用が必要]}

ブロック暗号を使用して暗号ハッシュ関数、具体的には一方向圧縮関数を構築する方法はいくつかあります。

これらの方法は、暗号化に通常使用されるブロック暗号モードの動作に似ています。 MD4、MD5、SHA-1、SHA-2など、よく知られているハッシュ関数の多くは、その目的のために設計されたブロック暗号のようなコンポーネントから構築されており、結果の関数が逆変換できないようにするためのフィードバックが備えられています。SHA-3 の最終候補には、ブロック暗号のようなコンポーネントを持つ関数 (例: Skein、BLAKE ) が含まれていましたが、最終的に選択された関数Keccak は、代わりに暗号スポンジ上に構築されました。

AESなどの標準ブロック暗号をこれらのカスタム ブロック暗号の代わりに使用できます。これは、組み込みシステムで最小限のコード サイズまたはハードウェア領域で暗号化とハッシュの両方を実装する必要がある場合に役立ちます。ただし、このアプローチでは、効率とセキュリティの面でコストがかかる可能性があります。ハッシュ関数の暗号はハッシュ用に構築されています。つまり、大きなキーとブロックを使用し、ブロックごとに効率的にキーを変更でき、関連キー攻撃への耐性を考慮して設計および検証されています。汎用暗号は、設計目標が異なる傾向があります。特に、AES はキーとブロックのサイズが大きいため、長いハッシュ値を生成するのは簡単ではありません。AES 暗号化は、キーがブロックごとに変更されると効率が低下します。また、関連キー攻撃により、ハッシュ関数で使用する場合の安全性は暗号化の場合よりも低くなる可能性があります。

ハッシュ関数は、任意の長さのメッセージを固定長の出力に処理できなければなりません。これは、入力を一連の同じサイズのブロックに分割し、一方向の圧縮関数を使用してそれらを順番に操作することで実現できます。圧縮関数は、ハッシュ用に特別に設計することも、ブロック暗号から構築することもできます。Merkle-Damgård 構造で構築されたハッシュ関数は、圧縮関数と同様に衝突に対して耐性があります。完全なハッシュ関数の衝突は、圧縮関数の衝突にまでさかのぼることができます。

最後に処理されるブロックも長さが明確にパディングされる必要があります。これはこの構造のセキュリティにとって重要です。この構造はMerkle–Damgård 構造と呼ばれます。SHA -1やMD5などの最も一般的な古典的なハッシュ関数は、この形式を採用しています。

ハッシュ出力のサイズが内部状態のサイズ（各圧縮ステップ間）に等しい Merkle-Damgård 構造をそのまま適用すると、狭パイプハッシュ設計になります。この設計は、長さ拡張、多重衝突、^[10]長メッセージ攻撃、^[11]生成アンドペースト攻撃、^[要出典]など、多くの固有の欠陥を引き起こし、並列化もできません。その結果、現代のハッシュ関数は、より大きな内部状態サイズを持つワイドパイプ構造に基づいて構築されています。これには、Merkle-Damgård 構造^{[10]の微調整から、}スポンジ構造やHAIFA 構造などの新しい構造までが含まれます。^[12] NIST ハッシュ関数コンペティションの参加者は、いずれも古典的な Merkle-Damgård 構造を使用していません。^[13]

一方、SHA-512/256で使用されるような長いハッシュの出力を切り捨てることによっても、これらの攻撃の多くを阻止することができます。^[14]

ハッシュ関数は、他の暗号化プリミティブの構築にも使用できます。これらの他のプリミティブを暗号化によって安全にするには、正しく構築するように注意する必要があります。

メッセージ認証コード(MAC) (キー付きハッシュ関数とも呼ばれる) は、多くの場合、ハッシュ関数から構築されます。HMACはそのような MAC です。

ブロック暗号を使用してハッシュ関数を構築できるの と同様に、ハッシュ関数を使用してブロック暗号を構築できます。ハッシュ関数を使用したLuby-Rackoff構造は、基礎となるハッシュ関数が安全であれば、安全であることが証明できます。また、多くのハッシュ関数 ( SHA-1およびSHA-2を含む) は、 Davies-Meyerまたはその他の構造で専用ブロック暗号を使用して構築されています。その暗号は、同じセキュリティ保証なしで、従来の操作モードでも使用できます。たとえば、SHACAL、BEAR、およびLION です。

疑似乱数ジェネレーター(PRNG) は、ハッシュ関数を使用して構築できます。これは、(秘密の) ランダム シードとカウンターを組み合わせてハッシュすることによって行われます。

Skein、Keccak、RadioGatúnなどのハッシュ関数は、任意の長さのストリームを出力し、ストリーム暗号として使用できます。また、ストリーム暗号は、固定長のダイジェストハッシュ関数から構築することもできます。これは、最初に暗号的に安全な疑似乱数ジェネレータを構築し、そのランダムバイトのストリームをキーストリームとして使用することによって行われることがよくあります。SEAL は、 SHA-1 を使用して内部テーブルを生成するストリーム暗号です。このテーブルは、ハッシュアルゴリズムとはほとんど関係のないキーストリームジェネレータで使用されます。 SEAL は、SHA-1 と同じくらい強力 (または弱い) であるとは保証されていません。同様に、HC-128 および HC-256ストリーム暗号のキー拡張では、SHA-256ハッシュ関数が多用されます。

複数のハッシュ関数の出力を連結すると、連結された結果に含まれるアルゴリズムの中で最も強力なアルゴリズムと同等の衝突耐性が得られます。^{[引用が必要]} たとえば、トランスポート層セキュリティ (TLS) とセキュアソケットレイヤー (SSL)の古いバージョンでは、連結されたMD5とSHA-1 の合計が使用されていました。^{[15] [16]}これにより、ハッシュ関数の 1 つで衝突を検出する方法が、両方のハッシュ関数で保護されているデータを無効にしないことが保証されます。^{[引用が必要]}

マークル・ダムゴード構築ハッシュ関数の場合、連結された関数は最も強い成分と同程度の衝突耐性を持つが、それ以上の衝突耐性を持つわけではない。^[要出典] アントワーヌ・ジューは、2 回の衝突がn 回の衝突につながることを観察した。攻撃者が同じ MD5 ハッシュを持つ 2 つのメッセージを見つけることが可能であれば、それ以上の困難なしに、同じ MD5 ハッシュを持つ追加のメッセージを必要なだけ見つけることができる。^{[17]同じ MD5 ハッシュを持つ}n個のメッセージの中には、SHA-1 の衝突がある可能性が高い。SHA-1 の衝突を見つけるために必要な追加作業 (指数誕生日検索を超える) は、多項式時間のみを必要とする。^{[18] [19]}

暗号化ハッシュ アルゴリズムは多数存在します。このセクションでは、比較的頻繁に参照されるアルゴリズムをいくつか示します。より詳細なリストは、暗号化ハッシュ関数の比較を含むページにあります。

MD5 は、以前のハッシュ関数 MD4 に代わるものとして 1991 年にRonald Rivestによって設計され、1992 年に RFC 1321 として指定されました。MD5 との衝突は数秒以内に計算されるため、このアルゴリズムは暗号ハッシュが必要なほとんどの使用例には適していません。MD5 は 128 ビット (16 バイト) のダイジェストを生成します。

SHA-1 は、米国政府のCapstoneプロジェクトの一環として開発されました。このアルゴリズムの元の仕様 (現在では一般に SHA-0 と呼ばれています) は、1993 年に米国政府標準機関 NIST (国立標準技術研究所) によって Secure Hash Standard、FIPS PUB 180 というタイトルで公開されました。この仕様は公開後すぐに NSA によって撤回され、1995 年に FIPS PUB 180-1 として公開され、一般に SHA-1 と呼ばれる改訂版に置き換えられました。完全な SHA-1 アルゴリズムに対する衝突は、shattered attackを使用して生成することができ、ハッシュ関数は破損していると見なされます。SHA-1 は、160 ビット (20 バイト) のハッシュ ダイジェストを生成します。

ドキュメントでは、SHA-1 を単に「SHA」と呼ぶことがありますが、これは SHA-0、SHA-2、SHA-3 などの他のセキュア ハッシュ アルゴリズムと競合する可能性があります。

RIPEMD (RACE Integrity Primitives Evaluation Message Digest) は、ベルギーのルーヴェンで、ルーヴェン カトリック大学の COSIC 研究グループの Hans Dobbertin、Antoon Bosselaers、および Bart Preneel によって開発され、1996 年に初めて公開された暗号化ハッシュ関数のファミリです。RIPEMD は、MD4 で使用される設計原理に基づいており、パフォーマンスはより一般的な SHA-1 に似ています。ただし、RIPEMD-160 は破られていません。名前が示すように、RIPEMD-160 は 160 ビット (20 バイト) のハッシュ ダイジェストを生成します。

Whirlpool は、2000 年に初めて説明された Vincent Rijmen と Paulo SLM Barreto によって設計された暗号化ハッシュ関数です。Whirlpool は、Advanced Encryption Standard (AES) の大幅に修正されたバージョンに基づいています。Whirlpool は、512 ビット (64 バイト) のハッシュ ダイジェストを生成します。

SHA-2 (Secure Hash Algorithm 2) は、米国国家安全保障局 (NSA) によって設計され、2001 年に初めて公開された暗号化ハッシュ関数のセットです。これらは、(機密扱いの) 特殊なブロック暗号から Davies-Meyer 構造を使用して構築された一方向圧縮関数から、Merkle-Damgård 構造を使用して構築されています。

SHA-2 は基本的に SHA-256 と SHA-512 の 2 つのハッシュ アルゴリズムで構成されています。SHA-224 は SHA-256 のバリエーションで、開始値が異なり、出力が切り捨てられています。SHA-384 と、あまり知られていない SHA-512/224 および SHA-512/256 はすべて SHA-512 のバリエーションです。SHA-512 は SHA-256 よりも安全で、AMD64などの 64 ビット マシンでは一般に SHA-256 よりも高速です。

出力サイズ（ビット単位）は「SHA」名の拡張子によって指定されます。したがって、SHA-224 の出力サイズは 224 ビット (28 バイト)、SHA-256 は 32 バイト、SHA-384 は 48 バイト、SHA-512 は 64 バイトです。

SHA-3 (セキュア ハッシュ アルゴリズム 3) は、2015 年 8 月 5 日に NIST によってリリースされました。SHA-3 は、より広範な暗号化プリミティブ ファミリである Keccak のサブセットです。Keccak アルゴリズムは、Guido Bertoni、Joan Daemen、Michael Peeters、および Gilles Van Assche の成果です。Keccak はスポンジ構造に基づいており、ストリーム暗号などの他の暗号化プリミティブの構築にも使用できます。SHA-3 は、SHA-2 と同じ出力サイズ (224、256、384、および 512 ビット) を提供します。

設定可能な出力サイズは、SHAKE-128 および SHAKE-256 関数を使用して取得することもできます。ここで、名前の -128 および -256 拡張子は、ビット単位の出力サイズではなく、関数のセキュリティ強度を意味します。

BLAKE の改良版である BLAKE2 は、2012 年 12 月 21 日に発表されました。これは、広く使用されているものの不具合のある MD5 および SHA-1 アルゴリズムを置き換えることを目的として、Jean-Philippe Aumasson、Samuel Neves、Zooko Wilcox-O'Hearn、および Christian Winnerlein によって作成されました。64 ビット x64 および ARM アーキテクチャで実行する場合、BLAKE2b は SHA-3、SHA-2、SHA-1、および MD5 よりも高速です。BLAKE と BLAKE2 は SHA-3 のように標準化されていませんが、BLAKE2 は最新のCPU で高い効率性を発揮するため、 Argon2パスワード ハッシュを含む多くのプロトコルで使用されています。BLAKE は SHA-3 の候補であったため、BLAKE と BLAKE2 はどちらも SHA-3 と同じ出力サイズ (構成可能な出力サイズを含む) を提供します。

BLAKE2の改良版であるBLAKE3が2020年1月9日に発表されました。Jack O'Connor、Jean-Philippe Aumasson、Samuel Neves、Zooko Wilcox-O'Hearnによって作成されました。BLAKE3は、複数の亜種を持つアルゴリズムファミリーであるBLAKEやBLAKE2とは対照的に、単一のアルゴリズムです。BLAKE3の圧縮機能はBLAKE2の圧縮機能に密接に基づいていますが、最大の違いはラウンド数が10から7に削減されていることです。内部的には、BLAKE3はMerkle木であり、BLAKE2よりも高い並列度をサポートしています。

暗号ハッシュ関数のリストは長いが、その多くは脆弱であることが判明しており、使用すべきではない。例えば、NISTはSHA-3ハッシュコンペティションの第1ラウンドの候補として51個のハッシュ関数^[20]を選択しましたが、そのうち10個は破綻していると判断され、16個は重大な弱点が見られたため、次のラウンドに進むことができませんでした。詳細については、NISTハッシュ関数コンペティションに関するメイン記事をご覧ください。

ハッシュ関数が破られたことがなくても、弱体化された変種に対する攻撃が成功すれば、専門家の信頼が損なわれる可能性がある。例えば、2004年8月には、MD5を含む当時人気のあったハッシュ関数のいくつかで衝突が見つかった。 ^[21]これらの脆弱性により、弱いハッシュ関数から派生したより強力なアルゴリズム、特にSHA-1（SHA-0の強化版）、RIPEMD-128、RIPEMD-160（どちらもRIPEMDの強化版）の安全性が疑問視された。^[22]

2004 年 8 月 12 日、Joux、Carribault、Lemuel、Jalby は完全な SHA-0 アルゴリズムの衝突を発表しました。^[17] Joux らは、Chabaud と Joux の攻撃の一般化を使用してこれを達成しました。彼らは、衝突の複雑さは 2 ⁵¹であり、 256 個のItanium 2プロセッサを搭載したスーパーコンピュータで約 80,000 CPU 時間を要したことを発見しました。これは、スーパーコンピュータを 13 日間フルタイムで使用するのに相当します。^{[引用が必要]}

2005 年 2 月、SHA-1 に対する攻撃が報告されました。この攻撃では、160 ビットのハッシュ関数で予想される2 ^{80 回}ではなく、約 2 ^{69 回のハッシュ操作で衝突が見つかりました。2005 年 8 月には、2 63 回の}操作で衝突が見つかるという SHA-1 に対する別の攻撃が報告されました。SHA-1 のその他の理論上の弱点は知られており、^{[23] [24]}、2017 年 2 月に Google は SHA-1 で衝突が発生したことを発表しました。^{[25]セキュリティ研究者は、新しいアプリケーションでは、} SHA-2などの SHA ファミリーの後継メンバーを使用するか、衝突耐性を必要としない ランダム化ハッシュ^[26]などの手法を使用することで、これらの問題を回避できることを推奨しています。

2008年に成功した実践的な攻撃により、MD5（トランスポート層セキュリティの証明書内で使用）が破られました。 ^[27]

多くの暗号ハッシュはMerkle-Damgård 構造に基づいています。Merkle-Damgård 構造の完全な出力を直接使用するすべての暗号ハッシュは、長さ拡張攻撃に対して脆弱です。これにより、MD5、SHA-1、RIPEMD-160、Whirlpool、および SHA-256 / SHA-512 ハッシュ アルゴリズムはすべて、この特定の攻撃に対して脆弱になります。SHA-3、BLAKE2、BLAKE3、および切り捨てられた SHA-2 バリアントは、このタイプの攻撃に対して脆弱ではありません。^{[引用が必要]}

アクセス制御システムでは、プレーンなユーザーパスワードを保存するのではなく、各ユーザーのパスワードのハッシュをファイルまたはデータベースに保存することがよくあります。誰かがアクセスを要求すると、送信されたパスワードがハッシュ化され、保存されている値と比較されます。データベースが盗まれた場合（非常に頻繁に発生します^[28]）、泥棒が持っているのはハッシュ値のみで、パスワードはわかりません。

ほとんどの人は予測可能な方法でパスワードを選択するため、ハッシュから攻撃者がパスワードを取得することは依然として可能です。一般的なパスワードのリストは広く流通しており、多くのパスワードはハッシュの計算にそれほど時間がかからない場合は、すべての可能な組み合わせをテストできるほど短いです。^[29]

暗号ソルトの使用は、レインボーテーブルなどの事前計算ハッシュ値のファイルの作成などの一部の攻撃を防ぐことができます。しかし、高性能グラフィックプロセッサでは1秒あたり1000億回のテストの実行が可能であり、ソルトを使用しても直接攻撃が可能になります。^{[30] [31]} 米国国立標準技術研究所は、ブルートフォース検索を遅くするために作成されたキー導出関数（KDF）と呼ばれる特別なハッシュを使用してパスワードを保存することを推奨しています。 ^{[9] : 5.1.1.2} 遅いハッシュには、 pbkdf2、bcrypt、scrypt、argon2、Balloon 、および最近のUnix cryptモードの一部が含まれます。実行速度を遅くするために複数のハッシュを実行するKDFの場合、NISTは反復回数を10,000以上にすることを推奨しています。^{[9] : 5.1.1.2}

• Menezes, Alfred J.; van Oorschot, Paul C.; Vanstone, Scott A. (2018 年 12 月 7 日)。「ハッシュ関数」。応用暗号ハンドブック。CRC プレス。pp. 33– 。ISBN 978-0-429-88132-9。
• オーマソン、ジャン＝フィリップ（2017年11月6日）。『Serious Cryptography: A Practical Introduction to Modern Encryption』No Starch Press。ISBN 978-1-59327-826-7. OCLC  1012843116.

• Paar, Christof; Pelzl , Jan (2009)。「11: ハッシュ関数」。暗号化を理解する: 学生と実践者のための教科書。Springer。2012-12-08にオリジナルからアーカイブ。(関連 Web サイトにはハッシュ関数を扱ったオンライン暗号化コースが含まれています)
• 「ECRYPT ハッシュ関数 Web サイト」。
• Buldas, A. (2011). 「暗号ハッシュ関数に関するミニ講義シリーズ」。2012-12-06 にオリジナルからアーカイブ。
• ダウンロードの検証に使用される GUI を備えたオープンソースの Python ベースのアプリケーション。