SHA-2

SHA-2
一般的な
デザイナー	国家安全保障局
初版	2001年; 23年前
シリーズ	( SHA-0 )、SHA-1、SHA-2、SHA-3
認証	FIPS PUB 180-4、CRYPTREC、ネッシー
詳細
ダイジェストサイズ	224、256、384、または512ビット
構造	デイヴィス・マイヤー圧縮関数を用いたメルケル・ダムゴード構成
ラウンド	64または80
最高の公開暗号解読
	2011年の攻撃では、SHA-512の80ラウンドのうち57ラウンド、SHA-256の64ラウンドのうち52ラウンドで原像暗号耐性が破られました。最大46ラウンドのSHA-256に対する疑似衝突攻撃。 SHA-256 と SHA-512 は長さ拡張攻撃を受けやすい傾向があります。状態の隠された部分を推測することにより、SHA-224 と SHA-384 に対する長さ拡張攻撃は、それぞれ 2 −(256−224) = 2 −32 > 2 −224と 2 −(512−384) = 2 −128 > 2 −384の確率で成功します。

セキュアハッシュアルゴリズム
セキュアハッシュアルゴリズム
コンセプト
	ハッシュ関数、SHA、DSA
主な基準
	SHA-0、SHA-1、SHA-2、SHA-3
	ヴ; t; e;

SHA-2（セキュアハッシュアルゴリズム2 ）は、米国国家安全保障局（NSA）によって設計され、2001年に初めて公開された暗号ハッシュ関数のセットです。 ^[3]^[4]これらは、特殊なブロック暗号のデイヴィス・マイヤー構造を使用して構築された一方向圧縮関数から、マークル・ダムゴール構造を使用して構築されています。

SHA-2 には、その前身であるSHA-1から大幅に変更されています。SHA-2 ファミリは、224、256、384、512 ビットのダイジェスト (ハッシュ値) を持つ 6 つのハッシュ関数で構成されています: ^[5] SHA-224、SHA-256、SHA-384、SHA-512、SHA-512/224、SHA-512/256。SHA-256 と SHA-512 は、ダイジェストがそれぞれ 8 つの 32 ビットワードと 64 ビットワードであるハッシュ関数です。これらはシフト量と加算定数が異なりますが、構造はそれ以外は実質的に同一で、ラウンド数のみ異なります。SHA-224 と SHA-384 は、それぞれ SHA-256 と SHA-512 の短縮バージョンであり、異なる初期値で計算されます。 SHA-512/224 と SHA-512/256 も SHA-512 の短縮バージョンですが、初期値は連邦情報処理標準(FIPS) PUB 180-4で説明されている方法を使用して生成されます。

SHA-2は、米国国立標準技術研究所（NIST）によって米国連邦標準として初めて公開されました。SHA-2アルゴリズムファミリーは米国で特許を取得しています^[6]米国はロイヤリティフリーのライセンスで特許をリリースしました^[5]。

2011年現在、^{[アップデート]}公開されている最も優れた攻撃法では、SHA-256の64ラウンドのうち52ラウンド、またはSHA-512の80ラウンドのうち57ラウンドで原像耐性が破られ、 SHA-256の64ラウンドのうち46ラウンドで衝突耐性が破られています。 ^[1]^[2]

ハッシュ標準

SHA-2 ファミリの圧縮関数の 1 回の反復。青いコンポーネントは次の操作を実行します。ビット単位の回転では、SHA-512 に対して異なる定数を使用します。指定された数値は SHA-256 用です。赤は、SHA-256 の場合は 2 ^{32 を}法とする加算、SHA-512 の場合は 2 ^{64 を}法とする加算です。
     $\operatorname {Ch} (E,F,G)=(E\land F)\oplus (\neg E\land G)$
     $\operatorname {Ma} (A,B,C)=(A\land B)\oplus (A\land C)\oplus (B\land C)$
     $\Sigma _{0}(A)=(A\!\ggg \!2)\oplus (A\!\ggg \!13)\oplus (A\!\ggg \!22)$
     $\Sigma _{1}(E)=(E\!\ggg \!6)\oplus (E\!\ggg \!11)\oplus (E\!\ggg \!25)$

$\color {red}\boxplus$

FIPS PUB 180-2 の公開により、NIST は SHA ファミリーに 3 つのハッシュ関数を追加しました。これらのアルゴリズムは総称して SHA-2 と呼ばれ、ダイジェスト長 (ビット単位) にちなんで SHA-256、SHA-384、SHA-512 と名付けられています。

このアルゴリズムは、2001年にドラフトFIPS PUB 180-2で初めて公開され、その時点で公開レビューとコメントが受け入れられました。2002年8月、FIPS PUB 180-2は、1995年4月にリリースされたFIPS PUB 180-1に代わる新しいセキュアハッシュ標準になりました。更新された標準には、SHA-2ファミリの内部動作を説明するものと一致する更新された技術表記法を備えたオリジナルのSHA-1アルゴリズムが含まれていました。^[4]

2004 年 2 月、FIPS PUB 180-2 の変更通知が公開され、2 キートリプル DESのキー長に一致するように定義された追加のバリアント SHA-224 が指定されました。^[7] 2008 年 10 月、この標準は FIPS PUB 180-3 で更新され、変更通知から SHA-224 が含められましたが、それ以外は標準に基本的な変更は加えられていません。標準を更新する主な動機は、ハッシュアルゴリズムに関するセキュリティ情報とその使用に関する推奨事項を Special Publications 800-107 および 800-57 に再配置することでした。^[8]^[9]^[10]詳細なテストデータとサンプルメッセージダイジェストも標準から削除され、別のドキュメントとして提供されました。^[11]

2011年1月、NISTはSP800-131Aを発行し、2013年末まで連邦政府が使用できる当時の最低80ビットセキュリティ（SHA-1で提供）から、最低要件（2014年開始）と推奨セキュリティレベル（2011年の発行日から開始）の両方である112ビットセキュリティ（SHA-2で提供）への移行を規定しました。^[12]

2012年3月、この標準はFIPS PUB 180-4で更新され、ハッシュ関数SHA-512/224とSHA-512/256が追加され、SHA-512の切り捨てバージョンの初期値を生成する方法が説明されました。さらに、ハッシュ計算前の入力データのパディングに関する制限が削除され、リアルタイムのビデオやオーディオフィードなどのコンテンツ生成と同時にハッシュデータを計算できるようになりました。最終データブロックのパディングは、ハッシュ出力の前に行う必要があります。^[13]

2012年7月、NISTは暗号鍵管理のガイダンスを提供するSP800-57を改訂しました。この出版物は、2013年以降、112ビット未満のハッシュセキュリティを持つデジタル署名の作成を許可しませんでした。2007年の前回の改訂では、カットオフは2010年末と指定されていました。^[10] 2012年8月、NISTは同様にSP800-107を改訂しました。^[9]

NISTハッシュ関数コンペティションは2012年に新しいハッシュ関数SHA-3を選択しました^。[14] SHA-3アルゴリズムはSHA-2から派生したものではありません。

アプリケーション

SHA-2ハッシュ関数は、TLSやSSL、PGP、SSH、S/MIME、IPsecなど、広く使用されているセキュリティアプリケーションやプロトコルに実装されています。SHA-2アルゴリズムの固有の計算要件により、特定用途向け集積回路（ASIC）ハードウェアアクセラレータをベースにしたソリューションなど、より効率的なソリューションの提案が促進されました。^[15]

SHA-256はDebianソフトウェアパッケージの認証に使用され^{[16] 、}DKIMメッセージ署名標準にも使用されています。SHA-512はルワンダ虐殺国際刑事裁判所のアーカイブビデオを認証するシステムの一部です。^{[17] SHA-256とSHA-512は}DNSSECでの使用が提案されています。^[18] UnixおよびLinuxベンダーは、安全なパスワードハッシュのために256ビットおよび512ビットのSHA-2の使用に移行しています。^[19]

ビットコインを含むいくつかの暗号通貨は、トランザクションの検証やプルーフ・オブ・ワーク^[20]またはプルーフ・オブ・ステーク^[21]の計算にSHA-256を使用しています。ASIC SHA-2アクセラレータチップの台頭により、scrypt ベースのプルーフ・オブ・ワーク方式が使用されるようになりました。

SHA-1 と SHA-2 は、機密扱いされていない機密情報を保護するために、他の暗号化アルゴリズムやプロトコル内での使用を含む、米国政府の特定のアプリケーションで使用することが法律で義務付けられているセキュアハッシュアルゴリズムです。FIPS PUB 180-1 では、民間および商業組織による SHA-1 の採用と使用も推奨されています。SHA-1 はほとんどの政府用途で廃止されつつあります。米国国立標準技術研究所は、「連邦政府機関は、衝突耐性を必要とするアプリケーションでの SHA-1 の使用を可能な限り速やかに中止し、2010 年以降はこれらのアプリケーションで SHA-2 ファミリのハッシュ関数を使用する必要があります」と述べています (強調は原文のまま)。^[22]米国政府機関は 2010 年以降 SHA-1 の使用を中止すべきであるが、明示的に中止しなければならないわけではないという NIST の指示^[23]は、 SHA-1 からの移行を加速させることが期待されていました。

SHA-2 機能は、SHA-1 よりもセキュリティが優れているにもかかわらず、当初はすぐには採用されませんでした。その理由としては、Windows XP SP2 以前のシステムで SHA-2 がサポートされていないこと^[24]や、SHA-1 の衝突がまだ見つかっていなかったため緊急性が認識されていなかったことなどが挙げられます。Google Chromeチームは、2014 年後半から 2015 年初頭にかけて、Web ブラウザで SHA-1 に依存する TLS 証明書の尊重を徐々に停止する計画を発表しました^{。 [25]}^[26]^[27]同様に、Microsoft は、Internet ExplorerとEdge が2017 年 2 月から SHA-1 で署名されたパブリック TLS 証明書の尊重を停止すると発表しました [28 ^]。Mozillaは2016 年 1 月初旬に SHA-1 を無効にしましたが、一部のルーターモデルとセキュリティアプライアンスの Web ベースのユーザーインターフェイスに問題が発生したため、Firefox の更新によって一時的に再度有効にする必要がありました。^[29]

暗号解読と検証

L がメッセージダイジェストのビット数であるハッシュ関数の場合、与えられたメッセージダイジェストに対応するメッセージを見つけることは、常に2 ^{L 回の}評価でブルートフォース検索を使用して行うことができます。これはプリイメージ攻撃と呼ばれ、 Lと特定のコンピューティング環境に応じて実用的である場合とそうでない場合があります。2 番目の基準である、衝突と呼ばれる同じメッセージダイジェストを生成する 2 つの異なるメッセージを見つけることは、バースデー攻撃を使用して平均で 2 ^L^{/2 回の}評価のみを必要とします。

パスワードストレージなどの暗号ハッシュを使用するアプリケーションの一部は、衝突攻撃の影響を最小限にしか受けません。特定のアカウントで機能するパスワードを作成するには、原像攻撃と、shadow簡単かどうかわからない元のパスワードのハッシュ (通常はファイル内) へのアクセスが必要です。パスワードの暗号化を元に戻す (たとえば、他の場所にあるユーザーのアカウントに対して試すパスワードを取得する) ことは、この攻撃では不可能です。(ただし、安全なパスワードハッシュであっても、弱いパスワードに対するブルートフォース攻撃を防ぐことはできません。)

文書署名の場合、攻撃者は既存の文書から署名を偽造するだけでは不十分です。攻撃者は、無害な文書と有害な文書のペアを作成し、秘密鍵の所有者に無害な文書に署名してもらう必要があります。これが可能な状況は実際にあります。2008年末までは、広く使用されているWebブラウザで受け入れられる、MD5衝突を使用して偽造SSL証明書を作成することができました。 ^[30]

SHA-3 の競争中に暗号ハッシュ分析への関心が高まり、SHA-2 ファミリに対するいくつかの新しい攻撃が生まれました。そのうちの最も優れた攻撃を下の表に示します。衝突攻撃のみが実用的な複雑さを伴い、どの攻撃もフルラウンドハッシュ関数にまで及ぶものではありません。

FSE 2012では、ソニーの研究者らが、バイクリーク疑似原像攻撃を基盤として、疑似衝突攻撃をSHA-256では52ラウンド、SHA-512では57ラウンドまで拡張できるというプレゼンテーションを行った。 ^[31]

公式認証

FIPS 承認のすべてのセキュリティ機能の実装は、米国国立標準技術研究所(NIST) と通信保安局(CSE)が共同で運営するCMVP プログラムを通じて正式に検証できます。非公式の検証については、多数のテストベクトルを生成するパッケージが NIST サイトからダウンロードできます。ただし、この検証は、特定のアプリケーションに対して法律で義務付けられている正式な CMVP 検証に代わるものではありません^[^要出典^]。

2013年12月現在、^{[アップデート]}SHA-256の検証済み実装は1300以上、SHA-512の検証済み実装は900以上ありますが、両方のバリエーションをサポートしながら、ビット長が8の倍数ではないメッセージを処理できるのはそのうちの5つだけです。^[40]

テストベクトル

空の文字列 (つまり、長さがゼロの入力テキスト) のハッシュ値。

SHA224("")
0x d14a028c2a3a2bc9476102bb288234c415a2b01f828ea62ac5b3e42f
SHA256("")
0x e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
SHA384("")
0x 38b060a751ac96384cd9327eb1b1e36a21fdb71114be07434c0cc7bf63f6e1da274edebfe76f65fbd51ad2f14898b95b
SHA512("")
0x cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
SHA512/224("")
0x 6ed0dd02806fa89e25de060c19d3ac86cabb87d6a0ddd05c333b84f4
SHA512/256("")
0x c672b8d1ef56ed28ab87c3622c5114069bdd3ad7b8f9737498d0c01ecef0967a

雪崩効果により、メッセージに小さな変更を加えただけでも（圧倒的な確率で）ハッシュが変わります。たとえば、次の文の末尾にピリオドを追加すると、ハッシュ内のビットの約半分（224 ビット中 111 ビット）が変更され、新しいハッシュをランダムに選択するのと同じになります。

SHA224(「素早い茶色のキツネが怠け者の犬を飛び越える」)
0x 730e109bd7a8a32b1cb9d9a09aa2325d2430587ddbc0c38bad911525
SHA224("素早い茶色のキツネが怠け者の犬を飛び越える。 ")
0x 619cba8e8e05826e9b8c519c0a5c68f4fb653e8a3d8aa04bb2c8cd4c

擬似コード

SHA-256 アルゴリズムの疑似コードを以下に示します。SHA-1 と比較して、ワードのビット間の混合が大幅に増加していることに注意してくださいw[16..63]。

注 1: すべての変数は 32 ビットの符号なし整数であり、加算は 2 ³²
を法として計算されます。 注 2: 各ラウンドには、1 つのラウンド定数 k[i] と、メッセージ スケジュール配列 w[i] の 1 つのエントリがあります (0 ≤ i ≤ 63)。注 3: 圧縮関数は、a から h までの 8 つの作業変数を使用します。注 4: この擬似コードで定数を表現するとき、およびメッセージ ブロック データをバイトからワードに解析するときには、ビッグ エンディアン規則が使用されます。たとえば、パディング後の入力メッセージ "abc" の最初のワードは 0x61626380 です。


    
    

ハッシュ値を初期化します:
 (最初の 8 つの素数 2..19 の平方根の小数部分の最初の 32 ビット):
h0 := 0x6a09e667
h1 := 0xbb67ae85
h2 := 0x3c6ef372
h3 := 0xa54ff53a
h4 := 0x510e527f
h5 := 0x9b05688c
h6 := 0x1f83d9ab
h7 := 0x5be0cd19

丸め定数の配列を初期化します:
 (最初の 64 個の素数 2..311 の立方根の小数部の最初の 32 ビット):
k[0..63] :=
   0x428a2f98、0x71374491、0xb5c0fbcf、0xe9b5dba5、0x3956c25b、0x59f111f1、0x923f82a4、0xab1c5ed5、
   0xd807aa98、0x12835b01、0x243185be、0x550c7dc3、0x72be5d74、0x80deb1fe、0x9bdc06a7、0xc19bf174、
   0xe49b69c1、0xefbe4786、0x0fc19dc6、0x240ca1cc、0x2de92c6f、0x4a7484aa、0x5cb0a9dc、0x76f988da、
   0x983e5152、0xa831c66d、0xb00327c8、0xbf597fc7、0xc6e00bf3、0xd5a79147、0x06ca6351、0x14292967、
   0x27b70a85、0x2e1b2138、0x4d2c6dfc、0x53380d13、0x650a7354、0x766a0abb、0x81c2c92e、0x92722c85、
   0xa2bfe8a1、0xa81a664b、0xc24b8b70、0xc76c51a3、0xd192e819、0xd6990624、0xf40e3585、0x106aa070、
   0x19a4c116、0x1e376c08、0x2748774c、0x34b0bcb5、0x391c0cb3、0x4ed8aa4a、0x5b9cca4f、0x682e6ff3、
   0x748f82ee、0x78a5636f、0x84c87814、0x8cc70208、0x90befffa、0xa4506ceb、0xbef9a3f7、0xc67178f2

前処理（パディング）：
長さLビットの元のメッセージから始める
1つの「1」ビットを追加する
K 個の '0' ビットを追加します。K は、(L + 1 + K + 64) が 512 の倍数となるような 0 以上の最小の数です。
Lを64ビットのビッグエンディアン整数として追加し、後処理後の合計長さが512ビットの倍数になるようにします。
メッセージ内のビットは次のようになります: <長さLの元のメッセージ> 1 <K個のゼロ> <64ビット整数としてのL> 、(ビット数は512の倍数になります)

メッセージを連続する 512 ビットのチャンクで処理します。
メッセージを512ビットのチャンクに分割する
各チャンクごとに
    32ビットワードの64エントリのメッセージスケジュール配列w[0..63]を作成する
    (w[0..63]の初期値は重要ではないので、多くの実装ではここでゼロにします)
    チャンクをメッセージスケジュール配列の最初の16ワードw[0..15]にコピーする

    最初の16ワードをメッセージスケジュール配列の残りの48ワードw[16..63]に拡張します。i
    が16から63の場合
        s0 := (w[i-15]右回転7) xor (w[i-15]右回転18) xor (w[i-15]右シフト  3)
        s1 := (w[i-2]右回転17) xor (w[i-2]右回転19) xor (w[i-2]右シフト10)
        w[i] := w[i-16] + s0 + w[i-7] + s1

    作業変数を現在のハッシュ値に初期化します。
    := h0 です。
    b := h1
    c := h2
    d := h3
    ｅ := h4
    f := h5
    g := h6
    h := h7

    圧縮関数のメインループ:
     iが0から63 まで
        S1 := (e右回転6) xor (e右回転11) xor (e 右回転25)
        ch := (eかつf) xor (( eではない)かつg)
        temp1 := h + S1 + ch + k[i] + w[i]
        S0 := (a rightrotate 2) xor (a rightrotate 13) xor (a rightrotate 22)
        maj := (aとb) xor (aとc) xor (bとc)
        temp2 := S0 + maj
 
        h := g
        g := f
        f := e
        e := d + temp1
        d := c
        c := b
        b := a
        := 温度1 +温度2

    圧縮されたチャンクを現在のハッシュ値に追加します: 
    h0 := h0 + a
    h1 := h1 + b
    h2 := h2 + c
    h3 := h3 + d
    h4 := h4 + e
    h5 := h5 + f
    h6 := h6 + g
    h7 := h7 + h

最終的なハッシュ値を生成します（ビッグエンディアン）：
ダイジェスト：=ハッシュ：= h0 append h1 append h2 append h3 append h4 append h5 append h6 append h7

chおよび値の計算は、SHA-1 の場合とmaj同じ方法で最適化できます。

SHA-224 は、次の点を除いて SHA-256 と同一です。

初期ハッシュ値はh0異なりh7、
出力は省略して構築されますh7。

SHA-224 初期ハッシュ値 (ビッグ エンディアン): 
(9 番目から 16 番目の素数 23..53 の平方根の小数部の 2 番目の 32 ビット)
h[0..7] :=
    0xc1059ed8、0x367cd507、0x3070dd17、0xf70e5939、0xffc00b31、0x68581511、0x64f98fa7、0xbefa4fa4

SHA-512 は SHA-256 と構造が同じですが、次の点が異なります。

メッセージは1024ビットのチャンクに分割され、
初期ハッシュ値とラウンド定数は64ビットに拡張され、
64ラウンドではなく80ラウンドあり、
メッセージスケジュール配列wは64個の32ビットワードではなく80個の64ビットワードを持ちます。
メッセージスケジュール配列wを拡張するには、ループは16から63ではなく16から79になります。
ラウンド定数は最初の80個の素数2..409に基づいている。
計算に使用されるワードサイズは64ビット長です。
メッセージの付加された長さ（前処理前）はビット単位で、128ビットのビッグエンディアン整数であり、
使用されるシフト量と回転量が異なります。

SHA-512 初期ハッシュ値 (ビッグエンディアン):

h[0..7] := 0x6a09e667f3bcc908, 0xbb67ae8584caa73b, 0x3c6ef372fe94f82b, 0xa54ff53a5f1d36f1,
           0x510e527fade682d1、0x9b05688c2b3e6c1f、0x1f83d9abfb41bd6b、0x5be0cd19137e2179 です

SHA-512 ラウンド定数:

k[0..79] := 0x428a2f98d728ae22, 0x7137449123ef65cd, 0xb5c0fbcfec4d3b2f, 0xe9b5dba58189dbbc, 0x3956c25bf348b538,
            0x59f111f1b605d019、0x923f82a4af194f9b、0xab1c5ed5da6d8118、0xd807aa98a3030242、0x12835b0145706fbe、
            0x243185be4ee4b28c、0x550c7dc3d5ffb4e2、0x72be5d74f27b896f、0x80deb1fe3b1696b1、0x9bdc06a725c71235、
            0xc19bf174cf692694、0xe49b69c19ef14ad2、0xefbe4786384f25e3、0x0fc19dc68b8cd5b5、0x240ca1cc77ac9c65、
            0x2de92c6f592b0275、0x4a7484aa6ea6e483、0x5cb0a9dcbd41fbd4、0x76f988da831153b5、0x983e5152ee66dfab、
            0xa831c66d2db43210、0xb00327c898fb213f、0xbf597fc7beef0ee4、0xc6e00bf33da88fc2、0xd5a79147930aa725、
            0x06ca6351e003826f、0x142929670a0e6e70、0x27b70a8546d22ffc、0x2e1b21385c26c926、0x4d2c6dfc5ac42aed、
            0x53380d139d95b3df、0x650a73548baf63de、0x766a0abb3c77b2a8、0x81c2c92e47edaee6、0x92722c851482353b、
            0xa2bfe8a14cf10364、0xa81a664bbc423001、0xc24b8b70d0f89791、0xc76c51a30654be30、0xd192e819d6ef5218、
            0xd69906245565a910、0xf40e35855771202a、0x106aa07032bbd1b8、0x19a4c116b8d2d0c8、0x1e376c085141ab53、
            0x2748774cdf8eeb99、0x34b0bcb5e19b48a8、0x391c0cb3c5c95a63、0x4ed8aa4ae3418acb、0x5b9cca4f7763e373、
            0x682e6ff3d6b2b8a3、0x748f82ee5defb2fc、0x78a5636f43172f60、0x84c87814a1f0ab72、0x8cc702081a6439ec、
            0x90befffa23631e28、0xa4506cebde82bde9、0xbef9a3f7b2c67915、0xc67178f2e372532b、0xca273eceea26619c、
            0xd186b8c721c0c207、0xeada7dd6cde0eb1e、0xf57d4f7fee6ed178、0x06f067aa72176fba、0x0a637dc5a2c898a6、
            0x113f9804bef90dae、0x1b710b35131c471b、0x28db77f523047d84、0x32caab7b40c72493、0x3c9ebe0a15c9bebc、
            0x431d67c49c100d4c、0x4cc5d4becb3e42b6、0x597f299cfc657e2a、0x5fcb6fab3ad6faec、0x6c44198c4a475817

SHA-512 合計とシグマ:

S0 := (a rightrotate 28) xor (a rightrotate 34) xor (a rightrotate 39)
S1 := (e右回転14) xor (e右回転18) xor (e右回転41)

s0 := (w[i-15]右回転1) xor (w[i-15]右回転8) xor (w[i-15]右シフト7)
s1 := (w[i-2]右回転19) xor (w[i-2]右回転61) xor (w[i-2]右シフト6)

SHA-384 は、次の点を除いて SHA-512 と同一です。

初期ハッシュ値h0はh7異なる（9番目から16番目の素数から取得される）、
出力はh6とを省略して構築されますh7。

SHA-384 初期ハッシュ値 (ビッグエンディアン):

h[0..7] := 0xcbbb9d5dc1059ed8, 0x629a292a367cd507, 0x9159015a3070dd17, 0x152fecd8f70e5939,
           0x67332667ffc00b31、0x8eb44a8768581511、0xdb0c2e0d64f98fa7、0x47b5481dbefa4fa4

SHA-512/t は、次の点を除いて SHA-512 と同一です。

初期ハッシュ値h0はSHA-512/t IV生成関数h7によって与えられ、
h0出力はからまでの連結をth7ビットで切り捨てることによって構築される。
384に等しいtは許可されていないため、代わりにSHA-384を指定どおりに使用する必要があります。
t値224と256は特に承認済みとして記載されています。

SHA-512/224 初期ハッシュ値 (ビッグエンディアン):

h[0..7] := 0x8c3d37c819544da2, 0x73e1996689dcd4d6, 0x1dfab7ae32ff9c82, 0x679dd514582f9fcf,
           0x0f6d2b697bd44da8、0x77e36f7304C48942、0x3f9d85a86a1d36C8、0x1112e6ad91d692a1

SHA-512/256 初期ハッシュ値 (ビッグエンディアン):

h[0..7] := 0x22312194fc2bf72c, 0x9f555fa3c84c64c2, 0x2393b86b6f53b151, 0x963877195940eabd,
           0x96283ee2a88effe3、0xbe5e1e2553863992、0x2b0199fc2c85b8aa、0x0eb72ddC81c52ca2 ...

SHA -512/t IV 生成関数は、tの 10 進表現に置き換えられたASCII 文字列「SHA-512/ t 」に対して、修正された SHA-512を評価します。修正された SHA-512 は、初期値からまでがそれぞれ16 進定数とXOR 演算されていることを除いて SHA-512 と同じです。 h0h70xa5a5a5a5a5a5a5a5

SHA-2 ファミリのハッシュ関数のサンプル C 実装は、RFC 6234 にあります。

SHA関数の比較

以下の表では、内部状態は、データブロックの各圧縮後の「内部ハッシュサム」を意味します。

ビット演算の列で、「Rot」は回転、キャリーなし、「Shr」は右論理シフトを表します。SHA -3 を除くこれらのアルゴリズムはすべて、何らかの形でモジュラー加算を採用しています。

最新のプロセッサアーキテクチャにおけるより詳細なパフォーマンス測定については、以下の表を参照してください。

「x86」と表示されているパフォーマンス数値は、64 ビットプロセッサで 32 ビットコードを使用して実行されていますが、「x86-64」の数値はネイティブ 64 ビットコードです。SHA-256 は 32 ビット計算用に設計されていますが、x86 アーキテクチャの 64 ビットプロセッサ用に最適化されたコードを使用するとメリットがあります。SHA-512 の 32 ビット実装は、64 ビット実装よりも大幅に低速です。出力サイズが異なる両方のアルゴリズムのバリアントは、メッセージの展開と圧縮の機能は同じで、初期ハッシュ値と出力サイズのみが異なるため、同様に動作します。MD5 と SHA-1 の最適な実装は、最新のプロセッサで 1 バイトあたり 4.5 ～ 6 サイクルで動作します。

テストは、イリノイ大学シカゴ校によって、クロック速度 3.5GHz の Intel Xeon E3-1275 V2 を実行する hydra8 システムと、クロック速度 3.8GHz の AMD A10-5800K APU を実行する hydra9 システムで実施されました。^[46]上記の参照されたバイトあたりのサイクル速度は、SUPERCOP 暗号化ベンチマークソフトウェアを使用して 4,096 バイトのメッセージを消化するアルゴリズムの平均パフォーマンスです。^[47] MiB/s のパフォーマンスは、シングルコアの CPU クロック速度から推定されたものであり、実際のパフォーマンスはさまざまな要因によって異なります。

実装

以下は SHA-2 をサポートする暗号化ライブラリのリストです。

ハードウェアアクセラレーションは、次のプロセッサ拡張機能によって提供されます。

Intel SHA 拡張機能: 一部の Intel および AMD x86 プロセッサで利用できます。
VIA パッドロック
ARMv8暗号化拡張^[50]
IBM z/Architecture : 2005年からMessage-Security-Assist Extensions 1 (SHA-256)および2 (SHA-512)の一部として利用可能^[51]
IBM Power ISA v.2.07 以降

参照

参考文献

^ abc Dmitry Khovratovich、Christian Rechberger、Alexandra Savelieva (2011)。「Bicliques for Preimages: Attacks on Skein-512 and the SHA-2 family」(PDF)。IACR Cryptology ePrint Archive。2011 ( 286)。 2022年2月15日時点のオリジナルよりアーカイブ(PDF) 。 2022年2月15日閲覧。
^ abc Mario Lamberger & Florian Mendel (2011). 「Higher-Order Differential Attack on Reduced SHA-256」(PDF) . IACR Cryptology ePrint Archive . 2011 (37). 2022-12-22時点のオリジナルよりアーカイブ(PDF) . 2022-02-15閲覧。
^ Penard, Wouter; van Werkhoven, Tim. 「セキュアハッシュアルゴリズムファミリーについて」(PDF) . staff.science.uu.nl . 2016年3月30日時点のオリジナル(PDF)からアーカイブ。
^ ab 連邦官報通知 02-21599、FIPS 出版物 180-2 の承認を発表 2022-03-14 にWayback Machineでアーカイブ
^ ab 「IPRの詳細：国家安全保障局の一般ライセンス声明で示されるアメリカ合衆国」。IETFデータトラッカー。858。2016年6月16日時点のオリジナルよりアーカイブ。2008年2月17日閲覧。
^ US 6829355、Lilly、Glenn M.、「一方向暗号ハッシュの装置および方法」、2004年12月7日発行、国家安全保障局に譲渡
^ 「FIPS 180-2 with Change Notice 1」（PDF）csrc.nist.gov。2017年8月9日時点のオリジナルよりアーカイブ（PDF）。 2022年2月15日閲覧。
^ 連邦官報通知 E8-24743、FIPS 出版物 180-3 の承認を発表
^ ab Dang, Quynh (2012-08-24). 承認されたハッシュアルゴリズムを使用するアプリケーションに対する推奨事項（レポート）。米国国立標準技術研究所。2023-08-28時点のオリジナルよりアーカイブ。2023-08-28に取得。
^ ab Barker, Elaine; Barker, William; Burr, William; Polk, W.; Smid, Miles (2012-07-10). 鍵管理に関する推奨事項、パート 1: 一般 (改訂 3) (レポート). 米国国立標準技術研究所。 2023-08-28 時点のオリジナルよりアーカイブ。 2023-08-28に取得。
^ 「NIST.gov – Computer Security Division – Computer Security Resource Center」。2016年12月29日。2017年9月9日時点のオリジナルよりアーカイブ。2022年2月15日閲覧。
^ Barker, Elaine; Roginsky, Allen (2011-01-13). 移行: 暗号化アルゴリズムとキーの長さの使用の移行に関する推奨事項 (レポート). 米国国立標準技術研究所。 2023-08-28 時点のオリジナルよりアーカイブ。 2023-08-28に取得。
^ 連邦官報通知 2012-5400、FIPS 出版物 180-4 の承認を発表
^ 「NIST がセキュアハッシュアルゴリズム (SHA-3) コンペティションの優勝者を選出」NIST 2012年10月2日。2015年4月2日時点のオリジナルよりアーカイブ。2015年2月24日閲覧。
^ ルーカス・ダウト・フランク;ガブリエル・アウグスト・ジンジャ。ジョアンパウロ・カルモ。ホセ・A・アフォンソ。マクシミリアン・ルッペ (2024)。「オープンソースツールを使用した SHA-256 用のカスタム ASIC 設計」。コンピューター。13 (1): 9.土井: 10.3390/computers13010009。hdl : 1822/89307。
^ 「Debian イメージの信頼性の検証」。2024 年 2 月 19 日時点のオリジナルよりアーカイブ。2024 年 2 月 19 日閲覧。
^ Markoff, John (2009-01-27). 「技術が変化してもデジタル記録を検証するツール」. The New York Times . ISSN 0362-4331. 2023-09-19時点のオリジナルよりアーカイブ。2023-08-27に閲覧。
^ DNSSEC の DNSKEY および RRSIG リソースレコードにおける RSA と SHA-2 アルゴリズムの使用。2009 年 10 月。doi : 10.17487 / RFC5702。RFC 5702 。
^ 「SHA-256/512 を使用した Unix 暗号化」。akkadia.org。2023年 8 月 20 日時点のオリジナルよりアーカイブ。2023 年 8 月 27 日閲覧。
^ ビットコイン、余剰。「ビットコインはエネルギーを無駄にしない」。余剰ビットコイン。2022年5月28日時点のオリジナルよりアーカイブ。 2020年4月20日閲覧。
^ 「SHA-256とは何か、ビットコインとどう関係するのか？ - Mycryptopedia」。Mycryptopedia 。 2017年9月21日。2018年9月17日時点のオリジナルよりアーカイブ。 2018年9月17日閲覧。
^ コンピュータセキュリティ部門、情報技術研究所 (2017-01-04)。「ハッシュ関数に関するNISTポリシー – ハッシュ関数 | CSRC | CSRC」。CSRC | NIST。2023年8月28日時点のオリジナルよりアーカイブ。2023年8月27日閲覧。
^ 「Secure Hashing」。NIST。2011年6月25日時点のオリジナルよりアーカイブ。2010年11月25日閲覧。
^ 「Windows XP Service Pack 3 の概要」(PDF)。Microsoft Corporation。2008 年 5 月 30 日時点のオリジナル(PDF)からアーカイブ。
^ 「SHA-1 の段階的廃止」。Chromiumブログ。2023 年 8 月 7 日時点のオリジナルよりアーカイブ。2023 年 8 月 27 日閲覧。
^ エリック・ミル。「SHAAAAAAAAAAAAA」。SHAAAAAAAAAAAAA.com。2017年3月1日時点のオリジナルよりアーカイブ。2015年8月26日閲覧。
^ 「非公式 Chrome SHA1 廃止に関する FAQ」Filippo Valsorda 2015 年 4 月 8 日。2023 年 8 月 28 日時点のオリジナルよりアーカイブ。2023年 8 月 27 日閲覧。
^ 「SHA-1 廃止ロードマップの更新 – Microsoft Edge Dev BlogMicrosoft Edge Dev Blog」。blogs.windows.com。2016 年 4 月 29 日。2016 年 11 月 28 日時点のオリジナルよりアーカイブ。2016年 11 月 28 日閲覧。
^ オンライン、ヘイセ (2016-01-08)。「Firefox: Mozilla schultet SHA-1 ab … und direkt wieder an」。セキュリティ(ドイツ語)。 2023-08-28 のオリジナルからアーカイブ。2023-08-27に取得。
^ Alexander Sotirov、Marc Stevens、Jacob Appelbaum、Arjen Lenstra、David Molnar、Dag Arne Osvik、Benne de Weger、「MD5 は現在有害であると見なされています: 不正な CA 証明書の作成」、Wayback Machineで 2022 年 3 月 23 日にアーカイブ、2009 年 3 月 29 日にアクセス。
^ 李吉、磯部孝典、渋谷京司、ソニー中国研究所、ソニー株式会社、Meet-in-the-Middle Preimage Attack の疑似衝突攻撃への変換: SHA-2 への応用、2022-02-24 にWayback Machineでアーカイブ
^ Sanadhya, Somitra Kumar; Sarkar, Palash (2008)、最大24ステップのSHA-2に対する新しい衝突攻撃、Lecture Notes in Computer Science、vol. 5365、Springer-Verlag、pp. 91–103、doi :10.1007/978-3-540-89754-5_8、ISBN 978-3-540-89753-8、2022年1月21日にオリジナルからアーカイブ、2024年2月12日に取得
^ Sanadhya, Somitra Kumar; Sarkar, Palash (2009). 「ステップ削減SHA-2ファミリーに対する最近の攻撃の組み合わせ分析」. Cryptography and Communications . 1 (2): 135–173. doi :10.1007/s12095-009-0011-5. 2023-08-02にオリジナルからアーカイブ。2024-02-12に取得。
^ 青木一麿、郭建、クリスティアン・マトゥシエヴィッチ、佐々木優、王磊 (2009)。「ステップ縮小 SHA-2 のプリイメージ」。暗号学の進歩 - ASIACRYPT 2009。コンピュータサイエンスの講義ノート。第 5912 巻。Springer Berlin Heidelberg。pp. 578–597。doi : 10.1007 / 978-3-642-10366-7_34。ISBN 978-3-642-10366-7. ISSN 0302-9743.
^ Jian Guo、San Ling、Christian Rechberger、Huaxiong Wang (2010)。「高度な Meet-in-the-Middle プリイメージ攻撃: Full Tiger での最初の結果、および MD4 と SHA-2 での改善された結果」。Advances in Cryptology - ASIACRYPT 2010 ( PDF)。Lecture Notes in Computer Science。Vol. 6477。Springer Berlin Heidelberg。pp. 56–75。doi :10.1007 / 978-3-642-17373-8_4。ISBN 978-3-642-17373-8. ISSN 0302-9743. 2022年3月3日時点のオリジナルよりアーカイブ（PDF） . 2022年2月15日閲覧。
^ Florian Mendel、Tomislav Nad、Martin Schläffer (2013)。「ローカル衝突の改善: 縮小 SHA-256 に対する新しい攻撃」。Advances in Cryptology – EUROCRYPT 2013。Lecture Notes in Computer Science。Vol. 7881。Springer Berlin Heidelberg。pp. 262–278。doi : 10.1007 / 978-3-642-38348-9_16。ISBN 978-3-642-38348-9. ISSN 0302-9743. 2018年11月6日時点のオリジナルよりアーカイブ。2014年12月13日閲覧。
^ Maria Eichlseder、Florian Mendel、Martin Schläffer (2014)。「SHA-512への応用を伴う差分衝突探索における分岐ヒューリスティックス」(PDF) 。IACR Cryptology ePrint Archive。2014 ( 302) 。2022年1月20日時点のオリジナルよりアーカイブ(PDF) 。 2022年2月15日閲覧。
^ Christoph Dobraunig、Maria Eichlseder、Florian Mendel (2016)。「SHA-512/224 および SHA-512/256 の分析」(PDF)。国際暗号研究協会。2017年 7 月 15 日のオリジナルからアーカイブ(PDF) 。2016年 4 月 15 日閲覧。
^ Li, Yingxin; Liu, Fukang; Wang, Gaoli (2024). 「SHA-2に対する衝突攻撃の新記録」Cryptology ePrint Archive。2024年3月2日時点のオリジナルよりアーカイブ。 2024年3月2日閲覧。
^ 「SHS Validation List」。NIST。2017年6月16日。2017年6月17日時点のオリジナルよりアーカイブ。
^ 「測定表」bench.cr.yp.to .
^ Tao, Xie; Liu, Fanbao; Feng, Dengguo (2013). MD5 に対する高速衝突攻撃(PDF) . Cryptology ePrint Archive (技術レポート). IACR .
^ Stevens, Marc ; Bursztein, Elie ; Karpman, Pierre ; Albertini, Ange ; Markov, Yarik. 完全な SHA-1 の最初の衝突(PDF) (技術レポート)。Google Research。
- Marc Stevens、Elie Bursztein、Pierre Karpman、Ange Albertini、Yarik Markov、Alex Petit Bianco、Clement Baisse (2017 年 2 月 23 日)。「初の SHA1 衝突のお知らせ」。Googleセキュリティブログ。
^ 切り捨てがない場合、衝突耐性に関係なく、ハッシュ関数の完全な内部状態がわかります。出力が切り捨てられている場合、ハッシュ関数を再開する前に、状態の削除された部分を検索して見つける必要があり、攻撃を続行できるようになります。
^ 「Keccakスポンジ関数ファミリー」。2016年1月27日閲覧。
^ SUPERCOPベンチマークマシンインデックスによるハッシュ関数の測定
^ “SUPERCOP”. 2015年2月15日時点のオリジナルよりアーカイブ。2015年2月24日閲覧。
^ 「サポートされている SSL / TLS 暗号スイート」。2019 年 5 月 12 日時点のオリジナルよりアーカイブ。2019 年 10 月 19 日閲覧。
^ 「Mbed TLS Changelog、2007年7月7日」。GitHub。2019年2月4日時点のオリジナルよりアーカイブ。2019年10月19日閲覧。
^ 「ARM Cortex-A53 MPCoreプロセッサテクニカルリファレンスマニュアル暗号化拡張機能」。2020年6月1日時点のオリジナルよりアーカイブ。2022年2月15日閲覧。
^ IBM z/Architecture Principles of Operation、発行番号 SA22-7832。第 7 章の KIMD および KLMD 命令を参照してください。

さらに読む

アンリ・ギルバート、ヘレナ・ハンシュー：SHA-256 と Sisters のセキュリティ分析。2003年暗号分野選択：pp175～193
「連邦情報処理標準 (FIPS) 180、セキュアハッシュ標準の改訂案」。連邦官報。59 (131): 35317–35318。1994-07-11。2020-07-28にオリジナルからアーカイブ。2007-04-26に取得。

外部リンク

NISTによる SHA-256、SHA-384、SHA-512 の説明
SHA-2 チェッカー – SHA-2 の SSL 互換性をチェックする SHAChecker
SHA-256 計算機 – SHA-256 計算機
SHA-256 ハッシュジェネレーター – SHA256 ジェネレーター – 他の重要なセキュアハッシュアルゴリズムも提供します
セキュアハッシュ標準 (SHS) の仕様 – 提案された SHS (SHA-0) のドラフト
セキュアハッシュ標準 (SHS) – 提案された SHS (SHA-0)
CSRC 暗号化ツールキット –セキュアハッシュ標準の公式NISTサイト
FIPS PUB 180-4: セキュアハッシュ標準 (SHS) ( PDF、834 KB) – セキュアハッシュ標準 (SHA-1、SHA-224、SHA-256、SHA-384、および SHA-512) の現在のバージョン、2015 年 8 月
NESSIEプロジェクトの SHA-256/384/512 のテストベクトル
NISTサイトからのSHA-1、SHA-2のテストベクトル
NIST 暗号ハッシュプロジェクト – SHA-3 競争
RFC 3874: 「224 ビットの一方向ハッシュ関数: SHA-224」
RFC 6234: 「米国のセキュアハッシュアルゴリズム (SHA および SHA ベースの HMAC および HKDF)」; サンプル C 実装が含まれています
SHA-256 アルゴリズムのデモンストレーション

[preimage-khov-1] Dmitry Khovratovich、Christian Rechberger、Alexandra Savelieva (2011)。「Bicliques for Preimages: Attacks on Skein-512 and the SHA-2 family」(PDF)。IACR Cryptology ePrint Archive。2011 ( 286)。 2022年2月15日時点のオリジナルよりアーカイブ(PDF) 。 2022年2月15日閲覧。

[collision-lamberger-2] Mario Lamberger & Florian Mendel (2011). 「Higher-Order Differential Attack on Reduced SHA-256」(PDF) . IACR Cryptology ePrint Archive . 2011 (37). 2022-12-22時点のオリジナルよりアーカイブ(PDF) . 2022-02-15閲覧。

[3] Penard, Wouter; van Werkhoven, Tim. 「セキュアハッシュアルゴリズムファミリーについて」(PDF) . staff.science.uu.nl . 2016年3月30日時点のオリジナル(PDF)からアーカイブ。

[:0-4] 連邦官報通知 02-21599、FIPS 出版物 180-2 の承認を発表 2022-03-14 にWayback Machineでアーカイブ

[:1-5] 「IPRの詳細：国家安全保障局の一般ライセンス声明で示されるアメリカ合衆国」。IETFデータトラッカー。858。2016年6月16日時点のオリジナルよりアーカイブ。2008年2月17日閲覧。

[6] US 6829355、Lilly、Glenn M.、「一方向暗号ハッシュの装置および方法」、2004年12月7日発行、国家安全保障局に譲渡

[7] 「FIPS 180-2 with Change Notice 1」（PDF）csrc.nist.gov。2017年8月9日時点のオリジナルよりアーカイブ（PDF）。 2022年2月15日閲覧。

[8] 連邦官報通知 E8-24743、FIPS 出版物 180-3 の承認を発表

[sp800107-9] Dang, Quynh (2012-08-24). 承認されたハッシュアルゴリズムを使用するアプリケーションに対する推奨事項（レポート）。米国国立標準技術研究所。2023-08-28時点のオリジナルよりアーカイブ。2023-08-28に取得。

[sp80057-10] Barker, Elaine; Barker, William; Burr, William; Polk, W.; Smid, Miles (2012-07-10). 鍵管理に関する推奨事項、パート 1: 一般 (改訂 3) (レポート). 米国国立標準技術研究所。 2023-08-28 時点のオリジナルよりアーカイブ。 2023-08-28に取得。

[11] 「NIST.gov – Computer Security Division – Computer Security Resource Center」。2016年12月29日。2017年9月9日時点のオリジナルよりアーカイブ。2022年2月15日閲覧。

[12] Barker, Elaine; Roginsky, Allen (2011-01-13). 移行: 暗号化アルゴリズムとキーの長さの使用の移行に関する推奨事項 (レポート). 米国国立標準技術研究所。 2023-08-28 時点のオリジナルよりアーカイブ。 2023-08-28に取得。

[13] 連邦官報通知 2012-5400、FIPS 出版物 180-4 の承認を発表

[nist.gov-14] 「NIST がセキュアハッシュアルゴリズム (SHA-3) コンペティションの優勝者を選出」NIST 2012年10月2日。2015年4月2日時点のオリジナルよりアーカイブ。2015年2月24日閲覧。

[franck-15] ルーカス・ダウト・フランク;ガブリエル・アウグスト・ジンジャ。ジョアンパウロ・カルモ。ホセ・A・アフォンソ。マクシミリアン・ルッペ (2024)。「オープンソースツールを使用した SHA-256 用のカスタム ASIC 設計」。コンピューター。13 (1): 9.土井: 10.3390/computers13010009。hdl : 1822/89307。

[16] 「Debian イメージの信頼性の検証」。2024 年 2 月 19 日時点のオリジナルよりアーカイブ。2024 年 2 月 19 日閲覧。

[17] Markoff, John (2009-01-27). 「技術が変化してもデジタル記録を検証するツール」. The New York Times . ISSN 0362-4331. 2023-09-19時点のオリジナルよりアーカイブ。2023-08-27に閲覧。

[18] DNSSEC の DNSKEY および RRSIG リソースレコードにおける RSA と SHA-2 アルゴリズムの使用。2009 年 10 月。doi : 10.17487 / RFC5702。RFC 5702 。

[19] 「SHA-256/512 を使用した Unix 暗号化」。akkadia.org。2023年 8 月 20 日時点のオリジナルよりアーカイブ。2023 年 8 月 27 日閲覧。

[20] ビットコイン、余剰。「ビットコインはエネルギーを無駄にしない」。余剰ビットコイン。2022年5月28日時点のオリジナルよりアーカイブ。 2020年4月20日閲覧。

[21] 「SHA-256とは何か、ビットコインとどう関係するのか？ - Mycryptopedia」。Mycryptopedia 。 2017年9月21日。2018年9月17日時点のオリジナルよりアーカイブ。 2018年9月17日閲覧。

[22] コンピュータセキュリティ部門、情報技術研究所 (2017-01-04)。「ハッシュ関数に関するNISTポリシー – ハッシュ関数 | CSRC | CSRC」。CSRC | NIST。2023年8月28日時点のオリジナルよりアーカイブ。2023年8月27日閲覧。

[23] 「Secure Hashing」。NIST。2011年6月25日時点のオリジナルよりアーカイブ。2010年11月25日閲覧。

[24] 「Windows XP Service Pack 3 の概要」(PDF)。Microsoft Corporation。2008 年 5 月 30 日時点のオリジナル(PDF)からアーカイブ。

[25] 「SHA-1 の段階的廃止」。Chromiumブログ。2023 年 8 月 7 日時点のオリジナルよりアーカイブ。2023 年 8 月 27 日閲覧。

[26] エリック・ミル。「SHAAAAAAAAAAAAA」。SHAAAAAAAAAAAAA.com。2017年3月1日時点のオリジナルよりアーカイブ。2015年8月26日閲覧。

[27] 「非公式 Chrome SHA1 廃止に関する FAQ」Filippo Valsorda 2015 年 4 月 8 日。2023 年 8 月 28 日時点のオリジナルよりアーカイブ。2023年 8 月 27 日閲覧。

[28] 「SHA-1 廃止ロードマップの更新 – Microsoft Edge Dev BlogMicrosoft Edge Dev Blog」。blogs.windows.com。2016 年 4 月 29 日。2016 年 11 月 28 日時点のオリジナルよりアーカイブ。2016年 11 月 28 日閲覧。

[29] オンライン、ヘイセ (2016-01-08)。「Firefox: Mozilla schultet SHA-1 ab … und direkt wieder an」。セキュリティ(ドイツ語)。 2023-08-28 のオリジナルからアーカイブ。2023-08-27に取得。

[30] Alexander Sotirov、Marc Stevens、Jacob Appelbaum、Arjen Lenstra、David Molnar、Dag Arne Osvik、Benne de Weger、「MD5 は現在有害であると見なされています: 不正な CA 証明書の作成」、Wayback Machineで 2022 年 3 月 23 日にアーカイブ、2009 年 3 月 29 日にアクセス。

[31] 李吉、磯部孝典、渋谷京司、ソニー中国研究所、ソニー株式会社、Meet-in-the-Middle Preimage Attack の疑似衝突攻撃への変換: SHA-2 への応用、2022-02-24 にWayback Machineでアーカイブ

[32] Sanadhya, Somitra Kumar; Sarkar, Palash (2008)、最大24ステップのSHA-2に対する新しい衝突攻撃、Lecture Notes in Computer Science、vol. 5365、Springer-Verlag、pp. 91–103、doi :10.1007/978-3-540-89754-5_8、ISBN 978-3-540-89753-8、2022年1月21日にオリジナルからアーカイブ、2024年2月12日に取得

[33] Sanadhya, Somitra Kumar; Sarkar, Palash (2009). 「ステップ削減SHA-2ファミリーに対する最近の攻撃の組み合わせ分析」. Cryptography and Communications . 1 (2): 135–173. doi :10.1007/s12095-009-0011-5. 2023-08-02にオリジナルからアーカイブ。2024-02-12に取得。

[preimage-merged-34] 青木一麿、郭建、クリスティアン・マトゥシエヴィッチ、佐々木優、王磊 (2009)。「ステップ縮小 SHA-2 のプリイメージ」。暗号学の進歩 - ASIACRYPT 2009。コンピュータサイエンスの講義ノート。第 5912 巻。Springer Berlin Heidelberg。pp. 578–597。doi : 10.1007 / 978-3-642-10366-7_34。ISBN 978-3-642-10366-7. ISSN 0302-9743.

[preimage-gou-35] Jian Guo、San Ling、Christian Rechberger、Huaxiong Wang (2010)。「高度な Meet-in-the-Middle プリイメージ攻撃: Full Tiger での最初の結果、および MD4 と SHA-2 での改善された結果」。Advances in Cryptology - ASIACRYPT 2010 ( PDF)。Lecture Notes in Computer Science。Vol. 6477。Springer Berlin Heidelberg。pp. 56–75。doi :10.1007 / 978-3-642-17373-8_4。ISBN 978-3-642-17373-8. ISSN 0302-9743. 2022年3月3日時点のオリジナルよりアーカイブ（PDF） . 2022年2月15日閲覧。

[collision-mendel-36] Florian Mendel、Tomislav Nad、Martin Schläffer (2013)。「ローカル衝突の改善: 縮小 SHA-256 に対する新しい攻撃」。Advances in Cryptology – EUROCRYPT 2013。Lecture Notes in Computer Science。Vol. 7881。Springer Berlin Heidelberg。pp. 262–278。doi : 10.1007 / 978-3-642-38348-9_16。ISBN 978-3-642-38348-9. ISSN 0302-9743. 2018年11月6日時点のオリジナルよりアーカイブ。2014年12月13日閲覧。

[collision-eichlseder-37] Maria Eichlseder、Florian Mendel、Martin Schläffer (2014)。「SHA-512への応用を伴う差分衝突探索における分岐ヒューリスティックス」(PDF) 。IACR Cryptology ePrint Archive。2014 ( 302) 。2022年1月20日時点のオリジナルよりアーカイブ(PDF) 。 2022年2月15日閲覧。

[38] Christoph Dobraunig、Maria Eichlseder、Florian Mendel (2016)。「SHA-512/224 および SHA-512/256 の分析」(PDF)。国際暗号研究協会。2017年 7 月 15 日のオリジナルからアーカイブ(PDF) 。2016年 4 月 15 日閲覧。

[39] Li, Yingxin; Liu, Fukang; Wang, Gaoli (2024). 「SHA-2に対する衝突攻撃の新記録」Cryptology ePrint Archive。2024年3月2日時点のオリジナルよりアーカイブ。 2024年3月2日閲覧。

[40] 「SHS Validation List」。NIST。2017年6月16日。2017年6月17日時点のオリジナルよりアーカイブ。

[41] 「測定表」bench.cr.yp.to .

[42] Tao, Xie; Liu, Fanbao; Feng, Dengguo (2013). MD5 に対する高速衝突攻撃(PDF) . Cryptology ePrint Archive (技術レポート). IACR .

[43] Stevens, Marc ; Bursztein, Elie ; Karpman, Pierre ; Albertini, Ange ; Markov, Yarik. 完全な SHA-1 の最初の衝突(PDF) (技術レポート)。Google Research。
Marc Stevens、Elie Bursztein、Pierre Karpman、Ange Albertini、Yarik Markov、Alex Petit Bianco、Clement Baisse (2017 年 2 月 23 日)。「初の SHA1 衝突のお知らせ」。Googleセキュリティブログ。

[44] Marc Stevens、Elie Bursztein、Pierre Karpman、Ange Albertini、Yarik Markov、Alex Petit Bianco、Clement Baisse (2017 年 2 月 23 日)。「初の SHA1 衝突のお知らせ」。Googleセキュリティブログ。

[44] 切り捨てがない場合、衝突耐性に関係なく、ハッシュ関数の完全な内部状態がわかります。出力が切り捨てられている場合、ハッシュ関数を再開する前に、状態の削除された部分を検索して見つける必要があり、攻撃を続行できるようになります。

[45] 「Keccakスポンジ関数ファミリー」。2016年1月27日閲覧。

[46] SUPERCOPベンチマークマシンインデックスによるハッシュ関数の測定

[47] “SUPERCOP”. 2015年2月15日時点のオリジナルよりアーカイブ。2015年2月24日閲覧。

[48] 「サポートされている SSL / TLS 暗号スイート」。2019 年 5 月 12 日時点のオリジナルよりアーカイブ。2019 年 10 月 19 日閲覧。

[49] 「Mbed TLS Changelog、2007年7月7日」。GitHub。2019年2月4日時点のオリジナルよりアーカイブ。2019年10月19日閲覧。

[50] 「ARM Cortex-A53 MPCoreプロセッサテクニカルリファレンスマニュアル暗号化拡張機能」。2020年6月1日時点のオリジナルよりアーカイブ。2022年2月15日閲覧。

[51] IBM z/Architecture Principles of Operation、発行番号 SA22-7832。第 7 章の KIMD および KLMD 命令を参照してください。