哈希模式的紧凑性以及超越默克尔树的效率

我们重新审视设计最优高效密码学安全哈希函数的经典问题。哈希函数传统上通过对具有较小域的原语应用操作模式来设计。Shrimpton 和 Stam（ICALP 2008）、Rogaway 和 Steinberger（CRYPTO 2008）以及 Mennink 和 Preneel（CRYPTO 2012）的结果展示了如何由非压缩原语实现 $2n$-到-$n$-比特压缩函数的最优高效设计，并具有渐近最优的 $2^{n/2-\epsilon}$ 次查询抗碰撞性。为更大域（$> 2n$ 比特）设计最优高效且安全的哈希函数仍是一个开放问题。本工作中我们提出新的紧凑性（compactness）效率概念。它使我们能够专注于渐近最优抗碰撞哈希函数，并基于 Stam 在 CRYPTO 2008 的界对其参数进行归一化以获得最大效率。随后我们提出两种基于树的操作模式——我们的第一个构造是一种增广二叉树（ABR）模式。该设计是一个 $(2^{\ell}+2^{\ell-1} -1)n$-到-$n$-比特哈希函数，对任意 $\ell\geq 2$ 总共调用 $(2^{\ell}-1)$ 次 $2n$-到-$n$-比特压缩函数。我们的构造在理想模型下具有渐近（最优）的 $2^{n/2-\epsilon}$ 次查询抗碰撞性，是最优紧凑的。对于高度为 $\ell$ 的树，与默克尔树相比，ABR 模式在处理相同次数的内部压缩函数调用的同时多处理了 $(2^{\ell-1}-1)$ 个数据块。——尽管 ABR 模式实现了抗碰撞性，但它在 $2^{n/3}$ 次查询内无法达到与随机预言机的不可区分性。ABR$^{+}$ 比 ABR 少压缩仅 $1$ 个数据块，使用相同次数的压缩调用，并额外实现了高达 $2^{n/2-\epsilon}$ 次查询的不可区分性。