Bearbeiten von „Kryptologische Hashfunktion“

Eine '''kryptologische Hashfunktion''' oder '''kryptographische Hashfunktion''' ist eine spezielle Form der [[Hashfunktion]], welche [[Kollisionssicherheit|kollisionsresistent]] sein sollte und nach Definition immer eine [[Einwegfunktion]] ist.

Eine Hashfunktion ist eine Funktion, die eine Zeichenfolge beliebiger Länge auf eine Zeichenfolge mit fester Länge abbildet. Mathematisch ist diese Funktion nicht [[Injektivität|injektiv]] (linkseindeutig) und nicht notwendigerweise [[Surjektivität|surjektiv]] (rechtstotal).

Anwendungen [[Kryptologie|kryptologischer]] Hashfunktionen sind vor allem die [[Datenverarbeitung]] zur [[Integrität (Informationssicherheit)|Integritätsprüfung]] von Dateien oder Nachrichten. Darüber hinaus werden sie eingesetzt zur Verschleierung von [[Passwort]]dateien, als Datenbasis [[Digitale Signatur|digitaler Signaturen]], als Pseudo-[[Zufallszahlengenerator]]en oder zur Konstruktion von [[Blockchiffre]]n.

== Klassifizierung ==
Kryptologische Hashfunktionen werden in schlüssellose und schlüsselabhängige eingeteilt:<ref name="HAC9" />
* Schlüssellose Hashfunktionen (kurz Hashfunktionen) werden ferner unterteilt in Einweg-Hashfunktionen (englisch: One-Way Hash Function oder OWHF) und kollisionsresistente Hashfunktionen (englisch: Collision Resistant Hash Functions, CRHFs).
* Schlüsselabhängige Hashfunktionen werden auch [[Message Authentication Code]]s (MAC) genannt. Zu diesen zählen Konstrukte wie [[Keyed-Hash Message Authentication Code|HMAC]], CBC-MAC oder UMAC.

Eine OWHF erfüllt folgende Bedingungen:
# Einwegfunktion: Es ist praktisch unmöglich, zu einem gegebenen Ausgabewert <math>y</math> einen Eingabewert <math>x</math> zu finden, den die Hashfunktion auf <math>y</math> abbildet: <math>h(x)=y</math> (englisch: ''preimage resistance'').
# schwache Kollisionsresistenz: es ist praktisch unmöglich, für einen gegebenen Wert <math>x</math> einen davon verschiedenen <math>x'</math> zu finden, der denselben Hashwert <math>h(x)=h(x')\;,\; x \ne x'</math> ergibt (englisch: ''2nd-preimage resistance'').

Für eine CRHF gilt zusätzlich:
<ol start="3"><li>starke Kollisionsresistenz: es ist praktisch unmöglich, zwei verschiedene Eingabewerte <math>x</math> und <math>x'</math> zu finden, die denselben Hashwert ergeben (englisch: ''collision resistance''). Der Unterschied zur schwachen Kollisionsresistenz besteht darin, dass hier beide Eingabewerte <math>x</math> und <math>x'</math> frei gewählt werden dürfen.</li></ol>

Man kann zusätzlich eine Resistenz gegen Beinahe-Kollision fordern (englisch: ''near-collision resistance''). Hierbei sollte es schwierig sein, zwei verschiedene Eingabewerte <math>x</math> und <math>x'</math> zu finden, deren Hashwerte <math>h(x)</math> und <math>h(x')</math> sich nur in wenigen Bits unterscheiden.

== Konstruktion ==
[[Datei:MerkleDamgaard.svg|mini|Die Merkle-Damgård-Konstruktion erzeugt den Hashwert aus den Nachrichtenblöcken durch wiederholte Anwendung der Kompressionsfunktion]]

Die meisten Hashfunktionen, die vor 2010 entwickelt wurden, folgen der Merkle-Damgård-Konstruktion. In Folge des [[SHA-3]]-Wettbewerbs wurde die Merkle-Damgård-Konstruktion durch verschiedene Konstruktionsmethoden ersetzt oder erweitert.

=== Merkle-Damgård-Verfahren ===
In der [[Merkle-Damgård-Konstruktion]] wird eine [[Kompressionsfunktion]] iteriert.
Eine Kompressionsfunktion nimmt als Eingabe zwei Bitfolgen der Längen <math>n</math> und <math>m</math> und gibt eine Bitfolge der Länge <math>n</math> aus. Zusätzlich ist sie eine [[Einwegfunktion]], es sollte also schwer sein, zu einer gegebenen Ausgabe passende Eingabewerte zu finden. Oft wird eine Blockchiffre als Kompressionsfunktion benutzt, die Eingaben werden dann als Nachricht und Schlüssel benutzt.

Bei der Merkle-Damgård-Konstruktion wird die eingegebene Nachricht M zuerst in Blöcke fester Länge geteilt und mit zusätzlichen Bits aufgefüllt, so dass die Eingabelänge ein ganzzahliges Vielfaches der Blocklänge beträgt. Die Kompressionsfunktion hat als Input einen Nachrichtenblock und den Output der vorherigen Nachrichtenblöcke. Der Hashwert der gesamten Nachricht ist der Hashwert des letzten Blocks:
: <math>\begin{align}
H\left(0\right)  & = IV \\
H\left(i \right) & = f\left(M\left(i \right),H\left(i-1\right)\right), \qquad i=1,2,\dotsc,t \\
h\left(M \right) & = H(t)
\end{align}</math>

IV bezeichnet einen Startwert (''initial value'').

Die Kompressionsfunktion kann auf verschiedene Arten konstruiert werden.

==== Kompressionsfunktionen, die auf Bitoperationen basieren ====
Die Kompressionsfunktion kann speziell für eine Hashfunktion entwickelt werden und besteht dann aus einfachen Operationen direkt auf den Nachrichtenbits.
Zu dieser Klasse gehören z.&nbsp;B. die [[Message-Digest Algorithm 4|MD4]]-Familie einschließlich [[Secure Hash Algorithm|SHA]] und [[RIPEMD]].

==== Kompressionsfunktionen, die auf einer Blockchiffre basieren ====
Dabei unterscheidet man Hashfunktionen, deren Hashwert dieselbe Länge hat wie die Blocklänge und jene, deren Hashwert die doppelte Blocklänge hat.

# Hash-Länge gleich Blocklänge:<br />Sei <math>E_K</math> die Verschlüsselung mit einer Blockchiffre unter dem Schlüssel <math>K</math>, <math>M(i)</math> die Nachrichtenblöcke und <math>H(i)</math> die Ausgaben der Kompressionsfunktion. Drei verbreitete Konstruktionen sind die folgenden:
#* Matyas-Meyer-Oseas-Variante: <math>H(i)=E_{H(i-1)}(M(i))\oplus M(i)</math>
#* Davies-Meyer-Variante: <math>H(i)=E_{M(i)}(H(i-1))\oplus H(i-1)</math>
#* Miyaguchi-Preneel-Variante: <math>H(i)=E_{H(i-1)}(M(i))\oplus M(i)\oplus H(i-1)</math>
# Hash-Länge mit doppelter Blocklänge: Dazu zählen MDC-2 und MDC-4. Sie bestehen im Wesentlichen aus der zwei- bzw. vierfachen Anwendung der Matyas-Meyer-Oseas-Konstruktion.

==== Kompressionsfunktionen, die auf algebraischen Strukturen basieren ====
Um die Sicherheit der Kompressionsfunktion auf ein schwieriges Problem reduzieren zu können, wird deren Operation in entsprechenden algebraischen Strukturen definiert. Der Preis für die beweisbare Sicherheit ist ein Verlust an Geschwindigkeit.
MASH (Modular Arithmetic Secure Hash) verwendet einen RSA-ähnlichen Modulus <math>n=pq</math>, mit <math>p</math> und <math>q</math> Primzahlen. Die Kompressionsfunktion ist im Kern:
<math>H(i)=((M(i)\oplus H(i-1)\lor A)^2 \bmod\ n)\oplus H(i-1)</math>

A: Konstante,
<math>\oplus</math>: [[XOR|exklusives Oder]],
<math>\lor</math>: [[Disjunktion|inklusives Oder]]

=== Sponge-Verfahren ===
Sponge-Konstruktionen haben grundsätzlich andere Eigenschaften als Merkle-Damgård-Konstruktionen. Der bekannteste Vertreter dieser Klasse ist [[SHA-3]].

== Angriffe ==
Angriffe gegen Hashfunktionen können allgemeiner Art sein, und nur von der Bit-Länge des Hashwerts abhängen und den Hash-Algorithmus als Black-Box behandeln. Sie können sich andererseits gegen die Kompressionsfunktion richten. Bei Hashfunktionen, die auf einem Block-Chiffre basieren, kann ein Angriff gegen die zugrundeliegende Block-Chiffrierung erfolgen. Überdies sind Angriffe auf die Implementierung des Hash-Algorithmus möglich.

=== Black-Box-Angriffe ===
Black-Box-Angriffe sind Angriffe auf Hashfunktionen, bei denen über die eigentliche Funktionsweise der Hashfunktion nichts bekannt ist. Lediglich die Länge des Hashwerts&nbsp;<math>n</math> wird als bekannt vorausgesetzt und man nimmt an, dass die Hashwerte [[Gleichverteilung|gleichverteilt]] sind.

# Raten (englisch: ''2nd preimage''): Der Angreifer wählt zufällig eine Nachricht und vergleicht deren Hashwert mit dem einer gegebenen Nachricht. Die Erfolgsrate bei diesem Vorgehen liegt bei <math>2^{-n}</math> für einen <math>n</math>&nbsp;Bit langen Hashwert.
# [[Kollisionsangriff]]: Der Angreifer erzeugt viele Variationen einer echten Nachricht und viele Variationen einer gefälschten Nachricht. Anschließend vergleicht er die beiden Mengen und sucht nach zwei Nachrichten, <math>v_\mathrm{echt}</math> und <math>v_\mathrm{falsch}</math>, die den gleichen Hashwert haben. Eine Kollision ist nach <math>2^{\frac{n}{2}}</math> Versuchen zu erwarten.

=== Angriffe auf die Kompressionsfunktion ===
; [[Meet-in-the-middle-Angriff|Meet-in-the-Middle]]
: Der Angreifer erzeugt Variationen der ersten Hälfte einer gefälschten Nachricht und Variationen der zweiten Hälfte. Er berechnet die Hashwerte vorwärts beim Startwert IV beginnend und rückwärts vom Hash-Resultat aus und versucht eine Kollision am Angriffspunkt zu finden. Das heißt, er muss die Kompressionsfunktion effizient invertieren können: gegeben <math>H(i+1)</math> ein Paar <math>(H(i), M(i+1))</math> finden, so dass gilt <math>f(H(i), M(i+1))=H(i+1)</math>.
; Correcting Block Attack
: Der Angreifer ersetzt alle Blöcke einer Nachricht bis auf einen – etwa den ersten. Anschließend legt er diese Variable so fest, dass sie im Laufe der Verkettung den gewünschten Gesamt-Hashwert liefert.
; Fixed Point Attack
: Der Angreifer sucht nach einem <math>H(i-1)</math> und <math>M(i)</math>, so dass <math>f(M(i), H(i-1))=H(i-1)</math>. In diesem Fall kann er an diesem Punkt Nachrichtenblöcke einfügen, ohne den Hashwert zu ändern.
; Differenzielle Kryptanalyse
: [[Differenzielle Kryptanalyse]] ist ein Angriff auf Blockchiffriersysteme, die auf Hashfunktionen übertragen werden kann. Hierbei werden Eingabedifferenzen und die korrespondierenden Ausgabedifferenzen untersucht. Eine Differenz von Null entspricht dann einer Kollision.
; Boomerang Attack
: Der Boomerang Angriff ist eine Erweiterung der differenziellen Kryptanalyse. Er verbindet zwei unabhängige Differentialpfade zu einem Angriff.<ref>Antoine Joux, Thomas Peyrin: ''Hash Functions and the (Amplified) Boomerang Attack''. Advances in Cryptology-CRYPTO2007, LNCS4622. Springer-Verlag, 2007, S.&nbsp;244–263</ref>
; Rebound Attack
: Die innere Struktur einer Hashfunktion wird als dreiteilig betrachtet, mit E=E(bw)·E(in)·E(iw). Die Inboundphase ist ein Meet-in-the-Middle-Angriff, dem vorwärts wie rückwärts eine differenzielle Kryptanalyse folgt.<ref>Florian Mendel, Christian Rechberger, Martin Schlaffer, Soren S. Thomsen: ''The Rebound Attack: Cryptanalysis of Reduced Whirlpool and Grostl''. Fast Software Encryption, LNCS5665. Springer-Verlag, 2009, S.&nbsp;260–276</ref>
; Herding
: Hierbei bildet der Angreifer aus zahlreichen Zwischenwerten eine Struktur (sog. Diamond Structure). Von jeder der Zwischenwerte ausgehend kann eine Nachricht erstellt werden, die denselben Hashwert H ergibt. Bei einer gegebenen Nachricht P (preimage) sucht der Angreifer einen einzelnen Block, der an P angehängt einen der gespeicherten Zwischenwerte in der Struktur ergibt. Dann erzeugt der Angreifer eine Folge von Nachrichtenblöcken, die diesen Zwischenwert mit H verbinden.<ref>{{Literatur |Autor=John Kelsey, Tadayoshi Kohno |Titel=Herding Hash Functions and the Nostradamus Attack |Datum= |Online=[http://eprint.iacr.org/2005/281.pdf eprint.iacr.org] (PDF)}}</ref>

=== Angriffe auf die Blockchiffrierung ===
Schwachstellen eines Blockchiffrierverfahrens, die, solange das Verfahren zur Verschlüsselung verwendet wird, eigentlich irrelevant sind, können bedeutende Auswirkungen haben, wenn es zur Konstruktion eines Hash-Verfahrens herangezogen wird. Diese wären z.&nbsp;B. schwache Schlüssel oder eine Komplementäreigenschaft.

== Übersicht von Hashfunktionen ==
; [[Snefru (Hashfunktion)|Snefru]]
: wurde 1990 von [[Ralph Merkle]] entworfen. Der Kern der Hashfunktion ist ähnlich dem Blockchiffriersystem Khafre (Merkle). Snefru gilt als unsicher.
; [[N-Hash]]
: wurde 1990 bei Nippon Telephone and Telegraph entwickelt. Der Algorithmus ähnelt dem Blockchiffriersystem FEAL (Nippon T&T). N-Hash gilt als unsicher.<ref>[[Bruce Schneier]]: ''Angewandte Kryptographie.'' Addison-Wesley, 1996, S. 491–524</ref>
; [[FFT-Hash]]
: ist eine Hashfunktion auf der Basis der [[Schnelle Fourier-Transformation|Fast-Fourier-Transformation]]. Sie wurde von Schnorr 1991 erstmals vorgestellt, aber bald geknackt.<ref>Serge Vaudenay: ''FFT-Hash is not yet Collision-free''. Advances in Cryptology-CRYPTO 92, LNCS 740. Springer-Verlag, 1993, S. 587–593.</ref> Später folgte eine zweite Version.<ref>[[Claus-Peter Schnorr]], Serge Vaudenay: ''Parallel FFT-Hashing'', Fast Software Encryption, LNCS 809. Springer-Verlag, 1994, S. 149–156.</ref> Sie gilt als unsicher.
; [[Message-Digest Algorithm 4|MD4]]
: wurde 1990 von [[Ronald Rivest]] entwickelt.<ref>[[Ronald L. Rivest]]: ''The MD4 Message Digest Algorithm'', Advances in Cryptology-CRYPTO 90, LNCS 537. Springer Verlag, 1991, S. 303–311.</ref> Sie erzeugt nach drei Runden einen 128 Bit langen Hashwert. Zu Beginn wird die Länge der Nachricht auf ein ganzzahliges Vielfaches von 512 Bit gebracht. Dazu wird sie mit einer „1“ und entsprechend vielen „0“ aufgefüllt, so dass <math>M \equiv 448\pmod{512}</math> ist. Ihr wird die Länge der ursprünglichen Nachricht in 64-Bit-Darstellung angehängt. Als Nächstes wird der Puffer initialisiert. Die Hauptschleife besteht aus drei Runden mit je 16 Schritten. Jede Runde erhält als Eingabe einen 512 Bit langen Nachrichtenblock und den 128 Bit langen Pufferinhalt. Jede Runde benutzt 16-mal eine nichtlineare Rundenfunktion. Der ausgegebene Hashwert ist die Konkatenation (Verkettung) der letzten 32-Bit-Worte im Puffer.<ref>William Stallings: ''Cryptography and Network Security.'' Prentice Hall, 1999, S. 271–297.</ref> MD4 gilt als unsicher.
; [[Message-Digest Algorithm 5|MD5]]
: 1992 veröffentlichte Rivest ein verbessertes Hash-Verfahren, noch bevor eine ernsthafte Schwäche von MD4 aufgedeckt wurde.<br />Die wesentlichen Veränderungen sind: MD5 hat eine vierte Runde. Die vierte Runde hat eine neue Rundenfunktion; die der zweiten Runde wurde durch eine neue Funktion ersetzt. Die additiven Konstanten wurden neu definiert.<br />Der erste partielle Angriff auf MD5 von 1993 findet Pseudokollisionen, d.&nbsp;h. es können zu einem Nachrichtenblock zwei sich in nur wenigen Bits voneinander unterscheidende Verkettungsvariablen V1 und V2 gefunden werden, die denselben Output ergeben.<ref>Bert den Boer, Antoon Bosselaers: ''Collisions for the Compression Function of MD5'', Advances in Cryptology-EUROCRYPT 93, LNCS 765. Springer-Verlag, 1994, S. 293–304.</ref> Der Angriff hat allerdings keine schwerwiegenden Konsequenzen. Ein neuer effizienter Angriff erfolgte 2005.<ref>Xiaoyun Wang, Hongbo Yu: ''How to Break MD5 and Other Hash Functions'', Advances in Cryptology-EUROCRYPT 2005, LNCS 3496. Springer-Verlag, 2005, S. 19–35.</ref> Hierbei suchten die Autoren nach einem Nachrichtenpaar mit je zwei Blöcken, die nach Verarbeitung des zweiten Blocks eine Kollision erzeugen. MD5 gilt als unsicher.
; [[Secure Hash Algorithm|SHA]]
: Das [[National Institute of Standards and Technology|NIST]] schlug 1993 den Secure Hash Algorithm (SHA) vor. Zwei Jahre später wurde es durch SHA-1 ersetzt. SHA-1 unterscheidet sich von seinem Vorgänger nur durch eine zusätzliche 1-Bit-Rotation.<br />Die Nachricht wird wie bei MD4 aufgefüllt. Der Puffer wird mit fünf Konstanten initialisiert. Die Hauptschleife besteht aus vier Runden mit je 20 Schritten.<br />1998 wurde eine differentielle Analyse gegen SHA-0 und SHA-1 durchgeführt.<ref>Florent Chabaud, Antoine Joux: ''Differential Collisions in SHA-0'', Advances in Cryptology-CRYPTO 98, LNCS 1462. Springer-Verlag, 1999, S. 56–71.</ref><br />2002 wurden vom NIST drei weitere Varianten des Algorithmus veröffentlicht, die größere Hashwerte erzeugen. Es handelt sich dabei um den SHA-256, SHA-384 und SHA-512 wobei die angefügte Zahl jeweils die Länge des Hashwerts in Bit angibt.<br />2004 ist ein verbesserter Angriff auf SHA-0 beschrieben.<ref>[[Eli Biham]], Rafi Chen: ''Near-Collisions of SHA-0'', Advances in Cryptology-CRYPTO 2004, LNCS 3152. Springer-Verlag, 2005, S. 290–305.</ref> Hier fanden die Autoren Beinahe-Kollisionen, sowie Kollisionen für eine auf 65 Runden reduzierte Version von SHA. Ein Jahr später berichten dieselben Autoren von einem Angriff auf die volle Rundenzahl von SHA-0 mit einer Komplexität von 2<sup>51</sup>.<ref>Eli Biham, Rafi Chen et al.: ''Collisions of SHA-0 and Reduced SHA-1'', Advances in Cryptology-EUROCRYPTO 2005, LNCS 3494. Springer-Verlag, 2005, S. 526–541.</ref> Im selben Jahr gelingt ein verbesserter Angriff gegen SHA-0 mit einer Komplexität von 2<sup>39</sup> Hash-Operationen<ref>Xiaoyun Wang, Hongbo Yu, Yiqun Lisa Yin: ''Efficient Collision Search Attacks on SHA-0'', Advances in Cryptology-CRYPTO 2005, LNCS 3621. Springer-Verlag, 2006, S. 1–16.</ref> und gegen SHA-1 mit einer Komplexität von 2<sup>69</sup>.<ref>Xiaoyun Wang, Hongbo Yu, Yiqun Lisa Yin: ''Finding Collisions in the Full SHA-1'', Advances in Cryptology-CRYPTO 2005, LNCS 3621. Springer-Verlag, 2006, S. 17–36.</ref> Im Februar 2017 wurde die erste Kollision für SHA-1 veröffentlicht.<ref>Marc Stevens, Elie Bursztein, Pierre Karpman, Ange Albertini, Yarik Markov. [https://shattered.io/static/shattered.pdf The first collision for full SHA-1]</ref>
; [[RIPEMD]]
: RIPE-MD wurde 1992 im Rahmen des Projekts ''RACE Integrity Primitives Evaluation'' (RIPE) der [[Europäische Union|Europäischen Union]] entwickelt. 1996 wurde die ursprüngliche Hashwert-Länge von 128 auf 160 Bits erweitert.<ref>[[Hans Dobbertin (Kryptologe)|Hans Dobbertin]], A. Basselaers, Bart Preneel: ''RIPEMD-160:A Strengthened Version of RIPEMD'', Fast Software Encryption, LNCS 1039. Springer-Verlag, 1996, S. 71–79.</ref> Außerdem wurden die Varianten RIPEMD-256 und RIPEMD-320 eingeführt.<br />Die Nachricht wird wie bei MD4 aufgefüllt. Der Puffer wird mit fünf Konstanten initialisiert. Die Hauptschleife besteht aus fünf Runden mit je 16 Schritten. Der Algorithmus läuft in zwei Ausführungen parallel. Nach jedem Block werden die beiden Ausgabewerte beider Linien zu den Verkettungsvariablen addiert.<br />Im ursprünglichen RIPEMD konnten mit einer Komplexität von <math>2^{16}</math> Kollisionen gefunden werden,<ref>Xiaoyun Wang et al.: ''Cryptanalysis of the Hash Functions MD4 and RIPEMD'', Advances in Cryptology-EUROCRYPT 2005, LNCS 3494. Springer-Verlag, 2005, S. 1–18.</ref> so dass es nicht verwendet werden sollte.
; [[HAVAL]]
: wurde 1992 vorgestellt und gehört ebenfalls zur MD4-Familie. Die Nachrichten werden in 1024 Bit langen Blöcken verarbeitet. Der Hashwert kann 128, 160, 192, 224 oder 256 Bit lang sein. Auch die Rundenzahl kann von drei bis fünf variieren. Jede Runde besteht aus 16 Schritten.<ref>Yuliang Zheng, Josef Pieprzyk, Jennifer Seberry: ''HAVAL-A one-way hashing algorithm with variable length of output'', AUSCRYPT 92, LNCS 718. Springer-Verlag, 1993, S. 83–104.</ref><br />2003 konnte für HAVAL mit drei Runden Kollisionen gefunden werden. Der Angriff gelingt gegen alle möglichen Ausgabelängen. Die Komplexität entspricht dabei 2^29 Rechenschritten der Kompressionsfunktion. HAVAL sollte deswegen nicht für Applikationen verwendet werden, die Kollisionsresistenz erfordern.<ref>Bart Van Rompay, Alex Biryukov, Bart Preneel, Joos Vandewalle: ''Cryptanalysis of 3-Pass HAVAL'', Advances in Cryptology-ASIACRYPT 2003, LNCS 2894. Springer-Verlag, 2003, S. 228–245.</ref>
; [[Tiger (Hashfunktion)|TIGER]]
: wurde 1996 von Anderson und Biham entwickelt. Nachrichtenpadding ist wie bei MD4, d.&nbsp;h. der Nachricht wird eine „1“ plus eine Folge von „0“, sowie die Nachrichtenlänge als ein 63-Bit-Wort angehängt. Das Resultat wird in 512 Bit lange Blöcke geteilt. Der Hashwert enthält 192 Bits. Aus Gründen der Kompatibilität sind TIGER/128 oder TIGER/160 definiert, die die ersten 128, bzw. 160 Bits von TIGER/192 verwenden.<ref>[http://www.cs.technion.ac.il/~biham/Reports/Tiger/ ''Tiger: A Fast New Hash Function''.] (Designed in 1995)</ref>
; PANAMA
: ist von Daemen und Clapp und stammt aus 1998.<ref>[[Joan Daemen]], Craig Clapp: ''Fast Hashing and Stream Encryption with PANAMA'', Fast Software Encryption, LNCS 1372. Springer-Verlag, 1998, S. 60–74.</ref> Es verarbeitet Nachrichtenblöcke mit 256 Bit Länge und gibt einen Hashwert mit 256 Bit aus. Der Puffer ist ein lineares Schieberegister mit 32 Zuständen mit je acht Worten.<br />Einer der Autoren konnte Kollisionen in nur 2<sup>6</sup> Auswertungen der Update-Funktion erzeugen, so dass Panama nicht als kollisionsresistent gelten kann.<ref>Joan Daemen, Gilles van Assche: ''Producing Collisions for PANAMA, Instantaneously'', Fast Software Encryption, LNCS 4593. Springer-Verlag, 2007, S. 1–18.</ref>
; [[Whirlpool (Algorithmus)|Whirlpool]]
: wurde von Rijmen und Barreto entworfen. Es beruht auf dem Miyaguchi-Preneel-Schema.<br />Die Nachricht wird wie bei MD4 aufgefüllt. Die aufgefüllte Nachricht wird in 512 Bit lange Blöcke geteilt. Der Hashwert ist 512 Bit lang. Whirlpool verwendet als Funktion eine [[Advanced Encryption Standard|AES]]-Variante in 10 Runden.<ref>{{Webarchiv|url=http://paginas.terra.com.br/informatica/paulobarreto/WhirlpoolPage.html | wayback=20060408084945 | text=The WHIRLPOOL Hash Function}}</ref>
; SMASH
: wurde 2005 von Knudsen entwickelt. Nach dem Nachrichtenpadding zu Beginn wird die Nachricht wahlweise in 256 bzw. 512 Bit langen Blöcken verarbeitet und liefert einen 256 bzw. 512 Bit langen Hashwert. Die Hauptrunde besteht aus mehreren Runden, die H-Runden und L-Runden genannt werden. Drei verschiedene H-Runden sind definiert. Jede H-Runde enthält eine eigene S-Box (Substitutionstabelle), die an die des Blockchiffrierverfahrens [[Serpent (Verschlüsselung)|Serpent]] angelehnt sind. In der L-Runde werden Links- oder Rechtsverschiebungen durchgeführt.<ref>Lars R. Knudsen: ''SMASH-A Cryptographic Hash Function'', Fast Software Encryption, LNCS 3557. Springer-Verlag, 2005, S. 228–242.</ref><br />SMASH wurde bald erfolgreich angegriffen und gilt als unsicher.<ref>Norbert Pramstaller, Christian Rechberger, [[Vincent Rijmen]]: ''Smashing SMASH'', Cryptology ePrint Archive Report 2005/081</ref>
; FORK-256
: wurde beim Cryptographic Hash Workshop von Hong et al. vorgestellt.<ref>[http://csrc.nist.gov/groups/ST/hash/first_workshop.html]</ref> Es verarbeitet 512 Bit lange Nachrichtenblöcke, unterteilt in 16 Worte, und liefert einen 256 Bit langen Hashwert. Die Hauptschleife besteht aus vier Verzweigungen und acht Schritten je Zweig. FORK-256 gilt als gebrochen.
; [[SHA-3]] (Keccak)
: Das Design-Prinzip von SHA-3 unterscheidet sich von den Hash-Funktionen der MD-Gruppe einschließlich SHA-2. Es ist eine sog. ''sponge construction'' (Schwamm-Konstruktion). Die Sponge-Construction ist eine iterative Funktion, bei der der State (Anzahl Bits im internen Zustand) größer ist als das Output (Ausgabebits). Damit sollen generische Angriffe wie etwa eine Kollision mit Komplexität unter <math>2^{n/2}</math> abgewehrt werden.
; [[BLAKE (Hashfunktion)|BLAKE]]
: 2008 von Jean-Philippe Aumasson, Luca Henzen, Willi Meier und Raphael C.-W. Phan entwickelt; war einer der Finalisten im [[SHA-3]]-Auswahlverfahren.

== Siehe auch ==
* [[Salt (Kryptologie)]]

== Literatur ==
* Alfred J. Menezes, Paul C. van Oorschot, Scott A. Vanstone: ''Handbook of Applied Cryptography.'' CRC Press, 1996, S.&nbsp;321–384.
* Bart Preneel: ''Cryptographic Primitives for Information Authentication – State of the Art''. State of the Art in Applied Cryptography, LNCS 1528. Springer-Verlag, 1998, S.&nbsp;49–104.
* Douglas R. Stinson: ''Cryptography – Theory and Practice.'' Chapman&Hall / CRC, 2002, S.&nbsp;117–154.

== Weblinks ==

* [http://ehash.iaik.tugraz.at/wiki/The_Hash_Function_Zoo Übersicht über Hash-Funktionen] (englisch)
* [http://csrc.nist.gov/groups/ST/hash/sha-3/index.html NIST-Ausschreibung] (englisch)
* [http://ehash.iaik.tugraz.at/wiki/The_SHA-3_Zoo Kandidaten der Hashfunktion-Ausschreibung] (englisch)
* [http://keccak.noekeon.org/specs_summary.html Keccak-Spezifikation]

== Einzelnachweise ==
<references>
<ref name="HAC9">
{{Literatur
 |Autor=Alfred Menezes, Paul van Oorschot, Scott Vanstone
 |Titel=Handbook of Applied Cryptography
 |Verlag=CRC Press
 |Datum=1996
 |Kapitel=Kap. 9
 |Seiten=324
 |Online=[http://cacr.uwaterloo.ca/hac/about/chap9.pdf cacr.uwaterloo.ca] (PDF)}}
</ref>
</references>

[[Kategorie:Kryptologische Hashfunktion| ]]