我正在考虑使用 RSA 加密算法创建一个哈希函数（如 md5 或 sha1）。我想知道是否有任何明显的原因导致该算法不起作用：
要验证消息与存储的散列具有相同的散列，请使用已保存的公钥并重复该过程。
这是否可行、安全且实用？
感谢任何cmets。
【问题讨论】：
标签： encryption hash rsa
RSA 加密不是确定性的：如果你遵循RSA standard，你会看到一些随机字节被注入。因此，如果您使用 RSA 对同一消息进行两次加密，您可能不会获得两次相同的输出。
此外，您的“未指定的第 5 步”可能很弱。例如，如果您定义了一种散列块的方法，然后只是将块异或在一起，那么 A||B 和 B||A （对于块大小值 A 和 B) 将哈希为相同的值；那是碰撞的盛宴。
在学术上，已经尝试使用数论结构（即不是原始 RSA，而是重用相同类型的数学元素）构建散列函数；有关详细信息，请参阅this presentation from Lars Knudsen。同样，ECOH hash function 被提交给 SHA-3 竞赛，其核心使用椭圆曲线（但它被“破坏”了）。潜在的希望是哈希函数的安全性可以以某种方式与基础数论难题相关联，从而提供可证明的安全性。然而，在实践中，这样的哈希函数要么很慢，要么很弱，或者两者兼而有之。
【讨论】：
已经有基本上可以做到这一点的哈希，除了可能不是特别是 RSA 算法。它们被称为加密哈希，它们的重点是它们在加密上是安全的 - 这意味着与公钥加密功能相同的强度和面向安全的思想也已进入它们。
唯一的区别是，它们是从头开始设计为哈希的，因此它们也满足哈希函数的个性化要求，这可以被认为是加密函数不需要的额外优势。
此外，两者之间存在完全不一致的因素，例如，您希望哈希函数尽可能快而不影响安全性，而速度慢通常被视为加密函数的一个特征，因为它限制了暴力破解攻击相当大。
SHA-512 是一种出色的加密哈希，可能值得您关注。 Whirlpool、Tiger 和 RipeMD 也是不错的选择。这些都不会出错。
还有一件事：如果你真的想要它变慢，那么你肯定不想要散列函数并且这样做是完全错误的。如果，正如我假设的那样，您想要的是一个非常非常安全的哈希函数，那么就像我说的那样，有很多选项比您的示例更适合，同时在密码学上同样安全，甚至更安全。
顺便说一句，我并不完全相信您的混合算法没有弱点。虽然每个 RSA 块的输出旨在已经与高雪崩等保持一致，但我仍然担心这可能会给选择的明文或类似消息的比较分析带来问题。
【讨论】：
通常，最好使用公开可用且已通过审核流程的算法。尽管此类算法可能存在已知的弱点，但这可能比本土算法中的未知弱点要好。请注意，我并不是说所提出的算法有缺陷。只是，即使这里给出了大量的答案说看起来不错，也不能保证它不会。当然，MD5、SHA等算法也可以这样说，但至少在那些方面，已经有大量的人对其进行了严格的分析。
除了之前关于设计自己的加密函数的“样板”警告之外，似乎提议的解决方案在处理时间方面可能有些昂贵。对大型文档进行 RSA 加密可能会令人望而却步。
【讨论】：
不用考虑太多，它似乎在密码学上是安全的。
但是，您必须小心选择明文攻击，如果您的输入很大，您可能会遇到速度问题（因为非对称加密比加密哈希慢得多）。
所以，简而言之：是的，这似乎是可行且安全的……但除非有一个真的令人信服的理由，否则如果你想要一个密钥哈希，我会使用标准 HMAC。
【讨论】：
如上所述，步骤 4.) 是确定性的，即仅使用模数和公钥指数。 如果步骤 3.) 中的哈希是私有的，那么这个概念对我来说似乎是安全的。
关于第 5 步。）：在已知的内核算法 CBC 模式中，与先前结果的混合是在加密之前完成的，第 4 步。），可能更好地避免串通，例如使用惰性哈希； XOR 没问题。
将应用这一点，因为已知哈希函数的可用实现可能有后门 :)
确定性 Java RSA 是 here。
【讨论】：