SHA-256哈希算法的压缩函数设计

题目描述
SHA-256的压缩函数是其核心组件，负责将512位的消息块与256位的中间哈希值（状态）混合，生成新的256位哈希值。压缩函数基于Davies-Meyer结构，包含64轮迭代运算，每轮使用消息扩展生成的32位字（W_t）和固定常数（K_t）。要求详细解释压缩函数的数据流、轮运算的步骤（如Ch、Maj、Σ0、Σ1等逻辑函数），以及如何通过轮迭代更新状态寄存器（A-H）。

解题过程

1. 输入与初始化

   • 压缩函数输入：
     • 当前哈希状态（256位）：由8个32位寄存器组成，初始为前一轮的哈希值（H^(i-1)_0 到 H^(i-1)_7）或SHA-256的初始值（IV）。
     • 当前消息块（512位）：通过消息扩展划分为64个32位字 W_0 到 W_63。
   • 初始化工作变量：将哈希状态的8个寄存器赋值给临时变量 a 到 h：

     a = H^(i-1)_0, b = H^(i-1)_1, ..., h = H^(i-1)_7
     

2. 轮运算结构（64轮迭代）
   每轮 t（0 ≤ t ≤ 63）执行以下步骤：

   • 步骤1：计算轮常数和消息字的混合值
     生成两个中间变量 T1 和 T2：

     T1 = h + Σ1(e) + Ch(e, f, g) + K_t + W_t
     T2 = Σ0(a) + Maj(a, b, c)
     

     其中：

     • Ch(e, f, g) = (e AND f) XOR (NOT e AND g)（选择函数，根据e的位选择f或g的位）。
     • Maj(a, b, c) = (a AND b) XOR (a AND c) XOR (b AND c)（多数函数，输出a、b、c中多数的位值）。
     • Σ0(a) = ROTR^2(a) XOR ROTR^13(a) XOR ROTR^22(a)（循环移位与异或）。
     • Σ1(e) = ROTR^6(e) XOR ROTR^11(e) XOR ROTR^25(e)。
     • K_t：64个预定义的32位常数，源自立方根素数的小数部分。
     • W_t：从消息块扩展生成的32位字（见消息扩展过程）。

   • 步骤2：更新寄存器
     寄存器值向右移动，并注入新值：

     h = g
     g = f
     f = e
     e = d + T1
     d = c
     c = b
     b = a
     a = T1 + T2
     

     注意：e的新值为当前d加T1，a的新值为T1 + T2。

3. 最终状态更新
   完成64轮后，将临时变量 a 到 h 与原哈希状态相加（模 2^32）：

   H^(i)_0 = a + H^(i-1)_0
   H^(i)_1 = b + H^(i-1)_1
   ...
   H^(i)_7 = h + H^(i-1)_7
   

   输出 H^(i)_0 到 H^(i)_7 作为新的256位哈希状态。

关键设计特点

• 抗碰撞性：通过非线性函数（Ch、Maj）和线性扩散（Σ0、Σ1）破坏输入模式。
• 雪崩效应：每轮改变寄存器a和e，其他寄存器移位，确保微小输入变化扩散到整个状态。
• 固定常数K_t：避免攻击者利用对称性，增强算法的随机性。

通过以上步骤，SHA-256的压缩函数将消息块与当前哈希状态充分混合，确保输出的不可逆性和抗碰撞性。