SHA-256减少质数根数量的安全性弊端及Go实现疑问

你在Go语言中实现了SHA-256的变体，仅使用前24个质数平方根对应的轮常数（如下代码），好奇除了降低暴力破解计算量外，还有哪些安全弊端：

var k = []uint32{
    0x428a2f98, 0x71374491, 0xb5c0fbcf, 0xe9b5dba5, 0x3956c25b, 0x59f111f1, 0x923f82a4, 0xab1c5ed5,
    0xd807aa98, 0x12835b01, 0x243185be, 0x550c7dc3, 0x72be5d74, 0x80deb1fe, 0x9bdc06a7, 0xc19bf174,
    0xe49b69c1, 0xefbe4786, 0x0fc19dc6, 0x240ca1cc, 0x2de92c6f, 0x4a7484aa, 0x5cb0a9dc, 0x76f988da,
}

除了暴力破解难度降低，这个变体还存在诸多致命安全问题：

• 差分攻击易成功：SHA-256的64轮迭代设计是为了让差分特征在传播过程中被彻底抵消。仅24轮的话，攻击者能轻松找到有效的差分路径，构造出哈希碰撞——也就是两个不同输入得到相同哈希值，复杂度远低于暴力破解的2^256，甚至可能低到可实际执行的程度。

• 线性攻击风险剧增：轮数不足会让线性近似关系更容易贯穿整个计算过程。攻击者可以利用这些线性关系推导哈希函数的内部状态，进而伪造合法的哈希值，或者对目标输入进行逆向推导。

• 雪崩效应失效：标准SHA-256通过足够的轮数保证输入的微小变化（比如一个比特翻转）会导致输出的一半以上比特翻转（雪崩效应）。轮数不够时，输入变化可能仅影响输出的局部比特，攻击者能通过输入调整预测输出的部分特征，大幅降低攻击成本。

• 无安全审计保障：标准SHA-256经过全球密码学界数十年的分析和验证，没有发现可实际利用的漏洞。而你这个24轮的变体没有经过任何公开的安全评估，可能存在未知的设计缺陷，比如特定输入模式下的快速碰撞、预计算攻击等。

需要明确的是，暴力破解SHA-256本身在当前技术下几乎不可能，但轮数不足带来的碰撞攻击、伪造攻击等才是更现实的威胁，这些攻击的复杂度会远低于暴力破解，甚至普通硬件就能完成。

内容的提问来源于stack exchange，提问作者oleh babinskiy