关于SHA-256哈希算法强度计算的技术问询

你这里的核心误解是把“比特数的规模”理解成了比特数本身，但实际上哈希算法的安全强度描述里的“规模”指的是2的比特数次方，不是直接用比特数来计数尝试次数。下面逐个解答你的疑问：

疑问1：SHA-256的原像攻击尝试次数不是256次，而是2^256次 #

第一种计算方式对应的是原像攻击：给定一个哈希值，找到任意一个能生成该哈希值的输入。优秀哈希算法的安全强度是达到“暴力破解需要2^n次尝试”（n为哈希输出的比特数）。

对于SHA-256来说，n=256，意味着暴力破解需要尝试2^{256个不同的输入。这个数字有多大？大概是1.15×10}77次操作。目前全球所有超级计算机加起来，每秒最多能完成约10^{18次哈希计算，要完成2}256次尝试需要的时间远超宇宙的年龄（宇宙至今约1.38×10^17秒），完全不可能被轻易完成。

疑问2：SHA-256的碰撞攻击尝试次数不是128次，而是2^128次 #

第二种计算方式对应的是碰撞攻击：找到两个不同的输入，它们的哈希值相同。根据生日悖论，这种攻击的暴力破解复杂度是2^(n/2)次尝试。

SHA-256的n=256，所以碰撞攻击需要2^{128次尝试，这个数字约是3.4×10}38次操作。同样，以现有算力来看，这个量级的尝试完全不具备可行性——哪怕用最先进的量子计算机，目前也没有能力在可接受的时间内完成这么多次计算。

补充：原文表述的歧义 #

你看到的内容里“输出比特数的规模”“输出比特数的一半规模”是简化表述，准确的意思是“2的输出比特数次方的规模”和“2的（输出比特数/2）次方的规模”，这种简化容易造成误解，记住哈希算法的暴力破解复杂度都是指数级的，不是线性的。

内容的提问来源于stack exchange，提问作者venkysmarty