不同密钥与消息对的HMAC输出是否可能相同

核心结论 #

当使用完全不同的密钥、完全不同的消息组合分别计算HMAC时，最终输出值完全有可能一致。不存在任何设计规则能从根本上杜绝Out1 = HMAC(key1, msg1)和Out2 = HMAC(key2, msg2)出现相等的情况。

背后的核心逻辑 #

• HMAC的输出长度是固定值：比如常用的HMAC-SHA256输出长度为256bit（32字节），HMAC-SHA1输出为160bit，这意味着所有可能的输出值总数是有限的（比如256bit输出的总可能值为2^256种）。
• 根据鸽巢原理，现实中可使用的密钥长度、消息长度的可选组合规模，远远超过固定长度的HMAC输出空间大小，只要计算的组合数量足够多，必然会出现不同组合对应同一输出值的情况，这就是密码学中定义的碰撞现象。

可触发输出一致的特定场景 #

• 针对性构造的碰撞：如果HMAC底层使用的哈希函数存在公开的碰撞漏洞（比如基于MD5、SHA1的HMAC实现），攻击者可以通过公开的碰撞构造方法，人为设计出两组不同的(key1, msg1)、(key2, msg2)，让两者计算出的HMAC值完全相等。哪怕是当前被认为安全的SHA2、SHA3系列哈希函数，从数学层面也无法被严格证明不存在碰撞，只是找到碰撞所需要的计算成本极高，现实中不具备可操作性而已。
• 概率性的随机一致：即使底层使用理论上完全抗碰撞的哈希函数，任意选取两个完全独立的不同密钥、不同消息组合，也存在固定大小的随机碰撞概率——对于256bit长度的HMAC输出，这种随机碰撞的概率约为2^-256，数值极低，但从概率定义上并不为零。

常见认知误区 #

很多人会误以为HMAC因为引入了密钥，就不会出现不同组合输出一致的情况，这是对HMAC安全目标的误解：HMAC的设计目标是密钥持有者之外的攻击者，无法在不知道密钥的情况下伪造出能通过校验的合法HMAC值，它从来没有承诺过“任意独立选取的（密钥,消息）对永远不会产生相同输出”，这也受限于固定输出长度的物理约束，根本无法实现。

内容的提问来源于stack exchange，提问作者Mr. AB