وظيفة الضغط أحادي الاتجاه

في علم التشفير ، دالة الضغط أحادي الاتجاه هي دالة تحوّل مدخلين ثابتي الطول إلى مخرج ثابت الطول. ^{[ 1 ]} هذا التحويل "أحادي الاتجاه" ، ما يعني أنه من الصعب، عند معرفة مخرج معين، حساب مدخلات تُضغط إلى ذلك المخرج. لا ترتبط دوال الضغط أحادي الاتجاه بخوارزميات ضغط البيانات التقليدية ، التي يمكن عكسها بدقة (ضغط بدون فقدان) أو تقريبًا (ضغط مع فقدان) إلى البيانات الأصلية.

تُستخدم وظائف الضغط أحادية الاتجاه على سبيل المثال في بناء Merkle–Damgård داخل وظائف التجزئة المشفرة .

تُبنى دوال الضغط أحادية الاتجاه غالبًا من تشفيرات الكتل . ومن بين الطرق لتحويل أي تشفير كتل عادي إلى دالة ضغط أحادية الاتجاه: ديفيز-ماير ، وماتياس-ماير-أوسياس ، ومياغوتشي-برينيل (دوال ضغط بطول كتلة واحدة)، و MDC-2/ماير-شيلينغ ، و MDC-4 ، وهيروسي (دوال ضغط بطول كتلتين). وسيتم شرح هذه الطرق بالتفصيل لاحقًا. ( MDC-2 هو أيضًا اسم دالة تجزئة مسجلة ببراءة اختراع لشركة IBM ).

هناك طريقة أخرى هي 2BOW (أو NBOW عمومًا)، وهي "دالة تجزئة متعددة الأطوال عالية السرعة تعتمد على تشفير الكتل" ^{[ 2 ]} ، وتحقق عادةً معدلات (تقاربية) تتراوح بين 1 و2 بغض النظر عن حجم التجزئة (مع تكلفة إضافية ثابتة صغيرة فقط). لم تخضع هذه الطريقة بعد لأي تحليل أمني جاد، لذا ينبغي التعامل معها بحذر.

تقوم دالة الضغط بدمج مدخلين ثابتي الطول، وتنتج مخرجًا واحدًا ثابت الطول بنفس حجم أحد المدخلين. ويمكن اعتبار ذلك أيضًا بمثابة تحويل دالة الضغط لمدخل كبير ثابت الطول إلى مخرج أقصر ثابت الطول.

على سبيل المثال، قد يكون المدخل A بحجم 128 بت، والمدخل B بحجم 128 بت، ويتم ضغطهما معًا لإنتاج مخرج واحد بحجم 128 بت. وهذا يُعادل ضغط مدخل واحد بحجم 256 بت إلى مخرج واحد بحجم 128 بت.

بعض دوال الضغط لا تضغط البيانات إلى النصف، بل بمعامل آخر. على سبيل المثال، قد يكون المدخل A بحجم 256 بت، والمدخل B بحجم 128 بت، ويتم ضغطهما إلى مخرج واحد بحجم 128 بت. أي أن إجمالي 384 بت من المدخل يتم ضغطها معًا إلى 128 بت من المخرج.

تتم عملية المزج بطريقة تضمن تحقيق تأثير الانهيار الكامل . أي أن كل بتة خرج تعتمد على كل بتة دخل.

الدالة أحادية الاتجاه هي دالة يسهل حسابها ولكن يصعب عكسها. يجب أن تتمتع دالة الضغط أحادية الاتجاه (وتسمى أيضًا دالة التجزئة) بالخصائص التالية:

• سهل الحساب: إذا كان لديك بعض المدخلات، فمن السهل حساب المخرجات.
• مقاومة الصورة المسبقة: إذا كان المهاجم يعرف المخرجات فقط، فينبغي أن يكون من المستحيل حساب المدخلات. بعبارة أخرى، إذا عُلمت المخرجات،${\displaystyle h}$، ينبغي أن يكون من غير الممكن حساب المدخلات${\displaystyle m}$بحيث${\displaystyle \operatorname {hash} (m)=h}$.
• مقاومة الصورة العكسية الثانية: بالنظر إلى المدخل${\displaystyle m_{1}}$والذي يكون ناتجه${\displaystyle h}$، ينبغي أن يكون من غير الممكن إيجاد مدخل آخر${\displaystyle m_{2}}$وهذا يعطي نفس الناتج${\displaystyle h}$، أي${\displaystyle \operatorname {hash} (m_{1})=\operatorname {hash} (m_{2})}$.
• مقاومة التصادم: ينبغي أن يكون من الصعب العثور على أي مدخلين مختلفين يتم ضغطهما إلى نفس المخرج، أي أنه لا ينبغي أن يكون المهاجم قادرًا على العثور على زوج من الرسائل.${\displaystyle m_{1}\neq m_{2}}$بحيث${\displaystyle \operatorname {hash} (m_{1})=\operatorname {hash} (m_{2})}$بسبب مفارقة عيد الميلاد (انظر أيضًا هجوم عيد الميلاد )، هناك احتمال بنسبة 50% أن يتم العثور على تصادم في وقت حوالي${\displaystyle 2^{n/2}}$أين${\displaystyle n}$يمثل عدد البتات في مخرجات دالة التجزئة. وبالتالي، لا ينبغي أن يتمكن أي هجوم على دالة التجزئة من إيجاد تصادم بأقل من حوالي${\displaystyle 2^{n/2}}$عمل.

من الناحية المثالية، يرغب المرء في أن تعني "عدم الجدوى" في مقاومة الصورة الأصلية ومقاومة الصورة الأصلية الثانية عملاً من حوالي${\displaystyle 2^{n}}$أين${\displaystyle n}$يمثل عدد البتات في ناتج دالة التجزئة. ومع ذلك، تُعد هذه مشكلة صعبة، خاصةً فيما يتعلق بمقاومة الصورة العكسية الثانية.

يُستخدم ضغط البيانات أحادي الاتجاه بشكل شائع في بنية ميركل-دامغارد ضمن دوال التجزئة المشفرة. وتعتمد معظم دوال التجزئة الأكثر استخدامًا، بما في ذلك MD5 و SHA-1 (التي أصبحت مهملة ^{[ 3 ]} ) و SHA-2، على هذه البنية.

يجب أن تكون دالة التجزئة قادرة على معالجة رسالة ذات طول عشوائي وتحويلها إلى مخرج ذي طول ثابت. يمكن تحقيق ذلك بتقسيم المدخلات إلى سلسلة من الكتل متساوية الحجم، ومعالجتها بالتتابع باستخدام دالة ضغط أحادية الاتجاه. يمكن تصميم دالة الضغط خصيصًا للتجزئة أو بناؤها من تشفير الكتل. يجب أيضًا إضافة حشو إلى طول الكتلة الأخيرة التي تتم معالجتها ، وهو أمر بالغ الأهمية لأمان هذا التصميم.

عند تطبيق حشو الطول (المعروف أيضًا باسم تقوية MD)، لا تستطيع الهجمات العثور على التصادمات بشكل أسرع من مفارقة عيد الميلاد (${\displaystyle 2^{n/2}}$،${\displaystyle n}$(حيث يمثل حجم الكتلة بالبتات) إذا كانت الدالة المستخدمة${\displaystyle f}$^{[ 4 ] [ 5 ]} وبالتالي، فإن بناء التجزئة Merkle–Damgård يقلل من مشكلة إيجاد دالة تجزئة مناسبة إلى إيجاد دالة ضغط مناسبة.

هجوم ما قبل الصورة الثاني (بإعطاء رسالة)${\displaystyle m_{1}}$يعثر المهاجم على رسالة أخرى${\displaystyle m_{2}}$لإرضاء${\displaystyle \operatorname {hash} (m_{1})=\operatorname {hash} (m_{2})}$يمكن القيام بذلك وفقًا لـ Kelsey و Schneier ^{[ 6 ]} لـ${\displaystyle 2^{k}}$-رسالة كتلة الرسائل في الوقت المناسب${\displaystyle k\times 2^{n/2+1}+2^{n-k+1}}$تصل درجة تعقيد هذا الهجوم إلى الحد الأدنى من${\displaystyle 2^{3n/4+2}}$للرسائل الطويلة عندما${\displaystyle k=2^{n/4}}$والأساليب${\displaystyle 2^{n}}$عندما تكون الرسائل قصيرة.

غالباً ما تُبنى وظائف الضغط أحادية الاتجاه من تشفيرات الكتل.

تأخذ التشفيرات الكتلية (مثل وظائف الضغط أحادية الاتجاه) مدخلين ثابتين الحجم ( المفتاح والنص العادي ) وتعيد مخرجًا واحدًا ( النص المشفر ) وهو بنفس حجم النص العادي المدخل.

مع ذلك، فإنّ تشفيرات الكتل الحديثة أحادية الاتجاه جزئيًا فقط. بمعنى آخر، عند وجود نص عادي ونص مشفر، يستحيل إيجاد مفتاح يُشفّر النص العادي إلى النص المشفر. ولكن، عند وجود نص مشفر ومفتاح، يُمكن إيجاد نص عادي مطابق ببساطة باستخدام دالة فك التشفير الخاصة بتشفير الكتل. لذا، لتحويل تشفير الكتل إلى دالة ضغط أحادية الاتجاه، يجب إضافة بعض العمليات الإضافية.

بعض الطرق لتحويل أي تشفير كتلة عادي إلى دالة ضغط أحادية الاتجاه هي Davies–Meyer و Matyas–Meyer–Oseas و Miyaguchi–Preneel (دوال ضغط بطول كتلة واحدة) و MDC-2 و MDC-4 و Hirose (دوال ضغط بطول كتلة مزدوجة).

تُخرج دوال الضغط أحادية طول الكتلة نفس عدد البتات التي تعالجها خوارزمية التشفير الأساسية. وبالتالي، تُخرج دوال الضغط ثنائية طول الكتلة ضعف عدد البتات.

إذا كان حجم كتلة تشفير الكتلة 128 بتًا، فإن طرق التشفير أحادية الكتلة تُنشئ دالة تجزئة بحجم كتلة 128 بتًا، وتُنتج تجزئة بحجم 128 بتًا. أما طرق التشفير ثنائية الكتلة، فتُنشئ تجزئات بحجم ضعف حجم كتلة تشفير الكتلة المستخدم. لذا، يُمكن تحويل تشفير كتلة بحجم 128 بتًا إلى دالة تجزئة بحجم 256 بتًا.

ثم تُستخدم هذه الطرق داخل بنية Merkle–Damgård لإنشاء دالة التجزئة الفعلية. وسيتم شرح هذه الطرق بالتفصيل لاحقًا.

عادةً ما يكون استخدام تشفير الكتلة لبناء دالة ضغط أحادية الاتجاه لدالة التجزئة أبطأ قليلاً من استخدام دالة ضغط أحادية الاتجاه مصممة خصيصًا في دالة التجزئة نفسها. ويعود ذلك إلى أن جميع البنى الآمنة المعروفة تُجري عملية جدولة المفاتيح لكل كتلة من الرسالة. وقد أثبت بلاك وكوكران وشريمبتون أنه من المستحيل بناء دالة ضغط أحادية الاتجاه تستدعي تشفير الكتلة مرة واحدة فقط بمفتاح ثابت. ^{[ 7 ]} عمليًا، يمكن تحقيق سرعات معقولة شريطة ألا تكون عملية جدولة المفاتيح لتشفير الكتلة المُختار عملية مُرهقة.

لكن في بعض الحالات يكون الأمر أسهل، إذ يمكن استخدام تطبيق واحد لتشفير الكتلة لكل من تشفير الكتلة ودالة التجزئة. كما يمكن أن يوفر ذلك مساحة تخزين في الأنظمة المدمجة الصغيرة جدًا ، مثل البطاقات الذكية أو العقد الموجودة في السيارات أو غيرها من الآلات.

لذا، يُعطي معدل التجزئة لمحةً عن كفاءة دالة التجزئة القائمة على دالة ضغط معينة. ويُحدد معدل دالة التجزئة المتكررة النسبة بين عدد عمليات تشفير الكتلة والناتج. وبشكل أدق، يُمثل المعدل النسبة بين عدد بتات المدخلات المُعالجة.${\displaystyle m}$طول بت الإخراج${\displaystyle n}$من تشفير الكتلة، وعمليات تشفير الكتلة اللازمة${\displaystyle s}$لإنتاج هذه${\displaystyle n}$بتات الإخراج. عمومًا، يؤدي استخدام عدد أقل من عمليات تشفير الكتلة إلى تحسين الأداء العام لدالة التجزئة بأكملها، ولكنه يؤدي أيضًا إلى قيمة تجزئة أصغر، وهو أمر غير مرغوب فيه. يُعبّر عن المعدل بالصيغة التالية:

${\displaystyle R_{h}={\frac {\left|m_{i}\right|}{s\cdot n}}}$

لا يمكن اعتبار دالة التجزئة آمنة إلا إذا تحققت الشروط التالية على الأقل:

• لا يمتلك التشفير الكتلي خصائص خاصة تميزه عن التشفير المثالي، مثل المفاتيح الضعيفة أو المفاتيح التي تؤدي إلى تشفيرات متطابقة أو ذات صلة (نقاط ثابتة أو تصادمات المفاتيح).
• حجم التجزئة الناتج كبير بما يكفي. وفقًا لهجوم عيد الميلاد، يُفضّل مستوى أمان يبلغ 2 ^{^80} (يُفترض عمومًا أنه غير عملي حسابيًا اليوم)، وبالتالي يجب أن يكون حجم التجزئة 160 بت على الأقل.
• يتم حشو الكتلة الأخيرة بشكل صحيح قبل عملية التجزئة. (انظر بنية Merkle–Damgård ). عادةً ما يتم تنفيذ حشو الطول ومعالجته داخليًا في دوال تجزئة متخصصة مثل SHA-1 وما إلى ذلك.

أثبتت البنى الموضحة أدناه: ديفيز-ماير، ماتياس-ماير-أوسياس، مياغوتشي-برينيل، وهيروسي، أمانها في تحليل الصندوق الأسود . ^{[ 8 ] [ 9 ]} والهدف هو إثبات أن أي هجوم يمكن اكتشافه لا يتجاوز في كفاءته هجوم عيد الميلاد في ظل افتراضات معينة. يفترض نموذج الصندوق الأسود استخدام خوارزمية تشفير كتلية يتم اختيارها عشوائيًا من مجموعة تضم جميع خوارزميات التشفير الكتلية المناسبة. في هذا النموذج، يمكن للمهاجم تشفير وفك تشفير أي كتل بحرية، ولكنه لا يملك إمكانية الوصول إلى تطبيق خوارزمية التشفير الكتلية. يتم تمثيل وظيفتي التشفير وفك التشفير بواسطة أوراكل تستقبل زوجًا من النص الأصلي والمفتاح، أو النص المشفر والمفتاح. ثم تستجيب الأوراكل بنص أصلي أو مشفر تم اختياره عشوائيًا، إذا طُلب الزوج لأول مرة. يشترك كلاهما في جدول لهذه الثلاثيات، وهي عبارة عن زوج من الاستعلام والاستجابة المقابلة، ويعيدان السجل إذا تم تلقي استعلام للمرة الثانية. ولإثبات ذلك، توجد خوارزمية لاكتشاف التصادمات تُجري استعلامات مختارة عشوائيًا على قواعد البيانات. تُعيد الخوارزمية القيمة 1 إذا نتج عن استجابتين تصادم في دالة التجزئة المُنشأة من دالة ضغط تُطبق تشفير الكتلة هذا (و0 في غير ذلك). يعتمد احتمال أن تُعيد الخوارزمية القيمة 1 على عدد الاستعلامات، وهو ما يُحدد مستوى الأمان.

تقوم دالة ضغط ديفيز-ماير ذات الطول الأحادي بتغذية كل كتلة من الرسالة (${\displaystyle m_{i}}$) كمفتاح لتشفير الكتلة. يقوم بتغذية قيمة التجزئة السابقة (${\displaystyle H_{i-1}}$) كنص عادي للتشفير. ثم يتم إجراء عملية XOR (⊕) على النص المشفر الناتج مع قيمة التجزئة السابقة (${\displaystyle H_{i-1}}$) لإنتاج قيمة التجزئة التالية (${\displaystyle H_{i}}$في الجولة الأولى، عندما لا توجد قيمة تجزئة سابقة، يتم استخدام قيمة أولية ثابتة محددة مسبقًا.${\displaystyle H_{0}}$).

يمكن وصف معادلة ديفيز-ماير بالرموز الرياضية على النحو التالي :

${\displaystyle H_{i}=E_{m_{i}}{(H_{i-1})}\oplus {H_{i-1}}}$

يحتوي المخطط على المعدل (حيث k هو حجم المفتاح):

${\displaystyle R_{DM}={\frac {k}{1\cdot n}}={\frac {k}{n}}}$

إذا كانت خوارزمية التشفير الكتلي تستخدم مفاتيح 256 بت على سبيل المثال، فإن كل كتلة رسالة (${\displaystyle m_{i}}$يمثل ) جزءًا من الرسالة بحجم 256 بت. إذا استخدمت نفس خوارزمية التشفير الكتلي حجم كتلة يبلغ 128 بت، فإن قيم التجزئة المدخلة والمخرجة في كل جولة ستكون 128 بت.

تستبدل بعض أشكال هذه الطريقة عملية XOR بأي عملية تجميع أخرى، مثل الجمع على الأعداد الصحيحة غير الموقعة ذات 32 بت.

من الخصائص البارزة لبنية ديفيز-ماير أنه حتى لو كانت خوارزمية التشفير الأساسية آمنة تمامًا، فمن الممكن حساب النقاط الثابتة لهذه البنية: لأي${\displaystyle m}$، يمكن للمرء أن يجد قيمة لـ${\displaystyle h}$بحيث${\displaystyle E_{m}(h)\oplus h=h}$ما عليك سوى الضبط${\displaystyle h=E_{m}^{-1}(0)}$^{[ 10 ]} هذه خاصية لا تمتلكها الدوال العشوائية قطعًا. حتى الآن ، لم يُنفذ أي هجوم عملي قائم على هذه الخاصية، ولكن ينبغي الانتباه إلى هذه "الميزة". يمكن استخدام النقاط الثابتة في هجوم الصورة العكسية الثاني (بإعطاء رسالة).${\displaystyle m_{1}}$يعثر المهاجم على رسالة أخرى${\displaystyle m_{2}}$لإرضاء${\displaystyle \operatorname {hash} (m_{1})=\operatorname {hash} (m_{2})}$) من كيلسي وشنايير ^{[ 6 ]} لـ${\displaystyle 2^{k}}$-رسالة كتلة الرسائل في الوقت المناسب${\displaystyle 3\times 2^{n/2+1}+2^{n-k+1}}$إذا لم يسمح التصميم بإنشاء نقاط ثابتة بسهولة (مثل ماتياس-ماير-أوسياس أو مياغوتشي-برينيل)، فيمكن تنفيذ هذا الهجوم في${\displaystyle k\times 2^{n/2+1}+2^{n-k+1}}$الوقت. في كلتا الحالتين، يكون التعقيد أعلى من${\displaystyle 2^{n/2}}$لكن أسفل${\displaystyle 2^{n}}$عندما تكون الرسائل طويلة، وعندما تصبح الرسائل أقصر، تزداد صعوبة الهجوم.${\displaystyle 2^{n}}$.

تم إثبات أمان بناء ديفيز-ماير في نموذج التشفير المثالي لأول مرة بواسطة ر. وينترنيتز. ^{[ 11 ]}

يمكن اعتبار دالة الضغط أحادية الاتجاه ذات الطول الواحد لـ Matyas–Meyer–Oseas بمثابة الدالة الثنائية (المعكوسة) لـ Davies–Meyer.

يقوم بتغذية كل جزء من الرسالة (${\displaystyle m_{i}}$) كنص عادي للتشفير. ثم يتم إجراء عملية XOR (⊕) على النص المشفر الناتج مع نفس كتلة الرسالة (${\displaystyle m_{i}}$) لإنتاج قيمة التجزئة التالية (${\displaystyle H_{i}}$). قيمة التجزئة السابقة (${\displaystyle H_{i-1}}$يُستخدم ) كمفتاح لتشفير الكتلة. في الجولة الأولى، عندما لا توجد قيمة تجزئة سابقة، فإنه يستخدم قيمة أولية ثابتة محددة مسبقًا (${\displaystyle H_{0}}$).

إذا كان لتشفير الكتلة أحجام مختلفة للكتلة والمفتاح، فإن قيمة التجزئة (${\displaystyle H_{i-1}}$سيكون حجم المفتاح غير مناسب للاستخدام. قد يكون للخوارزمية متطلبات خاصة أخرى على المفتاح. ثم تُمرر قيمة التجزئة أولاً عبر الدالة.${\displaystyle g}$ليتم تحويلها/حشوها لتناسب كمفتاح للشفرة.

يمكن وصف معادلة ماتياس-ماير-أوسياس بالرموز الرياضية على النحو التالي:

${\displaystyle H_{i}=E_{g(H_{i-1})}(m_{i})\oplus m_{i}}$

يبلغ معدل البرنامج ما يلي:

${\displaystyle R_{MMO}={\frac {n}{1\cdot n}}=1}$

هجوم ما قبل الصورة الثاني (بإعطاء رسالة)${\displaystyle m_{1}}$يعثر المهاجم على رسالة أخرى${\displaystyle m_{2}}$لإرضاء${\displaystyle \operatorname {hash} (m_{1})=\operatorname {hash} (m_{2})}$يمكن القيام بذلك وفقًا لـ Kelsey و Schneier ^{[ 6 ]} لـ${\displaystyle 2^{k}}$-رسالة كتلة الرسائل في الوقت المناسب${\displaystyle k\times 2^{n/2+1}+2^{n-k+1}}$التعقيد أعلى من ذلك${\displaystyle 2^{n/2}}$لكن أسفل${\displaystyle 2^{n}}$عندما تكون الرسائل طويلة، وعندما تصبح الرسائل أقصر، تزداد صعوبة الهجوم${\displaystyle 2^{n}}$.

تُعد دالة الضغط أحادية الاتجاه ذات الطول الواحد من نوع مياغوتشي-برينيل صيغة موسعة من دالة ماتياس-ماير-أوسياس. وقد اقترحها كل من شوجي مياغوتشي وبارت برينيل بشكل مستقل .

يقوم بتغذية كل جزء من الرسالة (${\displaystyle m_{i}}$) كنص عادي للتشفير. ثم يتم تطبيق عملية XOR (⊕) على النص المشفر الناتج مع نفس كتلة الرسالة (${\displaystyle m_{i}}$ثم يتم إجراء عملية XOR مع قيمة التجزئة السابقة (${\displaystyle H_{i-1}}$) لإنتاج قيمة التجزئة التالية (${\displaystyle H_{i}}$). قيمة التجزئة السابقة (${\displaystyle H_{i-1}}$يُستخدم ) كمفتاح لتشفير الكتلة. في الجولة الأولى، عندما لا توجد قيمة تجزئة سابقة، فإنه يستخدم قيمة أولية ثابتة محددة مسبقًا (${\displaystyle H_{0}}$).

إذا كان لتشفير الكتلة أحجام مختلفة للكتلة والمفتاح، فإن قيمة التجزئة (${\displaystyle H_{i-1}}$سيكون حجم المفتاح غير مناسب للاستخدام. قد يكون للخوارزمية متطلبات خاصة أخرى على المفتاح. ثم تُمرر قيمة التجزئة أولاً عبر الدالة.${\displaystyle g}$ليتم تحويلها/حشوها لتناسب كمفتاح للشفرة.

يمكن وصف معادلة مياغوتشي-برينيل بالرموز الرياضية على النحو التالي:

${\displaystyle H_{i}=E_{g(H_{i-1})}(m_{i})\oplus H_{i-1}\oplus m_{i}}$

يبلغ معدل البرنامج ما يلي:

${\displaystyle R_{MP}={\frac {n}{1\cdot n}}=1}$

أدوار${\displaystyle m_{i}}$و${\displaystyle H_{i-1}}$قد يتم تبديلها، بحيث${\displaystyle H_{i-1}}$يتم تشفيرها باستخدام المفتاح${\displaystyle m_{i}}$وبالتالي فإن هذه الطريقة هي امتداد لطريقة ديفيز-ماير بدلاً من ذلك.

هجوم ما قبل الصورة الثاني (بإعطاء رسالة)${\displaystyle m_{1}}$يعثر المهاجم على رسالة أخرى${\displaystyle m_{2}}$لإرضاء${\displaystyle \operatorname {hash} (m_{1})=\operatorname {hash} (m_{2})}$يمكن القيام بذلك وفقًا لـ Kelsey و Schneier ^{[ 6 ]} لـ${\displaystyle 2^{k}}$-رسالة كتلة الرسائل في الوقت المناسب${\displaystyle k\times 2^{n/2+1}+2^{n-k+1}}$التعقيد أعلى من ذلك${\displaystyle 2^{n/2}}$لكن أسفل${\displaystyle 2^{n}}$عندما تكون الرسائل طويلة، وعندما تصبح الرسائل أقصر، تزداد صعوبة الهجوم${\displaystyle 2^{n}}$.

تتكون دالة الضغط أحادية الاتجاه ذات الطول المزدوج لكتلة هيروسي ^{[ 9 ] من تشفير كتلة بالإضافة إلى تبديل}${\displaystyle p}$. تم اقتراحه من قبل شويتشي هيروسي في عام 2006 وهو يستند إلى عمل ^{[ 12 ]} لمريدول ناندي .

يستخدم تشفيرًا كتليًا طول مفتاحه${\displaystyle k}$أكبر من طول الكتلة${\displaystyle n}$وينتج تجزئة بحجم${\displaystyle 2n}$على سبيل المثال، أي من مرشحي AES بمفتاح 192 أو 256 بت (وكتلة 128 بت).

تقبل كل جولة جزءًا من الرسالة${\displaystyle m_{i}}$إنه${\displaystyle kn}$طوله بتات، ويستخدمه لتحديث اثنين${\displaystyle n}$قيم الحالة -بت${\displaystyle G}$و${\displaystyle H}$.

أولاً،${\displaystyle m_{i}}$يتم ربطها بـ${\displaystyle H_{i-1}}$لإنتاج مفتاح${\displaystyle K_{i}}$ثم يتم تحديث قيمتي التغذية الراجعة وفقًا لما يلي:

• ${\displaystyle G_{i}=E_{K_{i}}(G_{i-1})\oplus G_{i-1}}$
• ${\displaystyle H_{i}=E_{K_{i}}(p(G_{i-1}))\oplus p(G_{i-1})}$

${\displaystyle p(G_{i-1})}$هي تبديل عشوائي خالٍ من النقاط الثابتة على${\displaystyle n}$قيمة بتية، تُعرَّف عادةً على النحو التالي:${\displaystyle p(x)=x\oplus c}$لثابت غير صفري اختياري${\displaystyle c}$(قد يكون اختيار جميعها خيارًا مناسبًا).

يشبه كل تشفير بنية ديفيز-ماير القياسية. وتكمن ميزة هذه الطريقة على الطرق الأخرى المقترحة ذات طول الكتلة المزدوج في أن كلا التشفيرين يستخدمان نفس المفتاح، وبالتالي يمكن تقاسم جهد جدولة المفاتيح.

الناتج النهائي هو${\displaystyle H_{t}||G_{t}}$. يتميز هذا المخطط بالسعر${\textstyle R_{Hirose}={\frac {kn}{2n}}}$فيما يتعلق بتشفير الرسالة باستخدام الشفرة.

كما يقدم هيروسي برهاناً في نموذج التشفير المثالي.

يمكن استخدام بنية الإسفنج لإنشاء وظائف ضغط أحادية الاتجاه. ^{[ 3 ]}

• دوامة - دالة تجزئة تشفيرية مبنية باستخدام بنية مياغوتشي-برينيل وتشفير كتلة مشابه لـ Square و AES .
• CBC-MAC و OMAC و PMAC — طرق لتحويل التشفير الكتلي إلى رموز مصادقة الرسائل (MACs).