Attacco del compleanno
Le collisioni compaiono dopo la radice quadrata delle possibilità, non dopo tutte le possibilità: ecco perché un hash a 256 bit ne vale solo 128.
Il nome viene dal paradosso del compleanno: in una stanza con 23 persone c'è più del 50% di probabilità che due compiano gli anni lo stesso giorno, benché l'anno ne abbia 365. La stessa aritmetica governa i valori hash. Per un hash a n bit bastano circa 2^(n/2) tentativi perché due input arbitrari collidano.
Per questo la resistenza alle collisioni è sempre la metà della lunghezza dell'hash: SHA-256 offre 128 bit di sicurezza contro le collisioni, non 256. La differenza rispetto al trovare una collisione con un valore specifico conta: quello costa ancora 2^n. L'attacco ha affossato definitivamente SHA-1 nel 2017, quando Google e CWI produssero due file PDF con hash identico con circa 2^63 operazioni.