原像攻撃

ハッシュ値 h が与えられたとき、H(m) = h となる m を探す。出力が n ビットの理想的なハッシュ関数では約 2ⁿ 回の試行が要る。誕生日のパラドックスにより約 2^n/2 回で済む衝突探索より、はるかに難しい。

MD4 や MD5 では攻撃により理想より低いコストまで下がったが、SHA-2 に対する実用的な原像攻撃は存在しない。古いハッシュがまだ何を守れるかを判断するとき、原像耐性と衝突耐性の差は重要になる。