Atak wielokrotnych kolizji
Znajdowanie wielu wiadomości o tym samym skrócie – co dla iteracyjnych funkcji skrótu okazuje się niemal tak tanie jak znalezienie dwóch.
Antoine Joux wykazał w 2004 roku, że skrót typu Merkle’a–Damgårda ma wbudowaną słabość. Znajdujemy kolizję dla pierwszego bloku, potem kolejną dla drugiego, zaczynając od wspólnego stanu pośredniego, i tak dalej. Po k krokach mamy 2k wiadomości o tym samym skrócie, za cenę zaledwie k zwykłych kolizji.
Niewygodny wniosek uderzył w popularny zwyczaj obronny: łączenie dwóch funkcji skrótu, np. MD5 i SHA-1, w nadziei na sumę ich siły. Metodą Jouxa buduje się dużą multikolizję w jednej z nich i szuka w niej kolizji w drugiej. Wynik jest ledwie silniejszy od lepszej z dwóch. Stało się to jednym z argumentów za konstrukcjami z szerokim stanem wewnętrznym (wide-pipe), szerszym niż wyjście – ideą widoczną także w SHA-3.