Een nieuwe wetenschappelijke publicatie beschrijft een methode om preimage-aanvallen uit te voeren op versies van het SHA-256-algoritme die beperkt zijn tot 19 en 20 stappen. Hoewel de aanval effectief is voor deze specifieke scenario's, vormt het geen direct gevaar voor de volledige implementatie van het cryptografische protocol.
In een recent onderzoek heeft Sebastian R. Wain aangetoond dat het mogelijk is om praktische preimage-aanvallen te realiseren op 19- en 20-staps SHA-256. Een preimage-aanval is een proces waarbij een aanvaller probeert een input te vinden die, na hashing, resulteert in een specifieke, vooraf bepaalde output (de target hash). Volgens de publicatie op arxiv.org respecteren deze aanvallen de standaard initialisatievector (IV), de Davies-Meyer feed-forward en de volledige FIPS 180-4 padding, wat de praktische relevantie van het onderzoek vergroot.
Technische innovaties en methodiek
Het onderzoek bouwt voort op bestaande technieken, waaronder de algebraïsche selector-verzadiging en backward padding-absorptie van Basra. Om de aanvallen te realiseren, introduceerde Wain drie specifieke technieken. Ten eerste is er een exacte inversie van de lage padding-byte, wat ruimte vrijmaakt voor contextvorming. Ten tweede is er een zogenaamde 'causal bit-slice equivalence theorem' ontwikkeld, waarmee ongeveer 99,74% van de kandidaat-nodes over zeven fasen kan worden geëlimineerd. Ten slotte maakt de methode gebruik van een gesloten $\mathbf{F}_2$ upper-half inverse in combinatie met compacte lookup-tabellen.
De resultaten laten zien dat de computationele kosten variëren afhankelijk van het aantal stappen. Voor een 19-staps padded target kan één CPU-core de oplossing vinden in een tijdspanne van 1,2 tot 86,4 seconden, met een mediaan van 19,5 seconden. Hiervoor is vooraf een tabelopbouw van 18 seconden vereist.
Computationele kosten voor 20 stappen
Voor de 20-staps variant zijn de vereisten aanzienlijk hoger. Volgens de details in het kost een 20-staps padded preimage ongeveer $2^{46,6}$ CPU-referentie-evaluaties. In de praktijk vertaalt dit zich naar 191 node-uren op een 10-core Apple M4 CPU (met 16 threads), of tussen de 9,0 en 22,2 GPU-uren op een NVIDIA L4. Daarnaast is er een 'Zero-$a_3$ bridge' ontwikkeld die de unpadded 20-staps compressiefunctie kan inverteren in $2^{38,1}$ evaluaties.
Om de validiteit van de claims te bewijzen, heeft de auteur 46 zelf-verificerende getuigen (witnesses) geleverd. Hieronder vallen onder andere 55-byte preimages van SHA-256("abc") en een target van $0^{256}$.
Impact op de cryptografische veiligheid
Ondanks de technische doorbraak benadrukt de auteur dat deze resultaten geen directe bedreiging vormen voor de volledige SHA-256-standaard. De volledige versie van het algoritme bestaat uit 64 stappen, terwijl deze aanvallen zich beperken tot 19 en 20 stappen. Er is dus nog een aanzienlijke marge voordat de volledige implementatie in gevaar komt.
Het onderzoek is op 31 oktober 2026 ingediend bij onder de categorie Cryptografie en Beveiliging. De publicatie bevat 25 pagina's, zeven tabellen en twee algoritmen om de resultaten te onderbouwen. Hoewel andere bronnen zoals thefreedictionary.com en collinsdictionary.com algemene taalkundige informatie bieden, is de technische basis van dit nieuws volledig geworteld in de cryptografische data van de arXiv-publicatie.
De broncode en de bewijsstukken zijn beschikbaar gesteld via de in het onderzoek genoemde URL's, waardoor andere onderzoekers de resultaten kunnen verifiëren en verder kunnen uitbreiden.