來源：微衆銀行區塊鏈*
2020年3月4日，《隱私保護週三見》正式與大家見面。欄目以系列論題和各位專家一起探尋隱私保護的發展之道，每一個論題，交流羣裏的夥伴或積極參與討論，或對分享內容不吝指正，不斷助力論題拓寬研究深度，也讓我們獲益匪淺。
本文將前9論交流羣中的精彩碰撞進行整理彙編，以饗讀者。歡迎更多夥伴加入，在每週三晚的8點，和我們一起共話隱私保護。
進羣方式：【微衆銀行區塊鏈】公衆號對話框回覆【小助手】
第1論｜隱私和效用不可兼得？隱私保護開闢商業新境地
1
@蕭
現在有沒有已經落地的技術手段，能夠保證已經獲得用戶授權的企業（或者公司）不將用戶數據提供給未知的第三方呢？
@嚴強
取決具體的應用場景，例如，在數字身份領域，WeIdentity就是一個可選的方案。
WeIdentity開源代碼倉庫地址：
https://github.com/WeBankFinTech/WeIdentity
2
@KHJ
我理解WeIdentity解決了隱私保護的第二層預期效果，最小授權這一塊是如何體現的？
@嚴強
WeIdentity已經集成了WeDPR中的選擇性披露方案，目前可以實現按照證書中的各個字段進行最小化披露。
3
@康仔不在服務區
這個是個好問題啊，拿到數據結果的主體如何讓他不去傳播，深入到第三層呢？這個除了立法保護，技術上的手段現在有嗎？
@芒果
- 數據即資產，用戶的數據中蘊藏着巨大的價值，數據被使用過程中產生的經濟利益，將直接回饋給用戶本人；
- 數據上鍊後，任何數據使用的請求，都必須通過你本人的授權才能實現，確保個人擁有數據所有權，不必擔心數據被盜用而不知情的狀況了；
- 基於多維度的數據，你可以構建可信的數字身份，在與人協作時、尋找資源時，大大降低別人信任、瞭解你的成本，提升了“連接”的效率。
@嚴強
企業內部，可以建立起有效的數據追蹤系統，對進入自身系統的所有用戶數據進行貼標籤，實時跟蹤在整體系統中的流轉。
4
@蕭
但是企業內部已經獲得的數據也可以認爲是商業機密的一部分。如果，在企業內部進行數據追蹤，但是運轉和監督的主體還是企業內部人員，一旦出現內部人員脫庫刪庫等行爲，外部也難以知曉。會不會出現這樣的現象？
@嚴強
確實會有這種情況出現，這裏反映了另外一個問題，如何預防內部員工越權操作，所以內部員工也要實現，最小化授權和其他合理的內控措施，同時做好數據備份，以防萬一。
5
@康仔不在服務區
或者說這個公司主體就是作惡主體，他完全可以把信息轉手給聯盟之外的單位攫取更大的利益，這個如何不太好阻止吧？
@嚴強
所以這裏的關鍵點是，數據的控制權需要掌握在用戶手中，而不是代理給平臺，這是WeDPR方案設計基本原則之一。相應地，在WeDPR白皮書中，我們也討論了隱私保護和用戶體驗之間的平衡，在方案設計上會有一定的取捨。
6
@ kentzhang
數據出去之後怎麼防複製是個世界級難題呀，不知道各位專家遇到什麼有效的方法。
@嚴強
學術界比較常見的方案是加數字水印，但實際使用中，尤其是對於小數據，效果比較有限，主要用於檢測，不能防複製。還有就是經典DRM的方案，數據在存儲介質中一直保持密文，只有在特定授權的軟硬件環境中才能被解密訪問。
第2論｜隱私合規風險知幾何？數據合規商用需過九重關
7
@Shuanghong He
請教下，數據歧視是指？
@嚴強
一般可以解釋爲，因爲數據的內容（例如性別，宗教等）自動化決策系統做出對個人不公正的判斷。
8
@蕭
現有手機APP很多情況是，如果用戶不提供給APP服務運營商足夠的權限或者不同意條款，那麼就不能夠使用這些APP，請問這種情況是否符合合規條件呢？
@嚴強
按照新版《信息安全技術 個人信息安全規範》，如果App不能說明申請這些權限和提供服務的必然關聯性，這是不合規的。可以參考“多項業務功能的自主選擇”的條款，目前不鼓勵捆綁式的數據授權。
9
@little.H
現有隱私保護法規對於非商業行爲有哪些合規需求？
@嚴強
一般隱私合規約束的對象都是商業活動。對於研究性和公衆利益相關的活動，都有對應的豁免條款，但通常也規定要對隱私數據進行必要的技術處理（例如，使用差分隱私等數據脫敏技術）。
第3論｜密碼學技術何以爲信？深究背後的計算困難性理論
10
@ SukiW
我們現在業務跑在一個系統上，使用的是現在安全的密鑰長度進行加密的。如果到達時限，業務的數據就不安全了對嗎？應該怎麼操作保證業務仍然是安全的呢？
@李昊軒
最簡單最直觀的方式是在達到時效前，用更長的密鑰對其進行加密，對整個系統進行更新。如果之前加密的數據泄露過，則需要根據業務本身的安全性，對敏感數據及時進行處理，避免外漏的密文數據被破譯造成的影響。
11
@王卯寧
同態加密技術目前在區塊鏈裏面有沒有應用？有沒有什麼這方面的案例或者平臺可供參考？
@李昊軒
同態加密技術可以解決區塊鏈上密文運算的問題。WeDPR的場景化隱私保護解決方案也用到了同態加密的性質。
12
@光路
常見區塊鏈目前使用的安全參數是多少呢？如果到達時間後會怎麼樣呢？區塊鏈是否還安全呢？
@李昊軒
大多數區塊鏈使用的密鑰長度是橢圓曲線算法的256位。我們上面提到，任何密碼算法的安全性都是有時效的，那麼在區塊鏈中，當系統到達一定年限時，可以針對整個系統進行算法升級，從而保障參與用戶數據的安全性，因此區塊鏈系統只要大部分節點是誠實的，整個系統仍然是安全的。
13
@王卯寧
只用密碼學，不用區塊鏈，可不可以實現隱匿支付等等一些功能？
@李昊軒
隱匿支付是一種保護支付參與方身份信息、交易金額、明細等的支付方式。WeDPR隱私保護針對場景化進⾏設計，⼀些場景可以使⽤區塊鏈實現，因此WeDPR可以保護區塊鏈中的隱私痛點。同時隱私保護需求多⾯向分佈式協作多⽅參與的場景，區塊鏈場景作爲⽐較典型的多⽅協作模式，與隱私保護有1+1>2的效果。
@王卯寧
沒有區塊鏈的時候，密碼學領域就在研究MPC、zeroknowledge、FHE這些了，不過現在有了區塊鏈，大家更多的關注了……
@ kentzhang
密碼學促進了區塊鏈的應用範圍，同時還可以這麼理解，區塊鏈使加密後的信息得以可信分享和交換，不會丟、不會錯、不能篡改，大家確認拿到的都是同一串密文信息，同時又因爲有密碼學保護，隱私不會泄露。
第4論｜密碼學技術如何選型？初探理論能力邊界的安全模型
14
@Suki
UC模型的密碼學協議感覺好神奇，有什麼具體的實例嗎？
@李昊軒
密碼協議中，交互步驟一多，UC就很難證明交互過程中產生的副作用（潛在信息泄露）不會導致任何安全性問題，當前大多數密碼協議都不屬於UC模型。
具體的實現可以參考下這些論文：
- 《On the Universally Composable Security of OpenStack》
- 《Universally Composable Security: A Tutorial》
15
@Little.H
量子計算也是現在常常討論的熱點，抗量子計算的安全模型，應該被歸類到以上三種分類中的哪一類？
@李昊軒
量子計算本質上也是一種計算模型，抗量子計算不一定可以抵抗所有計算，因此可以歸結於計算資源類模型。
16
@文帥
如果惡意模型，經濟上並不帶來很多成本，爲何不直接使用惡意模型，降低誠實要求不更好？除非，惡意模型一定大幅提升經濟成本，這會是必然的嗎？
@李昊軒
惡意模型的特點在於“防止”，半誠實模型的特點則在於法律介入之後的“發現”。和半誠實模型相比，惡意模型往往需要引入更多的交互，或更多零知識證明來保證，因此不可避免會提升成本、降低效率。
在一般業務場景下，如果不需要更高強度的安全假設，推薦選擇效率更高、成本更低的半誠實模型。但對於法律追責成本很高，或效率成本提高有限的場景下，惡意模型可能是更好的選擇。WeDPR投票核心協議就是在惡意模型下構建的。
17
@ wheat
安全模型比較深奧，作爲普通開發者，在使用到密碼學相關算法的時候，應該要關注什麼？注意點有哪些呢？
@李昊軒
作爲普通開發者，在設計隱私保護業務場景時，應當結合自身業務的需求，考慮業務參與方的動機，業務流程、業務數據的有效期等，選擇適合業務落地的安全協議，理解對應的模型，保證業務實施的長治久安。
18
@wheat
一些場景下，比如金融場景，對於安全防護的時效要求特別長，十年以上甚至更長。這種情況下，又該如何抉擇設計上的取捨呢？
@李昊軒
對於長時間需要保證安全的業務，可以在到達有效期之前對系統進行更新，保證安全性的前提下，儘可能提高系統的效率。
19
@wency
我在有的地方看到涉及到黑名單系統其實並不需要隱私計算，因爲只要給出一個yes or no的答案，有的地方又要強調需要隱私計算保證信息不泄露，這個應該怎麼看呀？
@李昊軒
對於涉及到隱私數據的系統，需要整體考慮系統的安全性哈，避免出現系統之間相互影響從而出現的數據泄露。
第5論｜密碼學技術如何選型？再探工程能力邊界的安全模型
20
@邱震堯
請問在物聯網設備認證等等弱物理保護且沒有TEE的場景中，有沒有白盒公鑰密碼的成熟工程實現方案？比如白盒RSA、白盒簽名。
@李昊軒
白盒模型目前在公鑰密碼學上的成熟方案較少，市面上目前有一些對稱加密的白盒方案，但是由於沒有公佈太多技術細節，不太好評價。
21
@SukiW
白盒密碼的密鑰在哪, 如何做到細節都公開，密鑰不泄露？
@李昊軒
白盒密碼的密鑰混淆在了整個加密過程中，因此攻擊者無法通過觀測中間過程得到密鑰。類似於一個表的形式，將密鑰映射、混淆到實現的各個部分，可以參考論文《A Tutorial on White-box AES》。
22
@劉雪峯@西電:
Oblivious RAM適合工程上白盒模型不？
@李昊軒
Oblivious RAM可以作爲密碼方案白盒實現的思路，但目前看來效率成本較高。
@嚴強
Oblivious RAM的主要設計目標是隱藏內存的訪問模式，但白盒安全模型下，還有很多其他信息泄露的方式，還需要其他組件，一同構造安全的工程實現，目前來看還是很有挑戰的。
23
@劉雪峯@西電
白盒模型是不是安全需求更高的一些應用？需要多種思路結合起來共同解決？目前，用戶通常接觸到的場景，有白盒安全的例子嗎？
@嚴強
白盒模型面臨的部署環境都比較不可控，例如，物聯網應用等，需要在公共環境中部署，但同時又很難做好物理防護的場景。隨着5G等技術普及，以及人們對隱私保護的日漸重視，將來這些場景一定會越來越多。
24
@唐煒
低成本的白盒方案如果出現，是不是會大量使用，成爲標準呢？
@李昊軒
如果成本較低、方案足夠成熟，並且算法理論安全性能夠經得過行業檢測的話，成爲標準的概率是很大的。還有一點是，白盒模型更適用於部署環境比較不可控的公開環境，在安全受控的環境下，選擇黑盒或灰盒模型這些效率較高的模型還是更好一些的。
@唐煒
白盒要求太高，感覺更低成本的灰盒方案，應該是一些大場景的選擇。
@嚴強
白盒密碼算法技術，對標的是可信硬件模塊，如Intel SGX，如果能做出實用的產品，意義重大。
@劉雪峯@西電
個人感覺，以物聯網爲例，設備資源有限所以難防控，因爲難防控去執行一系列複雜的操作來實現白盒安全，看起來是矛盾點。
@嚴強
確實如此，這一點和AI發展依賴硬件計算能力的發展很像。也許有一天，硬件技術發展到足以支持白盒密碼技術，那矛盾點也就消解了。
@kentzhang
物聯網暴露在外的設備，大概率是低成本弱信息價值的，主要是防止大規模被俘虜，或許工程上可以採用一些低成本的策略，如數據交叉驗證、異常檢測、單向隔離、黑白名單之類的方式應對。白盒理論上是有意義，實操可能要看成本。
25
@wheat
我們平時使用的密碼學庫，比如openssl，應該都是黑盒模型的實現吧？是不是意味着如果能夠進入到加密宿主機，破解概率很高？
@李昊軒
攻擊這些模型是一個成本和安全的考量。以SSL握手爲例，想要通過統計學方法分析宿主機的物理信息，從而得到對應的密鑰信息，成本是比較高的。當然，如果是在數據極其珍貴的場景，更應該選擇攻破宿主機的難度。這是矛與盾的較量，哈哈~
26
@little.H
側信道攻擊和社會工程學有什麼區別？
@李昊軒
社會工程學更多是考慮從人的角度，如脅迫、欺詐等方式獲取信息，側信道攻擊則是從算法執行過程的物理信息泄露獲取信息，兩者獲取信息的根源不同。
第6論｜密碼學技術如何選型？終探量子計算通信的安全模型
27
@wency
都說量子計算機是區塊鏈的末日，抗量子簽名技術和普通的簽名技術到底差別在哪裏啊？
@嚴強
抗量子的簽名技術對於工程接入實際上區別不大。關鍵區別在於，一旦量子計算機現世，不抗量子的簽名，很有可能會被破解，由此攻擊者可以獲得簽名私鑰，破壞了數字簽名的唯一性，可任意仿冒簽名。
28
@Anonym白熊
量子計算是如何跟區塊鏈聯繫起來的呢？
@嚴強
密碼學是區塊鏈中的核心技術之一，實際上區塊鏈很多特有的特性，不可篡改、數據隱私等，都與所使用的密碼學技術的有效性密切相關，而這些都會受到量子計算和量子通信技術的影響。
29
@邱震堯
請問抗量子密碼算法目前有選型建議嗎？
@嚴強
目前最流行的是基於格密碼系統的系列算法，常見的有基於NTRU和LWE困難問題的構造示例。具體選型可以參考NIST標準化候選名單中的方案列表。
公衆號對話框回覆【NIST】下載NIST Workshop PPT
30
@郭銳
請問現階段抗量子加密是否都是基於格的？以後是否會有新的代數結構或者新的方法能夠抗量子呢？
@嚴強
格只是其中之一，有興趣可以看一下，我上面分享的NIST Workshop的PPT，裏面基本上對所有類型的算法構造都列舉和測試。但就目前來看，格密碼是最看好的一類構造方式。
除了安全性之外，計算性能、同等安全強度下的密鑰大小、密文大小等也是重要的考量因素。
31
@劉雪峯@西電
量子計算看起來對應升級底層密碼工具。量子通信這塊，我理出來的邏輯是增加了可信信道這一選擇（友好的角度），那通信這塊有沒有對經典密碼技術提出威脅挑戰？
@嚴強
好問題，目前量子計算對經典密碼技術影響較大，量子通信的直接影響還不明確。
32
@唐煒
是否現在的區塊鏈技術體系準備好算法替換，將來仍然可以保障整個區塊鏈技術體系的延續？
@嚴強
可以這麼理解。最基本的做法，可以以系統升級的方式，替換原先的經典密碼學算法組件，從而保障未來區塊鏈系統的有效運行。但需要注意，敏感的隱私數據不建議直接上鍊，一旦量子計算實用化，就可能直接導致歷史數據的隱私泄露。
33
@劉雪峯@西電
有些信息必須上鍊，比如類似zcash的隱私交易賬單，只上數據指紋，極大程度降低區塊鏈的機能，這塊怎麼考慮？換個角度說，上數據hash值，鏈的數據之間關聯性也消失了，後續使用價值也降低了。
@李昊軒
區塊鏈上傳數據指紋作爲存證媒介，在業務實施中滿足後續的審計和核查都是比較實用的功能。不過正如您所說的，一些場景下機密數據是一定要上鍊的，如果一些數據使用了不能抗量子計算的密碼算法進行加密，並上傳到區塊鏈上，那麼量子計算模型一旦有了突破，這部分數據也就存在泄漏風險了。
@kentzhang
這個問題我從工程層面試着回答下。其實很多數據在業務邏輯上是有有效期的，隱私算法可以合理抵抗商業週期裏的泄露問題。長遠嘛，發出去的數據是潑出去的水，除非原子級的閱後即焚。
@wheat
一方面通過抗量子算法，另一方面應該是要對上鍊數據做保密期限預估，現階段工程實現受限的情況下，也只能權衡了吧。
@kentzhang
在WeIdentity方案裏，用戶的個人數據還真是不上鍊也能做到可信認證和交換的，關鍵是圍繞着區塊鏈做一套通用友好又邏輯自洽的交互協議。
隱私算法其實就工作在鏈外了，針對個人數據，結合鏈上公證錨定，實現零知識證明和選擇性披露，這是DID規範的魅力。
第7論｜密碼密鑰傻傻分不清？認識密碼學中的最高機密
34
@芬嘟嘟
隱私數據的自主權與數據服務的完備性上，CA是怎麼提供私鑰服務的？
@嚴強
這裏有兩種情況：
- 純軟件實現的CA是不應該提供私鑰服務的，只對公鑰和身份進行綁定的認證；
- 有硬件密鑰管理設備的情況下，私鑰本身是存在在硬件中的，除了製造商，理論上沒有其他人可以獲知。
35
@願
有探索過區塊鏈應用於零信任網絡架構的方案嗎？
@嚴強
這個問題還是有一定挑戰的，Google的BeyondCorp在工業上實現零信任網絡架構整體解決方案，但沒有基於區塊鏈。如果專注於零信任網絡架構中的網絡實體分佈式身份問題，可以參照基於區塊鏈的WeIdentity實現。
36
@楊高峯
白盒密碼使用根據根密鑰對一般密鑰進行加密,我覺得有用,但是好像不太流行,爲什麼?
@嚴強
白盒密碼針對的部署環境是公開的，不受控，可能充滿惡意的環境，現實業務大部分部署環境都沒有這麼惡意。爲了應對惡意環境，作爲設計取捨，白盒密碼算法的效率普遍會低很多，而且目前白盒密碼的發展沒有黑盒密碼成熟，潛在風險比較大。
37
@芬嘟嘟
經常看到不少學術論文中，系統初始化會有很多安全假定，也很少有關於用戶能否使用密鑰的討論，對於這些學術方案，如何評價其實用性呢？
@嚴強
這個問題很有深度，實用性確實是理論方案向產業系統轉化的一大難題，如果系統初始化安全假定過多，實際的應用場景，肯定會因此受限。用戶方面的學習使用成本也是一大挑戰之一。但一般而言，論文會有自己的目標場景，在目標場景中，好的方案還是可以用起來的。
38
@Hope
請問有考慮使用一些安全性比較高的leakage resilient password systems來保護用戶口令輸入嗎？我覺得，生物識別用戶認證，也有其自身的安全問題和現實問題，很難完全替代password based user authentication。
@嚴強
好想法，有一些在移動平臺上還不錯的學術方案，可以試一下。基於用戶口令（密碼）的方案，歷史悠久，有其內在原因，總體還是一種比較實用的用戶認證方式。當然和其他認證途徑結合使用，效果更佳。
39
@劉雪峯@西電
工業中，如何看待人臉識別的訪問控制策略？生物特徵的唯一性，在學術角度上，擔心撞庫攻擊、第三方泄露等等，包括現在拍照的不可預見性等等，工業上會不會有類似的困擾？
@李昊軒
目前人臉識別技術還是達到一定工業程度可用的，不過目前在活體檢測，不同人種之間的識別還是有一些難點需要解決。人臉識別目前活體檢測會需要收集很多數據和特徵，不過針對於活體檢測的攻擊也有，但是成本都不低，也需要大批量的數據。所以人臉特徵作爲一些不需要特別敏感的方案的密鑰有一定可行性。
@wheat
生物特徵只能作爲部分輸入吧，唯一性和隨機生成的密鑰差別太大了，差好多個量級。
@劉雪峯@西電
這個唯一性，指的是在A服務端，和在B服務端的特徵模板是類似的，若A端泄露了特徵，用戶不能像修改口令那樣修改生物特徵。
@wheat
對，而且這種問題發生的概率，比起兩個32字節的密鑰，那是大太多了。目前人臉識別的特徵維度數量還是無法跟這個數相比的。
第8論｜密鑰繁多難記難管理？認識高效密鑰管理體系
40
@唐煒
內部人員作案如何防範呢？
@嚴強
防範內部人員作案一般有兩個方向的思路，一個是限制密鑰的訪問，減少能夠接觸到高等級密鑰的人員，另一個是建立有效的審計機制，嚴厲追究濫用密鑰人員的責任。
41
@幸
在密鑰的保管和分發過程中，怎樣結合具體場景在效率和安全性中達到一個平衡呢？因爲加密算法越複雜，其安全性可能更高，但同時也增加了花銷。
@嚴強
通常對於“密鑰的保管和分發”，加密算法的計算複雜性不是瓶頸，因爲一般與密鑰相關的操作，都是一次性的初始化操作，初始化好了，之後就沒有太大的代價了。反倒是其他因素（操作人員）帶來的風險更大。
42
@劉雪峯@西電
如何衡量軟件和硬件保護密鑰？對用戶來說，哪一種更友好？密鑰託管這塊有什麼見解分享？
@嚴強
低安全性要求：儘量不上硬件。
高安全性要求：軟硬件結合好。
43
@SukiW
如果允許一定的可信初始化，或者引入可信中間人，密鑰的協商過程是不是可以大幅簡化？
@嚴強
如果有受監管的、信譽高的中間方來提供服務，是可以很大程度上提升密鑰協商效率的，比較典型的方案有代理重加密的方案，中間方可以直接分發密鑰，效率會高不少。但同時也要留意可信XXX，本身也是一種風險，一旦出現違規事件，可能造成很不好的後果。
44
@blackflower
之前提到竊取密鑰往往是攻擊者的首要目標，那在什麼情況下，攻擊者的不需要獲得密鑰，也能進行有威脅的攻擊？
@嚴強
比較典型是延展性攻擊，攻擊者可以在不對密文解密的前提下，按照自己的意願修改密文，比如付款的金額原先是100，攻擊可以將其成倍增加，200,300,500,1000。教科書上最簡RSA加密方案就有這個問題。
@苦人
這個應該是理論上的，原始的RSA會有這種問題，但現實應用中會使用OAEP等協議，使得這種攻擊無效。
@嚴強
是的，現實使用的標準化技術方案（強化協議等）有效預防了這個問題。
@苦人
目前見到的不直接獲取密鑰的更多攻擊應該是側信道攻擊，通過能量、輻射、風扇，甚至麥克風等進行信息獲取。
@嚴強
這個點很好。這些攻擊需要攻擊者離目標的物理距離夠近，以此收集這些物理信號，我們前幾期中也有提及。
@苦人
其實，這篇文章有兩個問題：1）用戶不記密鑰，記的都是口令，密鑰那麼長，無規則或者十六進制或者其他進制，誰都不可能記，所以題目就有問題；2）把密碼跟密鑰混着說，用戶口令、平常說的密碼，以及密鑰，都說混了。
@嚴強
十分感謝，真的很細心。之前有些用詞確實有混淆的地方，以下更正一下：
- 人類用戶使用 →用戶口令（日常說的密碼）
- 計算機系統使用→密鑰
第9論｜密碼學原語如何應用？解析單向哈希的妙用
45
@SukiW
請問單向哈希的安全性有什麼指標可以參考嗎？
@廖飛強
單向哈希的安全主要取決於其算法安全強度和哈希值的位數。算法安全強度一般通過理論安全分析和實踐攻防來評判。哈希值位數直接體現在單向哈希輸出的長度。安全強度越高，哈希值位數越多，則單向哈希越安全。例如SHA3-256比SHA256安全度高，SHA512比SHA256安全度高。
46
@koudan
文章例子裏面，根哈希值Habcd是通過可信信道傳輸的，那麼接收方在驗證的時候，數據塊a的值，以及Hb,Hcd的哈希值是通過低密級信道傳輸的嗎？
@廖飛強
是的，根哈希要求是可信數據源，用於數據驗證。
47
@steven
SHA3-256比SHA2-256安全強度高的理論依據具體是什麼？
@廖飛強
這是通過密碼學領域學術和工業界進行嚴格評判，並進行多次攻防實驗的結果得出的依據。
SHA3和SHA2相比使用了不同的內部構造，增強了其對於部分攻擊的抗性，主要是長度擴展攻擊。
比較通俗的比較，可以參考如下網頁。
https://crypto.stackexchange.com/questions/68307/what-is-the-difference-between-sha-3-and-sha-256
48
@little.H
數字簽名中使用了單向哈希，其使用單向哈希的作用是什麼？
@廖飛強
單向哈希可以將待簽名的原始數據映射爲確定性的摘要信息，且一般都比待簽名的原始數據小很多。這樣可以加快數字簽名和驗證簽名的速度，同時基於單向哈希的抗碰撞性，能確保簽名是針對確定的原始數據籤的名。
49
@wheat
哈希在隱私保護中有哪些作用呢？
@廖飛強
在隱私保護中使用廣泛，隱私保護中需要的數字簽名、消息認證碼、密碼承諾等都需要哈希的加持。
@劉雪峯@西電
哈希作爲承諾一種，結合零知識證明，這樣或許更直白些。
@廖飛強
非常正確，密碼承諾是零知識證明中廣泛使用的密碼原語了。
50
@燕窩
目前司法領域的存證區塊鏈的應用，似乎也用到單向哈希，具體是如何使用的？
@廖飛強
區塊鏈存證應用中，一般是數據哈希上鍊，作爲可信存儲。原始明文數據鏈下存儲管理。
《隱私保護週三見》
“科技聚焦人性，隱私迴歸屬主”，這是微衆銀行區塊鏈團隊推出《隱私保護週三見》深度欄目的願景與初衷。每週三晚8點，專家團隊將透過欄目和各位一起探尋隱私保護的發展之道。
欄目內容含括以下五大模塊：關鍵概念、法律法規、理論基礎、技術剖析和案例分享，如您有好的建議或者想學習的內容，歡迎隨時提出。
欄目支持單位：零壹財經、陀螺財經、巴比特、火訊財經、火星財經、價值在線、鏈客社區