海绵函数

在密码学，海绵函数（sponge function）或者海绵建构（sponge construction）是一种算法。它使用有限的状态，接收任何长度的输入比特流，然后可以满足任何长度的输出。海绵函数可以在理论上面或者实做上面应用，用来架构或者实做密码学的原始函数，像是加密散列函数（cryptographic hash，参考散列函数）等等。

散列函数的海绵建构。这里p_i是输入的分段，z_i则是输出的分段

结构

海绵函数是由三个部分组成：

• 一个内存状态$S$，包含$b$个比特
• 一个能置换或者转换内存状态，固定大小的转换函数$f$
• 一个填充函数（padding function）$P$

内存状态会分成两个区块，$R$（大小为$r$比特）与$C$（大小为$b-r$比特）。这里的参数$r$又叫做转换率（bitrate），而$c$叫做容量（capacity）。

填充函数会在输入里面增加足够的长度，让输入的比特流长度变成$r$的整数倍。因此填充过后的输入可以被切成长度为$r$的数个分段。

然后，海绵函数运作如下：

• $S$先初始化为零
• 输入经过填充函数处理
• 填充后输入的前面$r$个比特会与R进行XOR运算
• $S$经过函数$f$转换成$f(S)$
• 如果填充后输入还有剩余，下一$r$比特的分段与$R$进行XOR运算
• ${\displaystyle }$S转换成$f(S)$
• …

这过程一直重复到所有的输入都用完为止（在海棉的譬喻里面，被函数“吸收”了）。

现在海绵函数可以依照如下的过程输出（“挤出”内容）：

• 此时$R$里面的资料是输出的前面$r$个比特
• 如果需要更多输出，先把$S$转换成$f(S)$
• 此时R里面的资料是输出的下面$r$个比特
• …

这过程会重复到满足输出所需要的长度为止。

这里值得注意的地方是，输入绝对不会与$C$这部分的存储器作XOR运算，而且$C$这一部分存储器也不会直接被输出。$C$这一部分的存储器仅仅只和转换函数$f$相关。在散列里面，防止撞击攻击（Collision attack）或者原像攻击（preimage attack）是依靠$C$这段存储器作到的。一般实做上$C$的大小会是所希望防止等级的两倍。

应用

海绵函数可以在理论上面或者实做上面应用。在密码分析理论上，随机海绵函数（random sponge function）是一个转换函数f为随机置换的海绵函数。随机海绵函数比起经常使用的随机预言（有关预言的部分请参考预言机）满足更多加密基元（cryptographic primitives）的限制，像是有限大小的内存状态。

海绵函数也可以用来建造实际的加密基元。例如，Keccak散列函数就是以海绵函数的方式建立的。Keccak散列函数使用1600比特大的版本被国家标准技术研究所（NIST）在SHA-3竞赛之中选为赢家。Keccak算法的特点在于作者所开发复杂、多次的置换函数。