生日界估算
| 摘要长度 | 碰撞工作量级 | 适用判断 |
|---|---|---|
| 64 位 | 约 2^32 | 仅非对抗场景 |
| 128 位 | 约 2^64 | 存量系统，谨慎使用 |
| 160 位 | 约 2^80 | SHA-1 已被实践攻破 |
| 256 位 | 约 2^128 | 当前通用选择 |
长度选择速记
长度选择速记
签名/证书：摘要 ≥ 256 位（抗碰撞约 128 位）
消息 ID/去重指纹：可截断到 128 位（抗碰撞约 64 位），但要评估数据规模
口令存储：关注迭代成本而非摘要长度生日界解释的是「为什么短摘要不安全」，选择长度时应结合数据量与攻击者算力估算。