单向函数是一种数学函数，其单向运算在计算上很容易，但反向运算在计算上却不可行——也就是说，给定输出，实际上不可能确定原始输入。在密码学和区块链技术中，单向函数是支撑加密货币整个安全架构的基本数学原语。
单向函数在区块链中的两个最关键的应用是加密哈希函数（例如用于比特币挖矿和地址生成的 SHA-256）和公钥密码学中使用的椭圆曲线乘法（其中私钥很容易生成公钥，但公钥不能用于推导出私钥）。
陷门函数是一种特殊情况，可以利用秘密信息有效地进行逆运算；普通的单向函数不一定具有陷门。
比特币、以太坊以及几乎所有加密货币的安全性都建立在这样一个假设之上：某些数学运算确实是单向的，也就是说，不存在任何有效的算法可以逆向 SHA-256 哈希运算，或者解决椭圆曲线离散对数问题。任何突破性的进展都可能威胁到依赖于这些运算原语的系统。
量子算法对哈希函数和椭圆曲线密码学的影响不同，因此不应将它们的风险视为相同。有趣的是，真正单向函数存在的形式化证明是理论计算机科学中最重要的未解难题之一（与P问题和NP问题密切相关）。
在实践中，我们依赖于那些被强烈认为是单向的函数，这是基于数十年来破解它们的失败尝试而得出的结论，尽管单向性的绝对数学证明并不存在。
起源与历史
| 年份 | 创建 |
|---|---|
| 1874 | 威廉·斯坦利·杰文斯描述了单向函数（大数分解）的概念 |
| 1976 | Diffie 和 Hellman 在《密码学新方向》中形式化了单向函数。 |
| 1977 | RSA算法展示了实际的单向函数（质因数分解难度） |
| 1989 | Merkle 和 Damgård 发表了对抗碰撞哈希函数的有影响力的构造。 |
| 1985 | 椭圆曲线密码学方案——离散对数作为曲线上的单向函数 |
| 1993 | NIST 发布了 SHA-0（FIPS PUB 180）；SHA-1 于 1995 年发布，是一种被广泛采用的单向哈希函数。 |
| 2002 | NIST 在 FIPS 180-2 中发布了 SHA-256（来源： NIST哈希标准) |
| 2004 | Wang等人发现MD5算法中存在碰撞——这表明特定的单向函数可以被削弱。 |
| 2005 | 针对 SHA-1 的理论攻击已公布——SHA-1 弃用开始 |
| 2008 | 中本聪基于 SHA-256 和 secp256k1 椭圆曲线构建比特币——单向函数保障网络安全 |
| 2009 | 比特币正式上线——单向函数保护每个私钥、地址和区块哈希值。 |
| 2012 | NIST 选择 SHA-3（Keccak）——一种新的单向哈希函数系列；以太坊后来使用了 Keccak-256。 |
| 2015 | 以太坊正式上线——采用Keccak-256哈希算法和secp256k1签名算法。 |
| 2019 | 谷歌实现“量子霸权”——提高人们对单向函数量子威胁的认识 |
| 2024 | NIST最终确定了三项后量子标准，采用基于格和基于哈希的构造（来源： NIST后量子标准) |
运作模式
单向操作：计算输出是高效的，但在相关假设下，找到对应的输入则被认为是不可行的。哈希、椭圆曲线密钥派生和陷门构造具有不同的性质，不应混为一谈。
| 单向函数 | 用在 | 前沿作战 | 反向难度 | 量子威胁 |
|---|---|---|---|---|
| SHA-256 | 比特币挖矿地址 | 对任意数据进行哈希处理 → 生成 256 位摘要 | 2^256 暴力破解 | 减少到 2^128（仍然安全） |
| 凯卡克256 | 以太坊地址、哈希 | 对任意数据进行哈希处理 → 生成 256 位摘要 | 2^256 暴力破解 | 减少到 2^128（仍然安全） |
| secp256k1（ECDLP） | 比特币/以太坊密钥对 | 私钥 × G → 公钥 | 2^128 次运算（经典） | 被 Shor 的算法破坏 |
| RSA（因式分解） | TLS/SSL，传统系统 | 两个质数相乘 → 乘积 | 亚指数（困难） | 被 Shor 的算法破坏 |
| 格子问题 | 后量子密码学 | 格子操作 | 即使对于量子力学来说，这也很难让人相信。 | 抗性（PQC 基础） |
简单来说
- 易于计算，难以逆运算：一个合适的 单向函数可以高效地进行计算，但在其安全假设下，恢复输入在计算上是不可行的。但这并不意味着逆向推导在数学上是不可能的。
- 哈希函数是单向的。SHA-256（比特币使用的算法）接受任何输入，并生成一个固定的 256 位输出。相同的输入总是产生相同的输出，但仅凭输出无法推断出输入是什么。这就是为什么比特币矿工必须尝试数十亿次随机猜测——他们无法逆向工程出正确的哈希值。
- 钱包安全许多比特币地址类型使用公钥或脚本的哈希值，但 Taproot 的输出会暴露公钥。公钥在支出时也可能被泄露。地址设计至关重要；哈希并不能完全隐藏所有公钥。
- 挖矿是一种单向函数猜测游戏比特币挖矿之所以有效，是因为 SHA-256 算法是单向的。矿工需要找到一个随机数（nonce），当它与区块数据进行哈希运算时，生成的哈希值必须以很多零开头。由于 SHA-256 算法是单向的，矿工无法直接计算出答案——他们必须反复尝试数十亿次。这正是消耗大量电力的原因。
- 量子计算机是未来的挑战目前的单向函数能够抵御经典计算机的攻击，但运行 Shor 算法的量子计算机可以破解椭圆曲线密码。因此，密码学家正在开发基于后量子单向函数的算法，这些算法基于即使对量子计算机来说也难以解决的问题（例如格问题）。
实际例子
| EventXtra XNUMX大解决方案 | 技术实施 | 成果 |
|---|---|---|
| 比特币密钥生成 | 私钥乘以secp256k1曲线上的生成点 | 公钥生成只需几毫秒；逆向工程则需要数十亿年。 |
| 比特币矿业 | 矿工使用 SHA-256 算法对区块头进行哈希处理，以寻找特定的输出模式。 | 单向属性迫使用户进行暴力搜索——通过工作量证明机制保障网络安全。 |
| 密码存储 | 网站使用加盐密码哈希方案，例如 Argon2id，而不是普通的 SHA-256（来源： OWASP密码存储) | 速度慢、内存占用大的哈希算法提高了猜测成本；但弱密码仍然可以被恢复。 |
| 以太坊地址 | 以太坊地址使用未压缩公钥坐标的Keccak-256哈希值的最后20个字节。 | 公钥可以从已签名的交易中恢复；私钥则受到离散对数假设的保护。 |
| 默克尔树 | 使用 SHA-256 算法将交易哈希值两两组合，直至 Merkle 根。 | 无需下载整个区块链即可高效验证交易是否包含在区块链中 |
优势
| 企业优势 | 描述 |
|---|---|
| 加密安全基础 | 每种加密货币的安全模型都建立在其函数的单向性之上。 |
| 高效验证 | 任何人都可以验证输出（签名、哈希值），而无需私有输入。 |
| 确定性 | 相同的输入总是产生相同的输出——可靠且可预测的行为 |
| 可组合 | 单向函数可以分层（哈希的哈希）以提高安全性。 |
| 久经沙场 | SHA-256 和 secp256k1 已经经受住了数十年的密码分析攻击 |
| 通用应用 | 应用于各个方面：数据挖掘、地址管理、签名、默克尔树等等。 |
缺点与风险
| 风险 | 描述 |
|---|---|
| 未经证实的假设 | 该命题的存在性尚未得到证明；单向函数表明 P ≠ NP，但反之亦然，这一点尚未确立。 |
| 量子脆弱性 | Shor算法在量子计算机上可以打破椭圆曲线单向函数的限制 |
| 算法弱点 | 随着时间的推移，某些特定算法（例如 MD5、SHA-1）已被部分破解。 |
| 无法恢复 | 如果单向函数能够保护丢失的钥匙，那么钥匙所有者就没有数学上的补救措施。 |
| 灾难性故障模式 | 重大的密码学漏洞可能威胁受影响的系统；其影响取决于所使用的原始密码和攻击方式。 |
| 计算成本 | 挖矿的工作量证明机制利用了单向函数难度——消耗巨大的能量 |
风险管理提示：
- 要明白，加密货币的安全性最终是基于数学假设的——虽然是很强的假设，但终究是假设。
- 遵循权威的后量子研究和钱包或网络迁移指南。
- 尽可能只使用一次地址（尤其是在比特币中）——最大限度减少公钥暴露可以降低量子攻击面。
- 如果担心特定算法的漏洞，请采用不同的加密基础架构进行多元化部署。
- 不要以为未使用的地址会隐藏其公钥：像 Taproot 这样的地址类型从一开始就会暴露公钥。
常见问题解答
问：单向函数真的不可能逆向吗？
答：并未声称绝对不可能。单向性意味着对于相关的攻击者和参数而言，逆操作不可行。证明单向函数的存在仍然是一个开放性问题；它与P与NP问题相关，但并不完全相同。
问：如果有人破解了 SHA-256 会发生什么？
答：影响取决于攻击类型。碰撞攻击、原像攻击和工作量证明捷径攻击是不同的攻击手段。严重的安全漏洞可能需要协调一致的协议变更，但这并不能自动恢复私钥，也不能保证仅靠软分叉就能解决问题。
问：单向函数与比特币挖矿有何关系？
答：比特币矿工搜索的是低于目标值的区块头哈希值，而不是特定哈希值的唯一原始输入值。他们会改变随机数和其他区块头输入，并反复计算双重 SHA-256 哈希值。由于缺乏有效的捷径，这种搜索方式的计算成本非常高。
问：什么是陷门函数和单向函数？
答：陷门函数在没有秘密信息的情况下很难逆向破解，但有了秘密信息就很容易逆向破解。RSA 在适当的假设和安全填充条件下提供了一个例子。在椭圆曲线密钥生成中，私钥标量是输入；它不是那种允许他人逆向破解任意公钥的陷门。
问：量子计算机能否打破所有单向函数？
答：不。量子计算机（通过 Shor 算法）会对基于因式分解和离散对数的特定单向函数构成威胁，包括 RSA 和椭圆曲线密码学。然而，像 SHA-256 这样的哈希函数只是被削弱了（通过 Grover 算法将安全性从 2^256 降低到 2^128），这仍然被认为是安全的。后量子密码学使用新的单向函数（基于格问题、哈希方案等），这些函数被认为能够抵抗量子攻击。
相关条款
- 散列函数
- SHA-256
- 椭圆曲线密码学
- 公钥密码术
- 私钥
- 电子签名
- 工作证明（PoW）
- 后量子密码学
- 耐碰撞
- 凯卡克256
免责声明：本词汇表条目仅供教育用途，不构成任何财务建议。加密货币交易涉及重大风险，包括亏损风险。在做出任何投资决定之前，请务必自行研究（DYOR）并咨询合格的财务顾问。
结语
单向函数通过计算难度来增强加密货币系统的安全。其实际安全性取决于所选的原语、实现方式和威胁模型，包括量子算法的不同影响。
关于 UPay 的更多阅读材料：私钥安全；加密钱包类型；自保详解
