1 ハッシュの基本
1.1 ハッシュ関数の定義
ハッシュ（hash）は、入力に対して固定長の出力値（ハッシュ値、ダイジェスト）を返す写像である。入力は任意の長さを取り得るのに対し、出力は通常、ビット列として一定長に定められる。ハッシュ関数は、コンピュータ上で効率よく計算でき、かつ実用上望ましい形で入力と出力が結び付くことが求められる。
暗号学的文脈では、単なる要約ではなく「特定の操作に対して困難さが成立する」性質が重要となる。すなわち、出力から入力を推定したり、所望の出力に合わせた入力を作ったりすることが、現実的な計算量で難しいことが設計目標に含まれる。
1.2 ハッシュ値とダイジェスト
ハッシュ値は、ハッシュ関数の出力として得られる固定長の表現である。ダイジェスト（digest）とも呼ばれ、用途に応じてその表現形式（16進表示など）が変わる。内部ではビット列またはバイト列として扱い、外部表示では慣習的に短い表記へ変換することが多い。
実務では、ダイジェストを「データの指紋」のように扱い、同一の入力に対しては同一の出力が得られるという再現性を活用する。ただし、同一性確認が安全に成立するには、衝突が実際に起こりにくいこと、また必要に応じて鍵や秘匿情報を伴う設計が採用されていることが前提となる。
1.3 一方向性の考え方
一方向性（one-wayness）は、出力から入力を見つけることが実用的に困難である、という考え方に基づく。具体的には、与えられたハッシュ値と同じ値を返す入力を探索する逆算は容易でないことが望まれる。
この性質は、暗号学的ハッシュが「検索困難な圧縮」として振る舞うための基盤である。なお、数学的に厳密な一方向性が常に保証されるわけではなく、公開された設計・解析結果に照らして「計算資源を大きく投入しても見つからない」状態が目標として設定される。
1.4 衝突とその意味
衝突（collision）は、異なる入力が同じハッシュ値を生成してしまう現象である。完全に衝突が起きないことは一般に期待しにくく、固定長出力の宿命として、入力集合が大きいほど衝突の可能性は避けられない。
暗号学的観点では、衝突が「偶然としては起こり得るが、攻撃者が狙って作るのが現実的に難しい」ことが重要となる。衝突が起こると、同一性を指紋で管理する仕組みが誤作動する可能性があるため、用途に応じて衝突耐性の強度が設計要件に入る。
2 性質と評価指標
2.1 一様性（均一性）
一様性（均一性）は、入力が変化したときに出力ができるだけ偏りなく分布することを指す。理想的には、出力の各ビットが独立に近い振る舞いをし、ダイジェスト全体としても均等な確率で現れることが望まれる。
均一性が高いほど、特定の出力が過剰に出現する状況が減り、ハッシュ表などのデータ構造で性能が安定しやすくなる。暗号用途では、偏りがあると攻撃の足がかりになる可能性があるため、統計的な検証が重要になる。
2.1.1 入力分布と出力分布の関係
入力が一様に分布していない場合でも、出力が過度に偏らないことが望ましい。ハッシュ関数は理想化された数学モデル上ではランダム写像に近い振る舞いを目指すが、実際のアルゴリズムでは内部構造により偏りが生じる可能性がある。
そのため、入力量に対する出力の統計テスト（ビット頻度、相関、サブセットの偏りなど）が行われる。入力の種類や偏りの性質は多様であるため、単一のテストでは不十分になりやすく、複数の観点からの検査で妥当性を評価する。
2.2 衝突耐性
衝突耐性（collision resistance）は、攻撃者が与えられた条件の下で「同じダイジェストを返す2つの異なる入力」を見つけることが現実的に困難である性質を指す。ここでの難しさは、計算量や必要な計算資源の観点で評価される。
一般に、衝突耐性はハッシュ出力の長さに強く依存し、出力が長いほど狙い撃ちの衝突発見は困難になる。設計では、想定される攻撃コストを十分に高く保つことが目標となり、運用側では出力長や運用期間の整合性が検討される。
2.2.1 誕生日問題の考え方
誕生日問題（birthday paradox）は、一定数の試行で同じ値が現れる確率が意外に早く上がるという確率論の直観を提供する。ハッシュでは、出力空間のサイズが有限であるため、適当な数の入力を調べると衝突が生じる確率が増大する。
暗号学的評価では、衝突が「ランダムに探索した場合に期待される規模」が見積もられ、設計目標の指標になる。これにより、出力ビット長に応じた安全余裕が見積もられ、システム設計での選択に反映される。
2.3 第二原像耐性
第二原像耐性（second-preimage resistance）は、ある入力に対して同じダイジェストを返す別の入力を見つけることが困難である性質である。攻撃者は「元のメッセージを既に知っている」条件で置かれ、同じ出力を引き出す別案の探索が求められる。
この性質は、データの改ざん検出や参照の整合性に関係する。たとえば、受け取った内容と一致するかをハッシュで確認する仕組みでは、攻撃者が同一ダイジェストの別内容を用意できてしまうと検証が破綻する可能性があるため、耐性の強さが重要になる。
2.4 前像耐性
前像耐性（preimage resistance）は、与えられたダイジェストに対してそれを生成する入力を見つけることが困難である性質である。第二原像耐性が「元の入力が提示されている」前提であるのに対し、前像耐性は「目的の出力が提示される」前提に近い。
前像探索は概ね総当たりに近い困難さとして評価されることが多い。出力長を十分に確保すると、必要な探索規模が指数的に増えやすく、結果として攻撃の実行可能性が低下する。したがって、出力ビット長は耐性の核となるパラメータと位置づけられる。
3 セキュリティ設計での扱い
3.1 暗号学的ハッシュの位置づけ
暗号学的ハッシュは、整合性確認や認証の基礎となる要素として位置づけられる。単に高速に要約できるだけでなく、攻撃者が関与する状況でも検証が破綻しにくい性質が期待される。
ただし、ハッシュそのものは「秘密」を扱う仕組みではない。攻撃者が改ざんした入力とハッシュ値の組を作れると、検証は成立しない。そこで用途に応じて、鍵付き構成（MACなど）や署名のような別要素と組み合わせる設計が採られる。
3.2 前処理（メッセージの整形）
ハッシュ関数を実装する際、入力は内部処理に適した形へ整形される。一般に、長さの情報を含めたパディング（埋め込み）やブロック境界への整列が行われる。これにより、任意長入力を固定長の処理手順に変換できる。
前処理は仕様の一部であり、同じアルゴリズムでも異なる整形を行えば出力は一致しない。安全性や相互運用性に直結するため、パディング手順の厳密な実装が求められる。さらに、設計によっては長さ情報の扱いが攻撃可能性に影響するため、定義通りに扱うことが重要になる。
3.3 塩（ソルト）と鍵付きハッシュ
塩（salt）は、ハッシュ計算に追加されるランダムまたは準ランダムな値である。主目的は、同じ入力が繰り返しハッシュ化される場合に攻撃者が事前計算しやすくなる状況を緩和する点にある。
鍵付きの構成では、秘密鍵と組み合わせてダイジェストを計算し、攻撃者が正しいハッシュを偽造しにくくする。鍵を導入することで、単なる要約ではなく認証機能の一部として機能させることが可能になる。なお、塩の公開可否や管理方式はシステム要件に依存し、運用上の設計が成否を左右する。
3.4 MAC用途でのハッシュの役割
MAC（Message Authentication Code）は、メッセージの真正性と改ざん耐性を提供するための仕組みである。ハッシュはMACの内部で用いられることがあるが、その場合は通常、鍵と結び付けて構成される。
鍵付き構成により、攻撃者はメッセージとハッシュ値だけから正しい検証用値を再現するのが難しくなる。つまり、ハッシュの耐性だけでなく鍵管理、プロトコルの組み立て、鍵の長さや再利用の制約なども重要になる。単純に「メッセージをハッシュし、それを検証」とするだけでは認証にならないことが多い。
3.5 長さ拡張の注意点
長さ拡張（length extension）は、特定の構成ではダイジェストだけを手がかりに、元の入力の末尾へデータを追加した新しい入力のハッシュを計算できてしまう現象として知られる。これは、ハッシュ計算が内部状態の更新として表現されることに関係する。
したがって、鍵付き構成や設計方式の選択が重要になる。特定の方式では長さ拡張が成立し得るため、用途に応じた正しい構成（例えば対応したMAC設計）を使う必要がある。プロトコルを設計する際は、既知の弱点に関する文献と標準仕様に従うことが実務上の安全対策になる。
4 実装と利用
4.1 ハッシュ表（連想配列）
ハッシュ表（hash table）は、キーと値を対応付けて高速に検索するデータ構造である。キーをハッシュ関数でダイジェスト化し、その結果を配列のインデックスとして使うことで平均的に高速な探索が可能になる。
性能は衝突の頻度と処理方式に左右される。衝突とは異なるキーが同じインデックス（あるいは同じハッシュ値の一部）に割り当てられる状態であり、データ構造は衝突を解消する手順を備える必要がある。
4.1.1 連結法と開放アドレス法
連結法（separate chaining）では、同じバケットに複数の要素をまとめ、リストや別構造で管理する。これにより衝突があっても要素が失われず、挿入と探索の手順が整理される。
開放アドレス法（open addressing）では、衝突した場合に配列上で別位置を探索する。代表的には線形探索や二次探索などがあり、探索の連鎖が長くなると性能が劣化しやすい。負荷率（使用率）が高い場合の劣化を避けるため、再ハッシュやサイズ調整が運用上の要点になる。
4.2 チェックサムとしての利用
チェックサム（checksum）としてのハッシュ利用は、データの誤り検出を目的とする場合が多い。通信路や保存媒体で発生するビット反転などのランダム誤りを、ダイジェストの不一致として検出する。
ただし、チェックサムの強度要求は暗号用途と異なることがある。誤り検出は「事故」に対して有効でも、「意図的な改ざん」に対しては弱い場合がある。そのため、改ざんを想定する場面では、認証機能を別途組み合わせるか、適切な設計の採用が必要になる。
4.2.1 整合性検証の考え方
整合性検証では、元データに対して計算されたダイジェストを保存または送信し、受け取り側が再計算して一致を確認する。ここでのポイントは、ダイジェストの保存・配送が改ざんされないこと、あるいは改ざん耐性を満たす仕組みが別にあることである。
また、システム全体では「ハッシュアルゴリズムの更新」「過去データとの互換性」「バージョン情報の扱い」といった運用課題が出やすい。整合性確認は個々の計算だけで完結せず、メタデータや手順設計まで含めて設計される。
4.3 バージョン管理での利用
バージョン管理では、内容を識別するためにハッシュが用いられることがある。コミットやファイルの実体に対するダイジェストをキーとして扱うことで、変更履歴の追跡が整理される。
特に、内容が変わったかどうかを素早く判断できる点が利点である。ダイジェストは同一性の目印として機能し、差分計算や参照の再利用に関係する。ただし、履歴の意味論（いつ、誰が、なぜ変更したか）自体はハッシュ値だけでは表せないため、付随情報と組にして運用する必要がある。
4.3.1 差分管理とハッシュ
差分管理では、変更された部分を効率的に見つけるためにハッシュが補助的に使われる場合がある。たとえば、ブロック単位でダイジェストを持ち、同じ内容のブロックを再利用することで、転送量や計算量の削減につながる。
このとき、ブロック分割の粒度や切り出し方式によって、同じ編集でも出現するブロックが変わることがある。完全一致に基づく再利用と、近似一致に基づく再利用の設計選択により、性能と更新の扱いやすさが変化する。
4.4 分散システムでの用途
分散システムでは、データの場所に依存せずに内容を識別したい場面が多い。ハッシュはコンテンツ識別に適しており、キャッシュや複製管理において、正しいデータ参照のための手がかりとして使われる。
また、整合性チェックや重複排除（同一内容の冗長データをまとめる）にも役立つ。ネットワーク越しのやり取りでは、途中での破損や送信ミスの検出が重要になり、ダイジェストの不一致が利用者にとっての安全信号になる。
4.4.1 コンテンツ識別とキャッシュ
コンテンツ識別では、コンテンツのダイジェストを識別子として扱い、同じ内容なら同じ識別子になることを前提にキャッシュを運用する。これにより、再取得の回数を減らし、応答時間を改善できる。
キャッシュ機構では、保存期間、無効化条件、参照の粒度（オブジェクト全体か、チャンク単位か）などの設計が影響する。ハッシュの計算コストや、計算前に必要な読み取り量も考慮が必要であり、ネットワーク帯域と計算資源のバランスで最適点が決まる。
4.5 よくある誤用と注意
ハッシュは万能ではないため、誤用が起こりやすい。たとえば、秘密鍵や認証を要する場面で単なるハッシュを用いると、検証が改ざんに対して脆弱になることがある。
また、出力を短く切り詰めて利用すると衝突耐性が低下する可能性がある。切り詰めは記憶効率のために行われることがあるが、必要な安全レベルを満たす設計かどうかを確認すべきである。さらに、ハッシュアルゴリズムの陳腐化（既知弱点の顕在化）への追随も運用課題となるため、更新ポリシーの整備が求められる。
5 情報理論との関係
5.1 圧縮・要約としての理解
情報理論の観点では、ハッシュは長い入力を短い表現へ写像する圧縮器として見なせる。圧縮の目的は情報量を減らしつつ、特定の用途に必要な区別を保つことである。
ハッシュは損失圧縮ではなく、一般に復元は不可能である。したがって写像は同型ではなく多対一になり、入力の自由度が圧縮空間へ押し込められる。その結果、衝突が数学的に避けにくい形で現れる。
5.2 誤り検出と識別能力
識別能力は、入力が異なると出力が異なる可能性の高さに関連する。情報理論では、誤りのモデル（ランダム誤りか、意図的改ざんか）によって有効性の評価が変わる。
ランダム誤りの検出という意味では、出力の不一致が確率的に検出信号として働く。一方、攻撃者が存在する状況では、単なる識別率だけでなく、攻撃者が見つけやすい構造があるかが問題となる。このため、暗号学的評価（耐性）と情報理論的直観の接続が必要になる。
5.3 エントロピーと衝突確率
エントロピーは、入力にどれだけ不確実性があるかを測る概念である。入力が高エントロピーでばらけているほど、衝突の振る舞いが理想的なモデルに近づく傾向がある。
一方、入力が偏っている場合、探索空間の実効的なサイズが小さくなり、衝突が発生する頻度が増える可能性がある。したがって、統計的性質の評価は性能だけでなく、衝突確率の見積もりにも関係する。
5.4 出力サイズ（ビット長）設計
出力のビット長は、衝突確率や攻撃コストに直結する主要パラメータである。出力が長いほど可能なダイジェストの数が増え、偶然の一致が起きにくくなる。
また、出力長は性能ともトレードオフを持つ。長いダイジェストは計算結果の扱い（保存領域、通信量、比較コスト）を増やす。一方で短すぎると安全性が不足し得るため、要求される耐性レベルとシステム制約の両立が必要になる。
6 代表的なハッシュ手法（概観）
6.1 代表的な設計ファミリの分類
暗号学的ハッシュは、構造の違いにより設計ファミリに分類できる。代表例として、反復的にブロック処理を行う設計（いわゆる反復構造）や、ツリー状の構成（並列化しやすい構想）などがある。
分類は、内部状態の更新方法、パディングの扱い、ラウンド関数の性質、メモリや並列性の特徴などに基づいて整理される。実装者は、単なるアルゴリズム名だけでなく、実際の安全性評価や運用実績に注意を払う必要がある。
6.2 より強い設計への移行指針
移行指針では、まず既存の方式が持つ既知の弱点の有無や、現在の安全推奨に照らした適合性を確認する。古い設計が「使い続けた場合に攻撃可能性が現実化し得る」なら、計画的な置き換えが必要になる。
また、移行では互換性問題（既存データの再計算、検証方式の切替、バージョン混在）をどう扱うかが実務上の中心になる。多くの場合、システムは新旧の識別子を区別できる設計（アルゴリズム識別子の付与など）を採ることで破綻を防ぐ。
6.3 出力長と性能のトレードオフ
出力長を延ばすと安全性の余裕が増えやすいが、比較・保存・転送の負担は増える。性能評価では、計算速度だけでなく、メモリ使用量や実装上の最適化（ハードウェア支援など）も考慮される。
また、同じ出力長でも構造が異なれば計算コストは変わる。したがって選定では、必要な耐性要件と、実際の環境（CPU、組込み機器、ネットワーク条件）における総コストを合わせて判断することが重要になる。
7 歴史と発展
7.1 研究の流れ
ハッシュの研究は、効率的な要約から始まり、衝突や逆算困難性をめぐる議論へと拡張されてきた。情報理論的な直観と、計算量に基づく安全性評価が相互に影響し合いながら発展してきた経緯がある。
また、攻撃手法や解析手法が高度化するにつれて、設計はより厳密な評価を経るようになった。単なる速度競争から、攻撃モデルや証明可能性に関する議論を含む方向へ重心が移ってきた。
7.2 実運用上の転換点
実運用では、理論上の安全性が「時間の経過」とともに現実の安全性評価へ更新されるのが特徴である。計算能力や解析の進展により、従来の前提が変わると、アルゴリズムの採用状況も見直される。
具体的には、より強い出力長への移行、古い方式の段階的な停止、新しい方式への切替手順の標準化などが転換点となる。運用側は、単に技術更新するだけでなく、互換性と段階移行の安全設計を同時に行う必要がある。
7.3 現在の標準化の動向
現在の標準化では、実装可能性と安全性の両立を重視し、推奨アルゴリズムや利用上の注意（パディング、鍵付き構成、パラメータ選択など）が明確化される傾向がある。
また、移行の実務を支えるために、識別子の扱い、古い方式との共存期間、検証方法の切替といった運用面のガイドも整えられている。標準は技術の固定ではなく、解析の進展や新たな要求に応じて更新される点が特徴である。