如果将AES-256的相关密钥弱点用于构建哈希，是否可以利用？

假定它是基于AES-256加密的哈希（可能是因为它是硬件加速的，但没有标准哈希）；并且使用了Merkle–Damgård结构，即将消息填充到$ n $填充的消息块$ M_i $中（附加到消息1，最小数目为0和64位消息长度，以位为单位） ，以及根据




Davies-Meyer的构造的压缩函数，用于具有256位块$ M_i $的128位哈希，即

$ H_0 $设置为一个128位无内容的常量；
对于$ i $从$ 0 $到$ n-1 $：
$ \ text {} H_ {i + 1} = \ text {AES-256} _ {M_i}（H_i）\ oplus H_i $
结果为$ H_n $;



Hirose（FSE 2006），用于具有128位块$ M_i $的256位哈希，即

$ G_0 $和$ H_0 $设置为128位none-up-my -sleves常量；
用于$ i $从$ 0 $到$ n-1 $（其中$ C $为非零的我的袖子128位常量）
$ \ text { } \ begin {align *}
G_ {i + 1}＆= \文本{AES-256} _ {H_i || M_i}（G_i）\ oplus G_i \\
H_ {i + 1 }＆= \ text {AES-256} _ {H_i || M_i}（G_i \ oplus C）\ oplus（G_i \ oplus C）
\ end {align *} $
结果为$ G_ n || H_n $。



请注意，在这两种构造中，对手可以操纵的消息都被输入到密码的密钥输入中，从而使-

问题：在这些情况下，是否存在任何已知或可预见的AES-256相关密钥弱点可被利用或严重威胁？

如果是，我们是否有其他散列结构中，AES（任何大小）相关的关键弱点将不再引起人们的关注吗？

注意：对于128位哈希，我们期望相当于$ 2 ^ {64} $加密的工作量会显示冲突（可以有效分配，请参阅使用密码分析应用程序的并行冲突搜索）；和$ \ min（2 ^ {128}，2 ^ {129} / n + 2 ^ {65}）$加密来显示（第二个）原像（通过对RD Dean归因于Merkle–Damgård哈希的一般攻击） 1999年的论文（第5.3.1节），由J. Kelsey和B. Schneier更好地进行了披露和完善，该书在关于小于2n工作的n位哈希函数的第二张原像中提供。至少相当于$ 2 ^ {128} $加密才能产生冲突，而付出更多的努力来展现原像。