Security of Poseidon hash function against non-binary differential and linear attacks

Abstract

In this work we build the security estimations of Poseidon hash function against non-binary linear and differential attacks. We adduce the general parameters for the Poseidon hash function that allow using this hash function in recurrent SNARK-proofs based on MNT-4 and MNT-6 triplets. We also analysed how to choose S-boxes for such function for this choice to be optimal from the point of view of the number of constraints and security. We also showed how many full rounds is sufficient to guarantee security of such hash function against non-binary linear and differential attacks and calculated the number of constraints per bit that is achieved in the proposed realizations demonstrating a considerable gain was demonstrated, as compared to the Pedersen hash function.

Побудовано оцінки стійкості геш-функції Poseidon до небінарних лінійних і різницевих атак. Визначено загальні параметри для геш-функції Poseidon, які забезпечують можливість її використання у рекурентних SNARK-доведеннях, що базуються на триплетах MNT-4 і MNT-6. Проаналізовано, як потрібно обирати S-блоки для цієї геш-функції, щоб цей вибір був оптимальним з погляду як стійкості, так і кількості констрейнтів. Показано, яка кількість раундів є достатньою, щоб гарантувати стійкість такої геш-функції до небінарних лінійних і різницевих атак, та обчислено кількість констрейнтів на біт інформації для запропонованих реалізацій цієї функції з демонстрацією суттєвого виграшу у порівнянні з геш-функцією Педерсена.

Построены оценки стойкости хеш-функции Poseidon к небинарным линейным и разностным атакам. Определены общие параметры хеш-функции Poseidon, позволяющие использовать её в рекуррентных SNARK-доказательствах, базирующихся на триплетах MNT-4 и MNT-6. Выполнен анализ того, как нужно выбирать S-блоки для этой хеш-функции, чтобы этот выбор был оптимальным с точки зрения как стойкости, так и количества констрейнтов. Показано, какое количество раундов является достаточным, чтобы гарантировать стойкость этой хеш-функции к небинарным линейным и разностным атакам, вычислено количество констрейнтов на бит информации для предложенных реализаций этой функции с демонстрацией существенного выигрыша в сравнении с хеш-функцией Педерсена.