Эта хэш-функция, впервые предложенная в [1266], выдает хэш-значение, в два раза большее длины блока алгоритма шифрования: при 64-битовом алгоритме получается 128-битовое хэш-значение .
При 64-битовом блочном алгоритме схема выдает два 64-битовых хэш-значения , G, и Я„ объединение которых и дает 128-битовое хэш-значение. У большинства блочных алгоритмов длина блока равна 64 битам. Два соседних блока, Ц и Rh размер каждого равен размеру блока, хэшируются вместе.
Go = IG, где IG - случайное начальное значение
Н0 = /я, , где 1Н - другое случайное начальное значение
G, = e l,⊕я,-, (В, ⊕ З-i)⊕ R, ⊕ Gt-x ⊕ Д.-,
Н, = E ⊕ (Д-, ⊕ G,-,) ⊕ L, ⊕ G,-, ⊕ Ht-x
Лай приводит вскрытие этой схемы, которое в некоторых случаях делает вскрытие методом дня рождения тривиальным [925, 926]. Пренел (Preneel) [1262] и Копперсмит (CoppersmithO [372] также успешно взломали эту схему. Не используйте ее.