• Une taille d’empreinte d’au moins 256 bits garantit qu’il n’existe pas d’attaque générique en collision de complexité significativement inférieure à $2^{128}$ opérations.
• Une attaque en collision de complexité pratique contre une fonction de hachage cryptographique est particulièrement critique. En effet, des collisions peuvent être calculées une fois puis utilisées à plusieurs reprises par divers acteurs à des fins malveillantes. Dans le cas de SHA-1, une collision a été calculée en pratique en environ $2^{63}$ calculs d’empreinte et publiée en 2017 [33].
• Selon le type de mémoire quantique utilisé, les meilleures attaques quantiques de recherche d’une collision contre une fonction de hachage cryptographique produisant des empreintes de $h$ bits ont des complexités de $2^{h/3}$ et $2^{2h/5}$ opérations. Pour une valeur de $h=256$ bits, cela engendre des attaques demandant environ $2^{85}$ opérations quantiques dans un modèle de calcul extrêmement exigeant, ou $2^{102}$ opérations quantiques dans un modèle moins contraignant. Indépendamment du modèle, l’accélération quantique de la recherche de collisions est fortement limitée par la profondeur du circuit quantique disponible. Ainsi, l’emploi de fonctions de hachage avec 256 bits de sortie peut être présumé suffisant pour que les attaques quantiques de recherche de collisions soient inopérantes à assez long terme. Toutefois, la recommandation RecoPQHachage pourrait devenir une règle post-quantique en cas d’évolutions majeures des technologies de calcul quantique ou de l’algorithmique quantique.
• Pour une fonction de hachage cryptographique utilisée à l’intérieur de mécanismes de signature post-quantique fondés sur le hachage reconnus par la communauté académique et pour laquelle une résistance en collision n’est pas requise, la taille minimale des empreintes produites est de 128 bits pour résister aux attaques classiques. Lorsqu’une sécurité postquantique est visée, il est recommandé que les empreintes aient une taille d’au moins 192 bits.

• Les règles de sécurité des XOF et des fonctions de hachage ne coïncident pas. En effet, pour être conforme aux règles du référentiel, une fonction de hachage cryptographique doit avoir une résistance en préimage deux fois supérieure à la résistance en collision, alors qu’une XOF doit satisfaire le même niveau de sécurité pour la collision et le préimage. Cela est dû aux principes de conception de certaines familles de XOF comme SHAKE.
• Il est possible d’utiliser une XOF comme une fonction de hachage en fixant la taille de ses sorties. Il convient toutefois de faire attention aux points suivants. D’une part, de telles fonctions de hachage peuvent produire des sorties reliées, lorsque seule la taille d’empreinte varie. D’autre part, une XOF conforme au référentiel peut produire une fonction de hachage non conforme, comme détaillé dans la remarque précédente. Par exemple, SHAKE-128 avec 256 bits de sortie ne constitue pas une fonction de hachage conforme au référentiel.