MD4 的密碼分析（Wang 等人）——作者是如何提出碰撞微分的？

編輯：好的，在我重新閱讀論文幾次之後，很明顯表 6 很容易從表 5 中推導出來，表 5 描述了碰撞差異。所以真正的問題是：作者是如何得出碰撞差異的？

原始問題：

散列函式 MD4 和 RIPEMD的密碼分析論文描述了 MD4 衝突的一組充分條件（論文中的表 6）。作者解釋瞭如何驗證這些條件，但沒有關於他們如何獲得這些條件的資訊。我很好奇，可能的程序是什麼？

我發現了以下推文：

$$ … $$我讀過的所有論文都說她通過“直覺”找到了正確的差異模式

(https://twitter.com/ghostly_gray/status/906009834755055617)

我很樂意接受另一個更具體的答案！

引用自：https://crypto.stackexchange.com/questions/60746