反向观点：基于哈希的加密真的比基于椭圆曲线的更安全吗？ 我们假设Poseidon是难以反转的。Poseidon是什么？是一系列低度多项式应用于你的输入。 但假设离散对数问题是困难的/佩德森哈希是安全的，这在当前的后量子/以太坊叙述中被认为风险更大？ 我们逐位读取输入位，并使用固定生成器进行双倍或双倍加法。 当你查看椭圆曲线的双倍加法公式时，它也是一系列低度操作。 在某种意义上，它比Poseidon更安全——因为序列不是预先确定的，而是在每一步操作根据下一个输入位选择（这可能提高安全性，但对snark不友好，需要位分解）。 一个反驳论点——在佩德森中，我们从一个固定生成器开始，而在Poseidon中，起点（来自输入）在寻找预像的情况下是“秘密”的……但我觉得这并不令人信服：因为你可以说，在佩德森的256次双倍/双倍加法轮次中的前100次之后，我们也在一个秘密点“开始”后续操作，就像在Poseidon中一样。 自然会说——“但基于哈希的加密的整个要点是，如果在特定哈希函数中发现弱点，我们可以替换哈希。” 但你真的能在多大程度上替换它，至少对于像精简以太坊这样的系统？ 精简以太坊需要一个对snark超级友好的哈希函数，因为你计划不断证明大量哈希，以补偿不使用基于椭圆曲线的签名。 难道一个超级友好的哈希函数最终会看起来像Poseidon吗？ 即：只有低度操作，没有条件分支。 在这种情况下，发现的攻击可能会覆盖所有“对精简以太坊友好的”哈希函数。