誕生日攻撃
前述した誕生日問題から、この方法は思ったよりは効率的である。特に関数 f ( x ) {\displaystyle f(x)} が H {\displaystyle H} 個の異なる出力をそれぞれ同じ確率で生成し H {\displaystyle H} が非常に大きい場合、 f ( x 1 ) = f ( x 2 ) {\displaystyle f(x_{1})=f(x_{2})} となるような異なる入力 x 1 {\displaystyle x_{1}} と x 2 {\displaystyle x_{2}} を得るまでに f を評価する回数の平均は約 1.25 ⋅ H {\displaystyle 1.25\cdot {\sqrt {H}}} 回である。
何らかの暗号システムに対し、誕生日攻撃が問題であるか否かは、その暗号システムの設計と目的次第である。例えば、他のシステムに含まれているのではない暗号学的ハッシュ関数それ自身の評価としては、誕生日攻撃が可能なことは当然であって、誕生日攻撃よりも効率よく攻撃可能な手法が存在しないことが要件となる。また誕生日攻撃に耐えなければならないシステムでは、それを考慮に含めて十分に長いハッシュ値を採用するなどしなければならない。一方で、たとえば本来ならば攻撃者が片方のハッシュ値を自由に選ぶことができない(つまり、誕生日攻撃による攻撃が不可能でなければならない)はずのシステムに何らかの抜け穴があり、誕生日攻撃が可能になっていた、というような場合は欠陥として問題となる。