Хэш-функции, биективность и энтропия

На это уже ответили здесь за 1 итерацию и здесь для многих итераций, но поскольку последний ответ представляет собой эвристический аргумент, я оставлю здесь лемму 4 из Функциональные графы и их применение в универсальных атаках на повторяющиеся хеш-конструкции что дает хорошее приближение, основанное на теореме 2 Статистика случайного сопоставления, и (3.10) из На высоте деревьев:

Лемма 4. Позволять $f$ быть случайным отображением в $\mathcal{F}_N$. Обозначать $N = 2^n$. За $k \le 2^{n/2}$, математическое ожидание числа узлов k-го итерации изображения в функциональном графе $f$ является $$ (1 - \tau_k)\cdot N \приблизительно \left(\frac{2}{k} - \frac{2}{3}\frac{\log k}{k^2} - \frac{c}{ k^2} - \dots \right) \cdot N\,. $$ Это предполагает, что $\lim_{k \to \infty} k\cdot (1 - \tau_k) = 2$. Таким образом, $$ \lim_{N \to \infty, k \to \infty, k \le \sqrt{N}}(1 - \tau_k)\cdot N \ приблизительно 2^{n - \log_2 k + 1}\,, $$ куда $\тау_к$ удовлетворяет повторению $\tau_0 = 0, \tau_{k+1} = e^{-1+\tau_k}$, и $с$ есть некая константа.

Таким образом, хотя да, есть некоторая потеря энтропии из-за повторяющихся итераций случайной функции, эти потери растут только логарифмически по количеству итераций. Потерять, скажем, $32$ бит энтропии, вам нужно перебрать хэш вокруг $2^{32}$ раз. Для больших выходных длин, таких как $256$ бит, этот вид потерь пренебрежимо мал почти для всех практических целей.