绪论：密码学的范式演进与研究框架
密码学作为信息安全的核心支柱，其发展历程映射着人类通信与对抗智慧的演进。从古老的隐写术到现代基于计算复杂性的密码体制，密码学的研究范式经历了根本性转变。本章旨在界定密码学的核心研究对象与任务，梳理这一范式演进的历史脉络，并建立贯穿全书的形式化安全分析框架。密码学本质上研究的是在不安全的信道上实现安全通信的数学原理与工程实践，其核心任务可概括为四大目标：机密性（Confidentiality）确保信息仅对授权方可见；完整性（Integrity）保障信息在传输或存储过程中未被篡改；认证（Authentication）确认通信实体的身份及其信息来源的真实性；不可否认性（Non-repudiation）防止发送方事后否认其发送过的信息。这四大目标构成了密码学应用的基础，也是评价任何密码方案优劣的根本准则。
历史演进：从隐写到计算安全
密码学的思想源头可追溯至古代文明对“隐蔽书写”（concealed writing）的朴素追求，这与现代加密（encryption）有本质区别。隐写术（Steganography）旨在隐藏信息的存在本身，而非保护信息内容。例如，公元前5世纪古希腊斯巴达军队使用名为“scytale”的圆柱形棒将皮革条上的文字螺旋缠绕，形成无意义的字符，只有相同直径的棒子才能还原出明文；中国古代《孙子兵法》中提及的“隐语”和藏头诗也属此类。这些方法的安全性完全依赖于“隐蔽性”，一旦模式被识破，信息即刻暴露。与之相对，加密术通过可逆的数学变换将明文转换为密文，其安全性应独立于算法的保密——这一原则由19世纪荷兰语言学家奥古斯特·柯克霍夫（Auguste Kerckhoffs）系统阐述，即“密码系统的安全性不应依赖于算法的保密，而应仅依赖于密钥的保密”（Kerckhoffs's principle）。这一原则成为现代密码学的基石。
古典密码学时期（约公元5世纪至19世纪）的密码体制主要基于字符替换与移位，其安全性完全建立在攻击者对密码体制的不了解之上，属于“隐写”思维的延伸。凯撒密码（Caesar cipher）作为最著名的移位密码，将字母表中的每个字母固定偏移3位（如A→D），其密钥空间仅25种可能，极易被穷举破解。更为复杂的维吉尼亚密码（Vigenère cipher）采用多表替换，使用一个关键词循环决定每字母的移位量，曾被誉为“不可破译的密码”，但最终在19世纪60年代被查尔斯·巴贝奇（Charles Babbage）和弗里德里希·卡西斯基（Friedrich Kasiski）通过“重复距离分析”攻破，揭示了其周期性密钥的弱点。这些古典密码的共同缺陷在于：它们的安全性完全依赖于攻击者的有限知识和计算能力，一旦攻击者获得足够多的密文并掌握语言统计特性（如字母频率），破解便成为可能。例如，英语中字母E的出现频率约为11.16%，而Z不足0.07%，通过统计分析密文中字符的分布，即可高概率还原移位量或关键词长度。
近代密码学的转折点出现在两次世界大战期间。德国军队在第一次世界大战中使用的“ADFGVX密码”结合了替换与移位，但依然可被频率分析攻击；而第二次世界大战中德国海军的“恩尼格玛”（Enigma）机电转子密码机则将古典密码推向了机械复杂性的巅峰。恩尼格玛通过三个（后增至四个）转子实现每键一次的多表替换，其密钥空间高达 $1.58 \times 10^{20}$，并每日更换密钥表。然而，波兰密码学家马里安·雷耶夫斯基（Marian Rejewski）在1932年利用德国操作员的密钥分发失误，通过“重复密文”原理成功还原了转子 wiring；艾伦·图灵（Alan Turing）在布莱切利园设计的“炸弹”（Bombe）机电设备则进一步实现了对恩尼格玛密文的自动化破译。恩尼格玛的破译深刻说明：即使系统在古典意义下“复杂”，只要其安全依赖于操作程序的保密或设计细节的隐蔽，在系统性的密码分析面前仍可能崩溃。这为香农的信息论安全观埋下了伏笔。
1949年，克劳德·香农（Claude Shannon）发表划时代论文《保密系统的通信理论》（Communication Theory of Secrecy Systems），将密码学从一门艺术转变为一门科学。香农首次运用信息论工具严格定义了“完美保密”（Perfect Secrecy）概念：一个密码体制是完美保密的，当且仅当对任意先验分布，明文与密文的条件熵等于明文熵，即 $H(M|C) = H(M)$，这意味着攻击者获得密文后，关于明文的先验知识未增加任何信息。香农证明，实现完美保密的唯一方法是使用与明文等长、真正随机且仅使用一次的密钥——即“一次一密”（One-Time Pad, OTP）。OTP在理论上是无条件安全的，但其密钥分发与存储的绝对安全性要求使其在大多数实际场景中不可行。香农的贡献在于将密码学建立在了坚实的数学基础上，并明确区分了“理论安全”与“实践安全”的鸿沟。
1976年，惠特菲尔德·迪菲（Whitfield Diffie）和马丁·赫尔曼（Martin Hellman）发表《密码学的新方向》（New Directions in Cryptography），提出了公钥密码学的革命性思想，并引入了“计算安全性”（Computational Security）的范式。他们指出，密码系统的安全性应基于“计算困难问题”（Computationally Hard Problem）的假设，即存在某些数学问题，在合理时间内（多项式时间）无法被经典计算机有效求解。同年，拉尔夫·默克尔（Ralph Merkle）提出Merkle's Puzzles，斯坦福大学团队最终设计了第一个实用的公钥密钥交换协议——迪菲-赫尔曼（DH）密钥交换。1977年，罗纳德·李维斯特（Ron Rivest）、阿迪·萨莫尔（Adi Shamir）和伦纳德·阿德曼（Leonard Adleman）基于大整数分解难题设计了RSA算法，首次实现了公钥加密和数字签名。这一系列突破彻底解决了对称密码的密钥分发难题，并催生了现代密码学的完整框架：密码系统的安全性不再依赖于“攻击者不知道什么”，而是依赖于“攻击者不能做什么”——即求解某个数学问题的计算难度。
核心概念与任务分解
现代密码学的研究对象可系统性地分解为三大类基础原语（Primitive）及其组合应用：对称密钥密码（Symmetric-key Cryptography）、公钥密码（Public-key Cryptography）和密码学工具（Cryptographic Tools）。对称密码使用同一密钥进行加密与解密，代表算法包括数据加密标准（DES）、高级加密标准（AES）以及流密码如RC4（已淘汰）和现代设计如ChaCha20。其核心优势在于加解密效率高，适用于海量数据加密，但密钥分发与管理成为规模化应用的瓶颈。公钥密码使用公私钥对，公钥公开用于加密或验证签名，私钥保密用于解密或生成签名，典型算法包括RSA、基于离散对数的ElGamal及椭圆曲线密码（ECC）。其解决了密钥分发问题，但计算开销显著高于对称密码，通常用于密钥交换或数字签名，而非直接数据加密。密码学工具则包括哈希函数（如SHA-3）、消息认证码（MAC）、伪随机数生成器（PRNG）等，它们为构建完整安全协议提供基础构件。
基于上述原语，密码学致力于实现前述四大安全目标。机密性通过加密机制保障，要求即使攻击者截获密文，也无法推断出明文的任何有效信息。完整性由哈希函数和MAC提供：哈希函数将任意长度输入映射为固定长度摘要，具有抗碰撞性（Collision Resistance）和原像不可逆性；MAC则使用共享密钥生成短标签，验证消息来源与完整性。认证分为实体认证（如数字证书、挑战-响应协议）和数据源认证（如数字签名），后者通过非对称密码实现，确保信息来自声称的发送方且未被篡改。不可否认性主要依赖数字签名，其法律效力已在多国电子签名法中得到确认。值得注意的是，这些目标并非孤立，实际系统（如TLS协议）通常组合多种机制以提供综合安全保障。
形式化安全模型：从直觉到严格定义
古典密码的安全性分析依赖于“已知明文攻击”或“选择明文攻击”的直觉描述，缺乏精确的数学表述。现代密码学通过“形式化安全模型”将安全定义转化为可证明、可比较的数学命题。其核心思想是：定义攻击者的能力（攻击模型）和安全目标（安全游戏），若任何高效（概率多项式时间，PPT）攻击者在攻击游戏中取得显著成功的概率可忽略（negligible），则称该密码方案是安全的。
以对称加密的语义安全（Semantic Security）为例，1982年戈德瓦塞尔（Goldwasser）和米卡利（Micali）首次提出“不可区分性”（Indistinguishability）作为安全定义，后由贝尔纳多（Bellare）等人标准化为“选择明文攻击下的不可区分性”（Indistinguishability under Chosen-Plaintext Attack, IND-CPA）。其安全游戏定义如下：挑战者生成密钥 $k \leftarrow \mathsf{KeyGen}()$；攻击者 $A$ 获得公钥（或加密 oracle）并输出两个等长明文 $m_0, m_1$；挑战者随机选择比特 $b \in \{0,1\}$，计算挑战密文 $c^* \leftarrow \mathsf{Enc}_k(m_b)$ 并交给 $A$；$A$ 继续访问加密 oracle（除 $m_0,m_1$ 外）并输出猜测比特 $b'$。定义 $A$ 的优势为 $\mathsf{Adv}_{\mathsf{IND-CPA}}(A) = |\Pr[b' = b] - 1/2|$。若对所有PPT攻击者 $A$，该优势均可忽略，则加密方案满足IND-CPA安全。直观上，IND-CPA意味着即使攻击者能自由选择明文并获得其密文，也无法区分两个挑战明文的加密结果——这恰好捕捉了“密文不泄露明文信息”的直觉。例如，AES在CTR或GCM模式下可证明满足IND-CPA，而ECB模式则易受模式泄露攻击，不满足该定义。
对于数字签名，核心安全需求是“存在性不可伪造性”（Existential Unforgeability），通常在选择消息攻击下定义（SUF-CMA）。游戏过程：挑战者生成密钥对 $(pk, sk) \leftarrow \mathsf{KeyGen}()$；攻击者 $A$ 获得公钥 $pk$ 并访问签名 oracle $\mathsf{Sign}_{sk}(\cdot)$（可自适应查询任意消息的签名）；最终 $A$ 输出一对 $(m^*, \sigma^*)$。若 $(m^*, \sigma^*)$ 通过验证 $\mathsf{Vfy}_{pk}(m^*, \sigma^*) = 1$，且 $m^*$ 未被 $A$ 查询过签名 oracle，则攻击成功。优势定义为成功概率。若所有PPT攻击者的优势可忽略，则签名方案满足SUF-CMA。RSA-PSS和ECDSA（在随机预言机模型下）可证明满足此安全定义。
这些形式化定义的核心价值在于：它们将模糊的“安全”概念转化为精确的、可量化的数学对象，使得“安全性证明”成为可能——即通过“安全归约”（Security Reduction），将攻击密码方案的优势转化为求解某个公认困难问题的优势。例如，RSA-OAEP加密方案在随机预言机模型下可归约到大整数分解问题：若存在攻击者以非忽略优势打破IND-CPA安全，则可构造算法以相应优势分解大整数。这种归约建立了密码方案安全性与底层数学难题之间的桥梁，使密码分析有了明确焦点。
信息论安全与计算安全的辩证关系
香农的完美保密（信息论安全）与迪菲-赫尔曼的计算安全代表了密码学安全范式的两个极端。信息论安全不依赖于任何计算假设，其安全性由信息论量（如互信息）严格保证，即使攻击者拥有无限计算资源也无法破解。一次一密是唯一被证明实现完美保密的实用加密方案：密钥 $k$ 是与明文 $m$ 等长的随机比特串，加密 $c = m \oplus k$，解密 $m = c \oplus k$。香农证明，当且仅当密钥空间大小不小于明文空间、密钥均匀随机且仅使用一次时，系统达到完美保密。然而，OTP的密钥分发难题使其仅适用于极小规模场景（如“红色电话”美苏热线）。计算安全则承认攻击者具有强大计算能力，但假设某些问题无法在合理时间内解决。其安全性是“有条件的”——若未来出现高效算法或量子计算机，基于当前困难问题的方案可能失效。例如，RSA的安全性依赖于大整数分解难题，而Shor算法能在量子计算机上多项式时间解决该问题。
值得注意的是，信息论安全与计算安全并非完全割裂。在特定场景下，可构造兼具两者优点或互补性质的方案。例如，“信息论安全的密钥交换”利用量子信道或预先共享的短密钥，通过信息论方法生成会话密钥，即使后续通信被完全记录，也无法在事后破解；但其通常需要物理层假设或初始信任。另一方面，计算安全方案可通过“混合加密”架构结合两者优势：使用公钥密码（计算安全）安全传输一个对称会话密钥，再用该对称密钥（如AES）加密大量数据——对称加密本身可设计为接近信息论安全（如OTP的变体），但受限于密钥流生成器的计算安全性。这种分层设计体现了密码工程中的务实权衡。
现代信息系统中的基础性地位
密码学已从军事外交领域渗透至数字经济的每一个角落，成为区块链、物联网、云计算等现代信息系统的信任基石。在区块链技术中，密码学构建了去中心化信任的完整链条：哈希函数（如SHA-256）将交易数据压缩为固定长度摘要，并通过Merkle树组织实现高效验证；非对称签名（如ECDSA）确保交易发起者的身份认证与不可否认性；共识机制（如PoW）依赖密码学难题调整难度。没有密码学，区块链的“不可篡改”和“去信任”特性将无从谈起。在物联网（IoT）场景中，数十亿资源受限设备（如传感器、智能电表）需要轻量级密码算法（如SIMON/SPECK块密码、Chacha20流密码）在低功耗下提供基本安全；同时，设备身份认证、固件更新签名、数据机密性保护均依赖密码学原语。物联网的碎片化生态更凸显了标准化密码协议（如IEEE 802.15.4的AES-CCM*）的重要性。在云计算中，密码学解决了数据所有权与隐私保护的核心矛盾：同态加密（如BFV、CKKS方案）允许在加密数据上直接计算，使云服务商无需解密即可处理用户数据；安全多方计算（MPC）使多个参与方协同计算函数而不泄露各自输入；而密钥管理服务（KMS）则通过硬件安全模块（HSM）实现密钥的生命周期安全管控。此外，零知识证明（ZKP）正在成为隐私增强技术的核心，如Zcash使用zk-SNARKs实现交易金额的隐藏验证，而区块链扩容方案zk-Rollups依赖ZKP将交易验证移至链下。
全书章节逻辑与阅读路径
本书共15章，系统性地覆盖现代密码学的理论、算法与应用。前四章奠定基础：第1章（本绪论）界定范畴与范式；第2章详述必备数学工具（数论、代数、概率论）；第3章介绍信息论基础与香农理论；第4章定义计算复杂性理论与安全归约方法。第5至第9章聚焦对称密码：第5章流密码（线性反馈移位寄存器、现代设计）；第6章分组密码（DES、AES结构、设计原则）；第7章分组密码工作模式（ECB、CBC、GCM及其安全分析）；第8章哈希函数（MD5、SHA-1、SHA-3的演进与碰撞攻击）；第9章消息认证码（HMAC、CMAC）。第10至第13章深入公钥密码：第10章数论基础与RSA；第11章离散对数问题与Diffie-Hellman协议；第12章椭圆曲线密码（ECC）基础与应用；第13章数字签名（RSA-PSS、ECDSA、EdDSA）。第14章探讨高级协议与新兴主题：密钥交换协议（SIGMA、 Noise框架）、零知识证明、同态加密、安全多方计算。第15章展望后量子密码（基于格、编码、多变量的方案）与量子密码学（量子密钥分发QKD），并总结密码学在未来的挑战与机遇。
本书逻辑遵循“基础→核心原语→高级构造→前沿应用”的演进路径。数学基础（第2章）与安全模型（第4章）是贯穿全书的分析工具；对称与公钥密码部分（第5-13章）构成主体，按“数据加密→完整性→密钥管理→身份认证”的功能链条展开；高级协议章节（第14章）展示如何组合基础原语解决复杂问题；最终章（第15章）面向未来，讨论量子计算带来的范式变革。各章节内容既相互独立（每章可单独研读），又紧密关联（如第6章AES结构是理解第7章GCM模式的前提，第10章RSA是第13章签名的基石）。建议读者按顺序阅读，尤其注重第2、4章的数学与形式化方法；若具备基础，可直接跳读特定算法章节，但需注意前后依赖关系。本书同时提供大量算法描述、安全证明思路与实际攻击案例分析，旨在为研究人员、工程师及高年级学生提供一部兼具理论深度与实践指导的参考著作。
密码学的社会-技术维度：隐私、监控与政策争议
密码学的发展从未脱离社会语境的塑造。从16世纪意大利城邦间的谍报战到现代国家间的加密政策博弈，密码技术始终是权力、隐私与安全的交汇点。1990年代美国政府的"加密战争"（Crypto Wars）首次将密码学置于公共政策的核心：联邦调查局（FBI）担忧强加密会阻碍犯罪调查，提出"密钥托管"（Key Escrow）方案，要求加密系统预留政府访问的后门；而密码学家以"三分密码学"（ cryptography is three things: math, engineering, and policy）回应，强调后门必然削弱整体安全性。1997年，RSA实验室发起"密钥托管挑战"，邀请公众攻击政府设计的Skipjack算法与Clipper芯片，最终仅用60天即被攻破，成为"后门必然带来漏洞"的经典案例。
21世纪的争论并未平息。2016年苹果公司与FBI的"圣贝纳迪诺枪击案"对峙，要求苹果为恐怖分子使用的iPhone开发特殊版iOS系统以绕过安全机制。苹果CEO蒂姆·库克公开声明："建设后门即使出于善意，也会被所有人利用。"技术层面，任何"选择性访问"机制都会扩大攻击面——2015年NSA的"Equation Group"工具泄露显示，其利用Cisco路由器漏洞实现的监控能力，最初正是源于为执法需求预留的访问通道。密码学界普遍认同"柯克霍夫原则的延伸"：系统的安全性取决于其最薄弱环节，而任何故意设计的弱点都将成为所有攻击者的目标。
欧盟的《通用数据保护条例》（GDPR）将密码学确立为数据保护的技术基础，第32条明确要求"个人数据的处理应实施适当的技术和组织措施，如假名化与加密"。这推动了"隐私增强技术"（PETs）的产业化，差分隐私（Differential Privacy）在苹果、谷歌的统计系统中部署，同态加密在医疗数据分析中试点。与此同时，各国"数据本地化"法律与跨境数据传输限制（如Schrems II裁决）使密码学成为地缘政治工具——加密成为数字主权的前沿阵地。中国《网络安全法》与《密码法》构建了国密算法（SM2/3/4）的合规框架，体现了技术标准与国家安全政策的深度绑定。