1 背景与动机
1.1 信息论的早期发展
1948年，克劳德·香农发表了划时代的《通信的数学理论》，创立了信息论。该理论以“熵”作为信息不确定性的度量，定义了信道容量、冗余度等核心概念，为通信工程提供了严格的数学框架。信息论的诞生迅速引发了学界对更广泛信息处理问题的思考，其中包括如何确保信息在传输过程中不被未经授权的第三方所理解。
1.2 密码学的历史局限
在香农工作之前，密码学主要依赖经验性和启发式设计。古典密码（如凯撒密码、维吉尼亚密码）在数学上缺乏严格的安全性证明，密码分析者往往依靠语言统计规律（如字母频率）进行破译。尽管一些密码在特定条件下难以破解，但设计者无法给出“任何攻击者都不可能成功”的理论保证。这种模糊性使得密码学长期被视为一门“技艺”而非科学。
1.3 论文的定位与影响
香农意识到密码学本质上是通信问题的一个特殊分支：合法的通信双方希望安全地交换信息，而窃听者试图干扰或窃取信息。1949年发表的《保密系统的通信理论》正是将信息论的概念系统地移植到密码学中，首次建立了保密系统的数学模型，并给出了安全性判定的定量工具。该论文被誉为“密码学从艺术走向科学的转折点”，深刻影响了后续所有对称密码、公钥密码及现代安全协议的设计思路。
2 保密系统的数学模型
2.1 通信系统与保密系统的类比
香农指出，一个典型的通信系统包含信源、编码器、信道、解码器和信宿。保密系统则是在此基础上增加了一个“敌手”角色——窃听者，并引入密钥作为对抗手段。
2.1.1 发送方、接收方与窃听者
- 发送方：持有需要传输的秘密信息（明文），并负责使用密钥加密。
- 接收方：合法持有密钥，能从密文中正确恢复明文。
- 窃听者：可以完整获取密文，但不知道密钥；其目标是推测明文或密钥的信息。
2.1.2 加密与解密变换
加密是明文空间到密文空间的映射，由密钥参数化；解密则是其逆过程。形式上，对于任一明文 \(m\) 和密钥 \(k\)，加密变换 \(E_k(m) = c\) 产生密文 \(c\)，解密变换 \(D_k(c) = m\) 恢复明文。函数 \(E_k\) 和 \(D_k\) 必须满足对于所有 \(m\) 和 \(k\)，有 \(D_k(E_k(m)) = m\)。
2.2 保密系统的基本要素
2.2.1 明文空间、密文空间与密钥空间
- 明文空间 \(M\)：所有可能明文的集合。
- 密文空间 \(C\)：所有可能密文的集合。
- 密钥空间 \(K\)：所有可能密钥的集合。
三者均为有限集合（或可数无限集），且通常假定密钥空间与明文空间大小满足一定关系。
2.2.2 概率分布与先验知识
- 明文概率分布 \(P(M)\)：反映了发送方生成不同明文的自然概率，例如自然语言中字母或短语的统计规律。
- 密钥概率分布 \(P(K)\)：通常假设密钥是均匀随机选取的，且与明文独立。
- 密文概率分布 \(P(C)\)：由明文和密钥的联合分布通过加密变换导出。
2.2.3 密码分析者的知识假设
香农假设密码分析者完全了解系统的加密和解密算法，但不知道具体使用的密钥。分析者只能利用截获的密文以及明文、密钥的先验概率分布来推断信息。这一“柯克霍夫原则”在密码学中被广泛接受：系统的安全性不应依赖于算法的保密，而应依赖于密钥的保密。
3 香农熵与保密性
3.1 信息熵在密码学中的定义
信息熵是衡量随机变量不确定性的基本量。在密码学中，熵被用于量化攻击者获取信息所需付出的代价。
3.1.1 明文熵与密钥熵
- 明文熵 \(H(M)\)：反映明文中包含的平均信息量。例如，英文文本的熵远低于纯随机字符串，因为语言具有结构规律。
- 密钥熵 \(H(K)\)：表示密钥的不确定性。若密钥长度为 \(n\) 比特且均匀随机，则 \(H(K) = n\)。
3.1.2 条件熵与疑义度
| 条件熵 \(H(M | C)\) 表示已知密文后明文仍保留的不确定性，香农将其称为“疑义度”。同样地，\(H(K | C)\) 是已知密文后密钥的疑义度。疑义度越大，表明系统越安全，因为分析者排除错误明文的难度越大。 |
|---|
3.2 完善保密性
3.2.1 定义与必要条件
| 如果对于任意密文 \(c\)，明文的后验分布等于其先验分布，即 \(P(m | c) = P(m)\) 对所有 \(m\) 和 \(c\) 成立，则称该保密系统达到完善保密性。换言之，密文不向攻击者提供任何有关明文的额外信息。必要条件之一为：密钥空间的大小不小于明文空间的大小，且密钥必须均匀随机选取。 |
|---|
3.2.2 一次一密的范例
一次一密（One-Time Pad）是实现完善保密性的经典范例。其工作方式如下：
- 密钥长度等于明文长度且为随机比特串；
- 加密采用异或运算：\(c = m \oplus k\)；
- 解密为 \(m = c \oplus k\)。
| 若密钥只使用一次且完全随机，则密文是均匀分布的，与明文无关，满足 \(P(m | c) = P(m)\)。该方案被香农证明是理论上不可破译的，但其密钥分发与管理成本极高，限制了实际应用。 |
|---|
3.2.3 完善保密系统的密钥容量下界
香农进一步证明：对于任意完善保密系统，密钥熵 \(H(K)\) 必须至少等于明文熵 \(H(M)\)。若密钥空间小于明文空间，系统不可能达到完善保密性。这一下界揭示了“无条件安全”所需的代价——密钥长度不能低于待加密信息的“信息含量”。
3.3 冗余与密码分析
3.3.1 自然语言的冗余度
自然语言（如英语）并非完全随机：字母组合存在统计规律，如字母“e”出现频率高、单词之间有空格、语法结构限制等。这种统计规律构成冗余。在信息论中，英文的冗余度约为50%，即实际信息内容只占编码长度的一半左右。
3.3.2 冗余对保密性的削弱作用
明文冗余为密码分析提供了突破口。即使攻击者不知道密钥，他们也可利用冗余规则（如英语中常见的字母对“th”或单词“the”）来猜测密文对应的可能明文。冗余越高，攻击者在尝试猜测时排除错误选项的速度越快，从而缩短破译时间。
3.3.3 唯一解距离
唯一解距离 \(d\) 定义为：当攻击者截获足够长的密文时，能够唯一确定正确密钥（或明文）的密文长度下限。其公式为： \[ d = \frac{H(K)}{R} \] 其中 \(R\) 为语言的冗余度。例如，对于英文文本，冗余度约为3.5比特/字母（按每字母约1.5比特有效信息计算），若密钥熵为128比特，则唯一解距离约为37个字母。这意味着，一旦截获的密文超过此长度，理论上有足够冗余使分析者可以唯一地确定密钥。唯一解距离是评估系统抵抗“穷举攻击”所需信息量的重要指标。
4 保密系统的分类与特性
4.1 理想保密系统与实用保密系统
4.1.1 理论安全性与计算安全性
- 理论安全性（亦称无条件安全性）：系统在无限计算能力下仍不可破译。一次一密是唯一达到此级别的实用方案。
- 计算安全性：系统在有限计算资源（如时间、内存）下是安全的。现代密码系统通常强调“足够大的攻破代价”，如破解DES需要几十亿年，而非绝对无法破解。
4.1.2 混淆与扩散
香农提出了设计实用密码的两大准则：
- 混淆：使密文与密钥之间的统计关系尽可能复杂化，掩盖密钥的痕迹。
- 扩散：将明文中一位的影响扩散到密文的多位，从而消除统计模式。乘积密码（如S-P网络结构）正是通过交替运用混淆和扩散来实现高安全性。
4.2 常见密码体制的信息论分析
4.2.1 置换密码与替换密码
- 置换密码：仅重新排列明文中的符号位置，不改变符号本身值。由于符号频率分布保持不变，攻击者可轻易通过频率分析进行破解。
- 替换密码：将每个符号按固定映射替换为另一符号。单表替换密码保留了频率模式，冗余度很高，唯一解距离极短（通常几十个符号即可破解）。
4.2.2 维吉尼亚密码与循环密钥
维吉尼亚密码使用一个短密钥（如单词“KEY”）对明文进行模26加法，密钥循环使用。由于密钥的周期性，密文中的重复模式泄漏了密钥长度。香农的分析表明，循环密钥系统等效于一个密码系统，其密钥空间大小等于密钥长度 \(L\) 的 26 次方，但冗余和模式可利用统计方法降低有效安全性。唯一解距离与密钥长度成正比，但远小于一次一密的理论下限。
4.2.3 乘积密码与迭代结构
乘积密码通过多次交替应用替换和置换操作，使明文和密钥的统计特征被充分“搅拌”。香农将这一思想抽象为“乘积系统”——将多个弱密码组合成一个强密码。现代分组密码（如DES、AES）都采用迭代结构，在每一轮中应用混淆（通过S盒）和扩散（通过P盒或线性变换），从而在计算上达到高度的扩散和混淆。这一设计理念直接源于香农在1949年论文中的构想。
5 保密系统的评价指标
5.1 密钥空间大小与密钥熵
密钥空间大小（即可能密钥的数量）是抵抗穷举攻击的首要防线。密钥熵 \(H(K)\) 则进一步考虑了密钥的分布均匀性。如果密钥分布不均匀，攻击者可以优先尝试概率高的密钥，从而降低实际安全性。因此，好的保密系统要求密钥均匀随机选取，且密钥长度足够长，使穷举搜索在计算上不可行。
5.2 密文与明文之间的统计独立性
| 完善保密性要求密文与明文统计独立，即 \(P(c | m) = P(c)\) 对任意 \(m\) 成立。对于实用系统，虽然不能完全独立，但设计者会力求降低二者间的相关性。可以通过计算互信息 \(I(M;C)\) 来量化：若 \(I(M;C) = 0\)，则系统为完善保密；若 \(I(M;C)\) 很小但非零，则系统存在可被利用的统计泄露。 |
|---|
5.3 计算复杂度与破译工作量
对密码系统的评价还包括已知攻击下的计算工作量。通常以“比特安全”来度量，例如一个针对128位密钥的密码系统，若穷举搜索需要 \(2^{128}\) 次操作，则称其提供128比特的安全强度。更复杂的攻击（如线性密码分析、差分密码分析）也会被纳入考量：系统需满足所有已知攻击模式下所需的运算次数显著大于阈值（如 \(2^{80}\)），以确保实用性。
6 后续发展与应用
6.1 对现代密码学的影响
6.1.1 对称密码设计（如DES、AES）
香农提出的混淆与扩散准则直接指导了20世纪70年代至21世纪对称密码的设计。数据加密标准（DES）采用Feistel结构，通过16轮迭代实现扩散与混淆；高级加密标准（AES）则基于SPN（替换-置换网络）结构，利用字节代替（混淆）和行移位/列混淆（扩散）来达到安全目标。这些设计都严格遵循香农提出的数学原则。
6.1.2 公钥密码的理论起源
尽管公钥密码（如RSA、ECC）的核心思想与香农的对称模型不同，但香农对计算安全性的定义——即系统在有限资源下难以攻破——为公钥密码提供了理论基础。此外，公钥密码中的单向函数概念（易于正向计算、难以逆向求解）也可视为香农“保密性来自计算复杂度”思想的一种延伸。
6.2 信息论密码学的新方向
6.2.1 量子密码与无条件安全
量子密码（如BB84协议）借助量子力学的不确定性原理和不可克隆定理，实现了理论上不可破译的密钥分发。这与香农的完善保密性一脉相承——量子密钥分发生成的随机密钥可用于一次一密，从而达到无条件安全。香农的数学框架依然适用于分析量子密码中的密钥容量和安全距离。
6.2.2 物理层安全与窃听信道
在无线通信中，物理层安全利用信道噪声和衰落特性，在窃听者的信道质量劣于合法接收者时，实现无需额外密钥的保密传输。香农在论文中提出的“窃听信道模型”被直接用于分析此类系统的保密容量——即合法信道与窃听信道之间的信息论差异。该方向延续了香农对通信与保密统一建模的思路，至今仍是通信安全研究的前沿领域。
（全文完）