概述： 一次一密（One-time pad，简称OTP）是一种对称加密算法，其核心特征是使用与明文等长的、真正随机且永不重复的密钥进行异或（XOR）运算。该方案由克劳德·香农在信息论框架下证明为“无条件安全”——只要密钥保密且仅使用一次，密文便不泄露任何关于明文的统计信息。然而，密钥分发与管理的极端苛刻要求（密钥长度≥明文、密钥必须真随机、密钥必须绝对同步销毁）使其在实际应用中仅适用于高安全场景（如热线电话）或作为理论完美加密的标杆。
1.1 数学描述
1.1.1 异或加密公式
设明文为P，密钥为K，密文为C，三者均为长度相等的二进制比特串。加密过程定义为按位异或运算：C = P ⊕ K。其中⊕表示逻辑异或，运算规则为：相同为0，不同为1。例如，若P=1010，K=0110，则C=1100。
1.1.2 解密的可逆性
由于异或运算满足自反性：对于任意比特x，有(x ⊕ k) ⊕ k = x。因此解密过程为：P = C ⊕ K。加密与解密使用完全相同的操作，只需交换明文与密文的位置即可。这种对称性使得一次一密的实现极为简洁，但同时也要求密钥必须绝对保密。
1.2 香农的完美保密性证明
克劳德·香农于1949年在论文《保密系统的通信理论》中证明，一次一密达到完美保密性（Perfect Secrecy）。数学定义为：密文C与明文P的互信息为零，即I(P;C)=0，或者说密文不携带任何关于明文的信息。这意味着无论攻击者拥有多少计算资源，都无法从密文中推导出明文的任何信息（除了长度相等外），因为任何可能的明文都与该密文等概率对应。这一结论基于密钥完全随机且仅使用一次的假设。
2.1 密钥必须为真随机
2.1.1 伪随机数生成器的致命缺陷
伪随机数生成器（PRNG）依赖确定性的数学算法和初始种子。如果攻击者能推断出种子或生成算法，就能重现整个密钥序列。例如，线性同余发生器的输出具有可预测的周期性。使用PRNG的一次一密实际上退化成了流密码，其安全性仅依赖于计算复杂度而非信息论保障。历史上，某些系统因误用伪随机数导致密钥被破解。
2.1.2 量子随机数生成器的理想化尝试
量子随机数生成器利用量子力学中的不确定原理（如光子偏振或量子隧穿效应）产生真正不可预测的随机数，理论上满足真随机要求。然而，其输出速率和长距离分发仍是工程难题。目前尚无法大规模替代传统真随机源（如热噪声），且设备本身存在侧信道攻击风险。
2.2 密钥不得重复使用
2.2.1 重复使用的灾难性后果：两明异或攻击
若同一密钥K加密两条明文P₁和P₂，得到C₁=P₁⊕K，C₂=P₂⊕K。攻击者可计算C₁⊕C₂ = P₁⊕P₂。该异或结果暴露出两条明文之间的差异，配合语言统计模式（如英文中常见字母E、空格频率）即可逐个破解。此攻击被称为“两明异或攻击”，在一次一密重复使用时几乎是致命的。
2.2.2 历史案例：Venona项目揭秘
二战及冷战初期，苏联曾多次重复使用一次性密码本，向美国大使馆传送情报。美国情报机构“Venona项目”利用这一缺陷，通过分析重复密钥的异或结果，结合间谍习惯和语言规律，部分破译了数千份密文，暴露了数名潜伏间谍。这是历史上最著名的一次一密误用案例。
2.3 密钥长度必须不小于明文
2.3.1 压缩密钥的徒劳尝试
若密钥长度小于明文，则必须通过某种方式扩展密钥（如重复或使用算法）。此时加密退化为流密码或分组密码，安全性依赖于算法的计算困难性，而非信息论保障。例如，使用短密钥循环生成密钥流，就可能因周期性和统计模式被分析者利用。唯一例外是“绝对随机”的无限长密钥，但这在物理上不可实现。
2.3.2 “无限密钥”的哲学困境
从理论上看，一次一密要求密钥长度与明文严格相等。如果密钥长度无限，则需要无限存储空间，这在现实中不可能。这引出一个哲学矛盾：加密必须提供与信息量相等的随机资源，而随机资源的生成和分发本身就构成了一个元问题——你如何安全地传递比信息本身还长的密钥？这个困境被称为“密钥分发悖论”。
3.1 密钥生成与分发难题
3.1.1 传统信使的物理风险
生成足够长度的真随机密钥后，必须通过物理方式（如信使、公文包、外交邮袋）将其送达通信双方。信使可能遭遇截获、贿赂或事故。密钥对的安全完全依赖于信使和运输通道的物理安全，而这在现实中极难保证。冷战时期，一次一密的密钥常以“便签本”形式由外交官携带，一旦丢失后果不堪设想。
3.1.2 量子密钥分发（QKD）的尴尬互补
量子密钥分发（QKD）理论上能检测窃听，生成理论上安全的共享密钥，但恰恰无法解决一次一密本身的两大瓶颈：QKD产生的密钥速率极低（通常<1 Mbps），且传输距离受限（光纤数百公里），与一次一密要求的长密钥和实时通信形成“尴尬互补”——你需要长密钥，但QKD却生成得更慢。二者就像一对永远赶不上时间的恋人。
3.2 密钥同步与销毁
3.2.1 一次一密CD-ROM的存储冷笑话
早期曾设想将真随机密钥刻录在CD-ROM中分发，但CD-ROM容量固定且不易销毁。一个经典冷笑话是：某机构为一次一密烧录了整整100GB的密钥光盘，结果发现如果要加密一封10KB的电子邮件，你必须先送上光盘——而光盘本身就能装下信使。更讽刺的是，如果密钥光盘落入敌手，则所有使用该盘加密的信息全部作废。
3.2.2 “烧掉便签”的实战礼仪
实际操作中，使用后的密钥必须立即销毁，通常采用物理方式：烧掉、撕碎、溶解或销毁存储介质。美国国家安全局（NSA）的操作手册曾规定，每次通信后密钥页必须当场销毁，并由见证人记录。这种“烧掉便签”的仪式感，既是无奈之举，也是一种黑色幽默——加密本身足够完美，但人的操作可能毁掉一切。
3.3 用户错误：史上最昂贵的错别字
一次一密的用户错误往往代价高昂。一个传闻中的案例：某国外交官在加密敏感电报时，因手误将密钥中的一个比特写反（0写成1），导致密文无法正确解密，收件方反复尝试无果后认定明文被篡改，最终引发外交危机。更常见的情况是用户不小心复用同一密钥页，导致Venona式的灾难。这类“错别字”因密钥长度通常很大而难以发现，一旦发现往往已过去多年。
4.1 政府热线（红机背后的数学）
冷战时期，美苏之间的“红色电话”热线并非传统电话，而是一个基于一次一密加密的电传系统。密钥以磁带形式由信使定期交换。每次通话前，双方加载相同的密钥磁带，确保绝对保密。尽管通信延迟高且密钥分发繁琐，但政要们一致认为，“用100米长的密钥纸带换一次通信安全，值得”。
4.2 军事通信：潜艇上的纸带机
潜艇部队因长时间潜伏在深海，无法接收实时密钥更新。一次一密成为理想选择：出海前，潜艇携带大量预先生成的密钥纸带（物理存储于防水容器中），每次与岸上通信时消耗一卷。纸带机的机械噪声和纸带物理长度限制了通信速度，但确保了绝对安全。美国海军曾使用“KY-28”设备实现此类加密。
4.3 密码学课堂的万能案例
在密码学教学中，一次一密作为“完美保密的唯一范例”，是每个学生必学的内容。教授常常调侃：“请用一次一密加密一个字节——然后告诉我你怎么安全传递那个字节长的密钥。”这个案例完美演示了理论安全与实用性的矛盾。
4.4 流密码的“借壳”误解
4.4.1 流密码与一次一密的本质区别
流密码（如RC4、Salsa20）同样使用异或操作，但其密钥流由短密钥通过伪随机算法生成。一次一密的密钥流必须为真随机，且不允许重复或周期，而流密码的密钥流是确定性的（给定种子可复现）。简言之，一次一密是信息论安全，流密码是计算安全。
4.4.2 为什么你手机里的AES-CTR不是一次一密
AES-CTR模式使用一个短密钥（例如128位）和一个计数器生成伪随机密钥流，再与明文异或。虽然加密操作看似与一次一密相似，但密钥流并非真随机，且理论上可被穷举攻击（128位密钥需2^128次尝试）。此外，计数器可能回绕导致密钥流重复，这完全违背了“一次一密”的“一次”原则。因此，称AES-CTR为“一次一密”是一种科普误导。
5.1 电影《模仿游戏》中缺失的椭圆
在电影《模仿游戏》中，艾伦·图灵破解恩尼格玛密码机，但一次一密始终是未能攻克的目标。片中图灵的一句经典台词——“解密需要无限的计算能力，而一次一密本身就是无限”——尽管未被直接表现，但密码学爱好者常调侃该片“缺失了椭圆”（指一次一密在故事中的缺席），因为现实中如果德国使用了真正的一次一密，图灵可能就会失业。
5.2 网络段子：“我换了WiFi密码——现在它是一次一密了”
互联网上流传着一个著名段子：某人宣称“我把WiFi密码改为一次性密码——每连接一次就换一个”，结果被群嘲：“那你的手机每次都要上传一个新密码，然后那个新密码又需要一次一密来加密，无限套娃。”这揭示了“一次一密”在实际生活中的荒诞性。
5.3 密码学面试送命题：请用一次一密加密一个字节
密码学面试中常出现一道“送命题”：面试官要求用一次一密加密一个字节（例如‘A’）。应聘者若真写出数学过程，面试官会追问：“你怎么传递那一个字节的密钥？”如果应聘者回答“用之前的一次一密”，则陷入无限递归。若回答“物理交换一本包含所有可能的密钥页的笔记本”，则等同于否决了一次一密的意义。这个问题被认为是“哲学陷阱，无完美答案”。