1 定义与数学基础
完美保密（Perfect Secrecy）是密码学中信息论安全性的最高标准，由克劳德·香农在1949年系统建立。其核心在于：即使攻击者拥有无限计算资源，也无法从密文中获得关于明文的任何信息。
1.1 香农完美保密的正式定义
香农定义了完美保密的数学条件，奠定了信息论密码学的基础。
1.1.1 后验概率等于先验概率
对于任意明文消息\(m\)和任意密文\(c\)，若方案满足完美保密，则攻击者观察到密文\(c\)后对明文\(m\)的猜测概率，与未观察密文前的概率完全相同。形式化表述为：\(P[M=m \mid C=c] = P[M=m]\)。这意味着密文本身不提供任何区分不同明文的能力。
1.1.2 互信息为零
从信息论角度，完美保密等价于明文\(M\)与密文\(C\)之间的互信息为零，即\(I(M;C)=0\)。互信息衡量两个随机变量的依赖程度，其值为零意味着两者统计独立，密文完全不包含关于明文的任何信息。
1.2 完美保密的等价条件
香农推导出实现完美保密的必要条件，这些条件揭示了该概念的严苛性。
1.2.1 密钥熵不小于明文熵
密钥的熵（衡量不确定性）必须至少等于明文的熵。这要求密钥的随机性不能低于明文的随机性，否则攻击者可通过密钥的不确定性不足而获取部分信息。
1.2.2 密文数量至少与明文数量相等
为了实现一一对应的加密映射，密文空间的大小必须不小于明文空间。换句话说，不同的明文应映射到不同的密文，否则存在碰撞可能导致歧义。
1.3 香农信道容量视角
香农将保密系统类比为有噪声信道。在完美保密中，密钥充当“噪声”的来源，使密文看起来像是从均匀分布中产生的，从而掩盖明文的统计规律。从信道容量的角度，完美保密要求信道输出（密文）的统计特性与输入（明文）无关。
2 历史与发展
完美保密的概念并非一蹴而就，而是经历了漫长的演化。
2.1 古代与近代的保密雏形
古罗马的凯撒密码、16世纪维吉尼亚密码等早期加密方案，虽未达到完美保密，但已体现了“隐藏信息”的基本思想。然而，这些方案均存在可被频率分析等统计方法攻破的弱点。19世纪末，电报时代催生了更复杂的密码机，但仍未解决信息论层面的安全性问题。
2.2 香农的《保密系统的通信理论》（1949）
1949年，香农发表了划时代论文《保密系统的通信理论》，首次严格定义了完美保密。他将信息论中的熵、互信息等概念引入密码学，证明了一次性密码本满足完美保密，并揭示了所有完美保密方案必须满足密钥长度不小于明文长度的下界。这篇论文是现代密码学的奠基之作。
2.3 完美保密与现代密码学的关系
完美保密为密码学提供了理论天花板。
2.3.1 与计算安全性的对比
完美保密是信息论安全的无条件下界，而现代实用密码（如AES、RSA）基于计算安全性——依赖攻击者计算能力有限的事实。计算安全的方案可能被拥有无穷算力的攻击者破解，但完美保密则免疫于任何算力。因此，实用方案往往在效率与安全性之间权衡。
2.3.2 量子密码学中的类似概念
量子密钥分发（QKD）利用量子力学原理，理论上可实现信息论安全的密钥协商。其安全性不依赖计算假设，与完美保密的“无条件”精神一脉相承。一些量子加密协议可被视为完美保密在量子领域的拓展。
3 实现方案：一次性密码本
一次性密码本是唯一被证明能实现完美保密的古典加密方案。
3.1 工作原理
其运作基于一个简单但严苛的规则。
3.1.1 密钥的随机性与长度限制
密钥必须是真正的随机比特串，且长度至少与明文相同。密钥不能用于加密超过一次，否则将破坏完美保密。任何伪随机生成器或重用都会使安全性降级。
3.1.2 加密与解密过程
加密时，将明文与密钥按位进行异或（XOR）运算，得到密文。解密时，将密文与密钥再次异或，还原明文。由于XOR运算的可逆性和均匀性，密文呈现为随机噪声。
3.2 香农对一次性密码本完美保密的证明
香农证明：给定一个均匀随机的密钥，对于任意固定密文，所有明文等可能地对应某个密钥，因此攻击者无法获得任何优势。数学上，\(P(M=m \mid C=c) = P(M=m)\)成立，当且仅当密钥均匀随机且与明文独立。
3.3 应用限制与替代方案
尽管理论上完美，一次性密码本在实际中面临重大挑战。
3.3.1 密钥分发问题
发送者和接收者必须预先共享等长的随机密钥。在需要传输大规模数据时，密钥的生成、传输和存储成本极高，甚至无法实现。这被称为“密钥分发问题”，是阻碍广泛使用的根本原因。
3.3.2 经典替代：量子密钥分发（QKD）
QKD通过量子信道分发密钥，理论上能检测窃听，并提供信息论安全的密钥。结合一次性密码本，QKD可实现端到端的完美保密通信，但受限于量子信道距离和硬件成本，目前尚未大规模商用。
4 性质与推论
完美保密的本质导致了若干重要性质。
4.1 完美保密下的密文长度下界
根据香农下界，任何完美保密方案中，密文长度必须至少等于明文长度。如果密文更短，则必然丢失信息，导致攻击者能排除某些明文。
4.2 完美保密与不可分辨性的等价关系
完美保密等价于“密文不可分辨性”：攻击者无法区分两个等长明文的密文。这一定义在现代密码学中被广泛用于构建安全性证明。
4.3 多消息条件下的完美保密
在一次一密后，重复使用密钥会导致灾难性后果。
4.3.1 一次一密对多次重复使用的脆弱性
若用相同密钥加密两条消息，攻击者可通过异或两条密文得到两明文的异或值，从而泄露信息。历史上，苏联的维诺那计划（Venona project）就是利用一次一密密钥重用而破译。
4.3.2 流密码与伪随机数的陷阱
实用中常用的流密码使用伪随机数生成器代替真随机密钥，这降低了安全性。伪随机数本质上具有周期性和可预测性，无法满足完美保密的真随机性要求。
5 完美保密的否定结论
这些结论决定了完美保密在现实世界的局限性。
5.1 香农下界：任何完美保密方案必须满足密钥长度 ≥ 明文长度
这是完美保密的基本不可能性定理。若密钥更短，则无法通过信息论方法掩盖明文的全部统计信息。
5.2 有限密钥熵下的不可能性
密钥熵必须至少等于明文熵。如果密钥的随机性不足（例如密钥熵小于明文熵），攻击者总能利用信息论的不等式推导出部分信息。
5.3 实际密码系统对完美保密的妥协
现代密码系统（如AES、RSA）放弃完美保密，转而采用计算安全假设。它们使用短密钥和高效算法，但依赖于数学问题的难解性（如大整数分解）。这种妥协换来了实用性与效率。
6 相关概念与延伸
6.1 信息论安全与计算安全的区别
信息论安全不预设攻击者的计算能力，而计算安全假设攻击者受限于多项式时间。完美保密是信息论安全的特例，而计算安全则常见于日常使用的协议（如HTTPS）。
6.2 语义安全与完美保密的关联
语义安全（Semantic Security）是计算安全版本的“完美保密”，要求多项式时间攻击者无法从密文获取任何有意义的信息。它是现代公钥密码的安全性定义，也是完美保密的弱化版。
6.3 一次性密码本在流行文化中的梗
一次性密码本因其极端性而衍生出不少幽默梗。
6.3.1 电影《模仿游戏》中的引用
该电影中，图灵团队使用的恩尼格玛密码机并非一次性密码本，但情节中提到了“绝对安全”的密码概念，常被观众关联到一次性密码本。
6.3.2 “钥匙长过锁”的幽默类比
网络迷因中常调侃：“一次性密码本是终极的防盗锁，但钥匙比锁还长，你只好把钥匙贴在锁旁边。” 这讽刺了密钥分发问题的荒谬困境。
7 参考文献与推荐阅读
7.1 经典教材
- 斯托林斯（William Stallings）《密码编码学与网络安全》
- 卡茨（Jonathan Katz）和林德尔（Yehuda Lindell）《现代密码学导论》
7.2 香农原始论文
- Shannon, C. E. (1949). "Communication Theory of Secrecy Systems". *Bell System Technical Journal*, 28(4), 656-715.
7.3 现代密码学延伸读物
- Menezes, A., van Oorschot, P., & Vanstone, S. (1996). *Handbook of Applied Cryptography*.
- Schneier, B. (2015). *Applied Cryptography* (20th Anniversary Edition).