Lecture 3 Perfect Secrecy and OTP

1. 完美保密的等价刻画

Lecture 2 用后验分布不变、不同明文的密文分布相同、区分游戏三个角度描述保密性。先证明它们确实表达同一性质，之后就可以选最方便的形式分析方案。

1.1 后验不变与密文分布相同

令 $K\leftarrow \mathsf{Gen}$，并记

$$q_m(c):=\mathrm{Pr}[{\mathsf{Enc}}_K(m)=c].$$

$q_m(c)$ 描述固定消息 $m$ 的加密结果分布，概率取自密钥及加密随机性，不依赖先验中消息 $m$ 是否有正概率。

定理：完美保密的分布刻画

方案完美保密，当且仅当对于任意 $m_0,m_1\in \mathcal{M}$ 和任意 $c\in \mathcal{C}$，都有 $q_{m_0}(c)=q_{m_1}(c)$。

证明“完美保密 $\Rightarrow$ 分布相同”：取一个对每条消息都赋予正概率的先验分布（有限消息空间可取均匀分布）。对 $\mathrm{Pr}[C=c]>0$ 的 $c$，Bayes 公式给出

$$q_m(c)=\frac{\mathrm{Pr}[M=m\mid C=c]\mathrm{Pr}[C=c]}{\mathrm{Pr}[M=m]}=\mathrm{Pr}[C=c].$$

右侧与 $m$ 无关。若 $\mathrm{Pr}[C=c]=0$，在这个满支撑先验下，所有 $q_m(c)$ 都为 0，结论也成立。

证明“分布相同 $\Rightarrow$ 完美保密”：记共同分布为 $q(c)$。对任意先验分布，

$$\mathrm{Pr}[C=c]=\sum _{m\in \mathcal{M}}\mathrm{Pr}[M=m]q_m(c)=q(c)\sum _m\mathrm{Pr}[M=m]=q(c).$$

因此对 $\mathrm{Pr}[C=c]>0$ 的 $c$，

$$\mathrm{Pr}[M=m\mid C=c]=\frac{q_m(c)\mathrm{Pr}[M=m]}{\mathrm{Pr}[C=c]}=\mathrm{Pr}[M=m].$$

证明思路：为什么可以不枚举所有先验分布

每条固定消息先决定一种密文分布。如果这些分布全部相同，任意消息先验只是将同一个分布按不同权重混合，结果不会改变。于是观察到密文无法说明原来选择了哪条消息。反过来，若完美保密对所有先验都成立，就选一个每条消息都有正概率的先验，用 Bayes 公式比较所有消息即可。

1.2 与区分游戏的等价性

分布刻画还允许把“没有额外信息”转换为具体的攻击游戏，后续计算安全也会沿用这种表达。

定理：完美保密等价于完美不可区分

对任意攻击者 $\mathcal{A}$，窃听游戏的获胜概率恰为 $1/2$，当且仅当方案完美保密。攻击者在这里不受计算能力限制。

若完美保密，则两条候选明文产生相同的密文分布。即使给定攻击者选出的消息及其内部状态，密文也不能帮助判断均匀比特 $b$，所以获胜概率为 $1/2$。

反过来，若不完美保密，则存在 $m_0,m_1,c^{\ast }$，不妨设

$$q_{m_0}(c^{\ast })>q_{m_1}(c^{\ast }).$$

攻击者提交这两条消息，收到 $c^{\ast }$ 就猜 0，否则猜 1。其成功率为

$$\begin{array}{rl}\mathrm{Pr}[b^{\prime }=b]& =\frac{1}{2}{q}_{m_0}(c^{\ast })+\frac{1}{2}(1-q_{m_1}(c^{\ast }))\\ & =\frac{1}{2}+\frac{1}{2}(q_{m_0}(c^{\ast })-q_{m_1}(c^{\ast }))>\frac{1}{2}.\end{array}$$

因此不满足完美不可区分性。

2. 移位密码为什么不能保护长消息

单个字母在均匀密钥下确实完美保密，但对整条消息重复使用同一个移位量，会保留字母之间的关系。

例题：用两条消息完全区分移位密码

选择 $m_0=\text{aa}$、$m_1=\text{ab}$。

• 加密 $\text{aa}$ 时，两个密文字母一定相同。
• 加密 $\text{ab}$ 时，两个密文字母一定不同。

检查密文的两个字母是否相同就能确定挑战位，获胜概率为 1。该攻击不需要恢复密钥，也不需要英语频率分析。

3. 一次一密（One-time Pad，OTP）

要消除重复密钥造成的结构，可以给每个消息比特配一个独立均匀的密钥比特。

构造：一次一密

固定长度 $n$，令 $\mathcal{M}=\mathcal{K}=\mathcal{C}=\{0,1{\}}^n$。

• $\mathsf{Gen}$：独立于消息，均匀采样 $k\leftarrow \{0,1{\}}^n$。
• ${\mathsf{Enc}}_k(m)=m\oplus k$。
• ${\mathsf{Dec}}_k(c)=c\oplus k$。

$\oplus$ 表示按位异或；一个密钥只用于加密一条消息。

由异或的性质，正确性立即成立：

$${\mathsf{Dec}}_k({\mathsf{Enc}}_k(m))=(m\oplus k)\oplus k=m.$$

3.1 OTP 的完美保密性

现在检验安全性：关键是固定任意明文和密文后，恰有一个密钥能将二者对应起来。

定理：OTP 完美保密

对任意消息分布，只要密钥独立、均匀且只使用一次，OTP 都满足完美保密。

对任意固定 $m,c\in \{0,1{\}}^n$，

$$\mathrm{Pr}[{\mathsf{Enc}}_K(m)=c]=\mathrm{Pr}[K=m\oplus c]=2^{-n}.$$

这一分布与 $m$ 无关，由分布刻画可知完美保密。也可对任意消息先验直接计算

$$\mathrm{Pr}[C=c]=\sum _m\mathrm{Pr}[M=m]2^{-n}=2^{-n},$$

再用 Bayes 公式得到 $\mathrm{Pr}[M=m\mid C=c]=\mathrm{Pr}[M=m]$。均匀的是密钥，消息不需要均匀。

证明思路：密文为什么无法排除任何消息

看到某个密文后，每条候选明文都能解释它，只需要搭配密钥 $m\oplus c$。所有这些密钥出现的概率相同，所以密文不会偏向支持某条消息。消息原本更常见或更罕见的程度保留不变。

3.2 为什么同一个密钥只能使用一次

单条密文的安全，不代表多条密文放在一起仍然安全。若同一密钥用于两次加密，

$$c_1=m_1\oplus k,c_2=m_2\oplus k,$$

则攻击者能计算

$$c_1\oplus c_2=m_1\oplus m_2.$$

这泄露了明文之间的关系。如果知道 $m_1$，还可以直接恢复 $m_2=c_1\oplus c_2\oplus m_1$。因此，均匀密钥也不能通过直接重复使用来保护多条消息。

4. 完美保密的密钥长度下界

OTP 的密钥与消息等长，管理和分发密钥的成本很高。接下来问：保持完美保密时，能否换一种方案来缩短密钥？

定理：密钥空间至少与消息空间一样大

对有限消息空间和密钥空间，任何满足正确性与完美保密的私钥加密方案，都满足

$$|\mathcal{K}|\ge |\mathcal{M}|.$$

证明：反设 $|\mathcal{K}|<|\mathcal{M}|$。令消息在 $\mathcal{M}$ 上均匀分布，固定一个满足 $\mathrm{Pr}[C=c]>0$ 的密文 $c$。

对每个固定密钥 $k$，由正确性，同一个合法密文 $c$ 最多能由一条明文加密得到，否则解密不能总是正确。于是，能够在某个密钥下产生 $c$ 的消息集合

$${\mathcal{M}}_c:=\{m\in \mathcal{M}:\exists k\in \mathcal{K},\mathrm{Pr}[{\mathsf{Enc}}_k(m)=c]>0\}$$

满足

$$|{\mathcal{M}}_c|\le |\mathcal{K}|<|\mathcal{M}|.$$

因此存在 $\hat{m}\notin {\mathcal{M}}_c$，其先验为正，但观察 $c$ 后概率变为 0：

$$\mathrm{Pr}[M=\hat{m}]=\frac{1}{|\mathcal{M}|}>0,\mathrm{Pr}[M=\hat{m}\mid C=c]=0.$$

这与完美保密矛盾。该论证允许加密使用随机性，只要求正确性。

证明思路：为什么数密钥就够了

固定看到的密文后，每个密钥至多能给出一种合法的明文解释。如果密钥数少于消息数，总有一些消息无法解释这个密文。攻击者因而能排除这些原本可能出现的消息，说明密文已经泄露信息。

若消息空间是全部 $\ell$ 位串，密钥空间包含在 $n$ 位串中，则

$$2^n\ge |\mathcal{K}|\ge |\mathcal{M}|=2^{\ell },n\ge \ell .$$

因此在这一要求下，OTP 已达到最短的定长密钥长度。困难来自完美保密本身，不能单靠更巧妙的构造避开。

5. 转向计算安全

为了用较短密钥保护较长消息，可以放宽安全要求：只考虑计算资源受限的攻击者，并允许相对于随机猜测存在极小的优势。

Lecture 4 将用概率多项式时间和可忽略函数精确定义这两项限制。这里放宽的是攻击者可获得的有效优势，不是允许合法接收者经常解密错误。