XOR 加密与一次一密

XOR 加密很简单：密文 = 明文 XOR 密钥。当密钥真正随机且仅使用一次时，我们就得到了 OTP——唯一能够被证明无法破解的密码。

key = bytes([0x5A, 0xF2, 0x3C, 0x11]) plaintext = bytes([0x48, 0x65, 0x6C, 0x6C]) # 'Hell' ciphertext = bytes(p^k for p,k in zip(plaintext,key)) # 结果：0x12 0x97 0x50 0x7D

解密与加密相同： plain = cipher XOR key 证明：(P XOR K) XOR K = P XOR (K XOR K) = P XOR 0 = P 因此，XOR 密码天然就是对称的。

一次一密（OTP）使用与消息等长的随机密钥，并且密钥恰好使用一次。它在理论上无法破解：每个密文都能以相同概率解密为任意可能的明文。

Claude Shannon 于 1949 年证明：当且仅当密钥是随机的、长度至少与消息相同，并且最多使用一次时，密码才具有完美保密性。OTP 是唯一符合这些条件的实用密码。

密钥必须与消息等长。密钥必须安全地分发。密钥绝不能重复使用。这些限制使 OTP 不适用于大多数应用。

如果 C1 = P1 XOR K 且 C2 = P2 XOR K，那么 C1 XOR C2 = P1 XOR P2。密钥会相互抵消！攻击者拥有两个密文后，就能得到 P1 XOR P2，从而泄露其中的模式。

如果攻击者猜中了 P1 的一部分（例如 ' the ' 这样的“猜测短语”），就可以在每个位置将它与 P1 XOR P2 进行 XOR，从而显示对应的 P2 文本。经过逐步推断，完整明文就会被恢复。

Venona 项目解密了数千条苏联一次一密消息，因为 KGB 特工在战争压力下重复使用了密钥纸带。密钥重复使用破坏了理论上完美的加密。

现代流密码（ChaCha20、RC4）会生成伪随机密钥流，并将其与明文进行 XOR。它们近似实现了 OTP，但使用的是由 CSPRNG 扩展的短密钥。

import os def otp_encrypt(plaintext: bytes) -> tuple: key = os.urandom(len(plaintext)) ciphertext = bytes(p^k for p,k in zip(plaintext,key)) return ciphertext, key ciphertext, key = otp_encrypt(b'Secret!')

XOR 和一次一密是密码学的基础。接下来我们将研究朴素的 XOR 方案为何在实践中会失败，以及哪些攻击会利用密钥重复使用。