形式陈述

分组密码是由密钥索引的固定长度置换族 $E_k:\{0,1\}^n\to\{0,1\}^n$$E_k:\{0,1{\}}^n\to \{0,1{\}}^n$，每个 $E_k$$E_k$ 可逆且有解密 $D_k=E_k^{-1}$$D_k=E_k^{-1}$。理想安全模型把它与随机置换比较，常用 PRP/strong-PRP 定义。分组密码本身只能处理一个固定长度分组；模式或认证方案决定长消息、随机化和完整性。

直觉

密钥选择一张巨大的可逆替换表，把每个 $n$$n$ 比特分组唯一映到另一个分组。

例子与边界

AES 的分组长度是 128 位，密钥长度可为 128/192/256 位。ECB 逐块独立应用置换，会泄露重复块；CBC、CTR、GCM 等模式具有不同 nonce 和安全条件。分组密码不是一般意义的哈希函数，因为它在固定密钥下可逆。

推论与应用

分组密码是对称加密、MAC、认证加密、伪随机函数和存储加密的核心原语。

参考资料

• Dan Boneh and Victor Shoup, A Graduate Course in Applied Cryptography, version 0.6, 2023，Parts I–III。
• Jonathan Katz and Yehuda Lindell, Introduction to Modern Cryptography, 3rd ed., CRC Press, 2020，Chs. 2–12。