加密方案

内部随机币 $r$ 由加密算法新鲜抽取，不进入调用者必须管理的公开协议状态。nonce-based 接口则显式写作

其中 nonce $N$ 通常公开，安全实验会规定由谁选择、是否要求唯一，以及重用时保证怎样降级。把 nonce 当成“可重复的随机币”会同时写错接口和安全边界；相同 nonce 下仍安全属于 misuse-resistant 等更强目标，不从通用语法自动获得。

认证加密还可带关联数据 $A$，使其不被加密却受完整性绑定；流式或 record-layer 方案可能维护状态并返回新状态。此时应把完整调用元组 $(N,A,m)$ 和状态转移写进接口，解密失败也要明确是否消耗 nonce、序号或接收窗口。核心三算法仍提供共同骨架，但不能用无状态公式遮住实现可观察的状态变化。

私钥与公钥两条分支 ​

在对称加密公理库对称加密Symmetric encryption · Secret-key encryption发送方与接收方共享密钥的加密、解密算法体系。中，持有 $ek$ 就通常也持有 $dk$；安全游戏向攻击者提供加密 oracle，模拟它能选择消息并取得加密结果。在公钥加密公理库公钥加密Public-key encryption加密密钥公开而解密密钥保密的加密体系。中，攻击者直接得到 $pk=ek$，本来就能运行加密算法，因而相同选择明文能力不需要额外 oracle。这是接口来源不同，不是两套互不相关的机密性概念。

通用语法也不声称两类方案能任意互换。私钥加密依赖预共享秘密，适合高吞吐数据；公钥加密解决开放发送接口，却还需认证公钥并承担更高计算与密文膨胀成本。混合加密通常让公钥 KEM 建立会话密钥，再由对称 DEM 加密正文，其组合安全需要单独定理。

安全目标怎样接入 ​

IND-CPA公理库选择明文安全Chosen-plaintext attack security · CPA security对手可自适应查询所选明文加密时仍不能区分挑战消息的安全定义。在这个接口上加入等长挑战消息与加密访问，要求攻击者不能辨认挑战来自哪条消息。IND-CCA公理库选择密文安全Chosen-ciphertext attack security · CCA security对手还可查询非挑战密文解密时仍保持消息不可区分的安全定义。继续开放受限制的解密查询，检验相关密文和错误反馈是否泄漏挑战。它们共享 $\mathrm{Gen}/\mathrm{Enc}/\mathrm{Dec}$ 语法，却要根据私钥、公钥、nonce、关联数据和状态分支准确规定 oracle。

消息长度、密文长度、访问模式和错误时间并不会因“加密”二字自动隐藏。若方案只承诺等长消息不可区分，密文长度仍可泄漏长度；若抽象解密只返回一个 $\mathrm{\perp }$，实现却区分 padding、标签和解析错误，安全实验与现实接口便不一致。阅读安全定理时应先核对语法，再核对攻击者权限和泄漏函数。

接口边界中的实例 ​

一次一密符合三算法语法并达到单次使用下的完美保密，但密钥长度与消息相同，重复使用会暴露明文异或；正确接口和使用次数都是结论的一部分。Textbook RSA 也能在合适消息集合上正确解密，却是确定且可塑的，不满足一般 IND-CPA。两个例子分别说明：通用语法负责让问题可陈述，不把任何安全等级预装进定义。

哈希、数字签名公理库数字签名Digital signature由私钥签名、公开验证并提供不可伪造性的认证机制。和密钥交换不是缺少 Dec 名字的加密方案变体。哈希没有配对密钥与可逆正确性，签名验证不恢复消息，密钥交换让双方共同导出秘密而不直接加密任意正文。只有接口和目标都对齐时，才能复用加密安全游戏。

通用接口的作用，是让正确性、安全性与泄漏分别拥有可检查的量词。构造具体协议时，应先固定密钥角色、随机性来源、nonce 与状态，再选择匹配的 IND-CPA、IND-CCA 或认证加密目标；如果调用接口发生变化，安全实验也必须随之重写，而不是沿用旧结论。

这一分层也解释了混合加密的组合方式：密钥封装负责建立短期秘密，数据封装负责处理正文，各自正确性和安全性通过组合定理连接。组合前仍要核对公钥认证、密钥派生、关联数据、错误处理与 nonce 生命周期，因为三算法语法本身不会替协议补上这些条件。