形式陈述

令消息空间、密钥空间和密文空间均为有限群 $G$$G$。密钥 $K$$K$ 在 $G$$G$ 上均匀选择且只使用一次，加密与解密为

$$ C=MK,\qquad M=CK^{-1}. $$$$C=MK,M=C{K}^{-1}.$$

对任意 $m,c\in G$$m,c\in G$，恰有一个密钥 $k=m^{-1}c$$k=m^{-1}c$ 把 $m$$m$ 映到 $c$$c$；因此每个固定明文诱导同一均匀密文分布。位串版本取 $G=(\{0,1\}^n,\oplus)$$G=(\{0,1{\}}^n,\oplus )$，此时加密写作 $C=M\oplus K$$C=M\oplus K$。

直觉

同一密文可由每个候选明文配上唯一密钥得到，而这些密钥等可能；观察密文不会改变候选明文之间的相对概率。

例子与边界

密钥必须均匀、秘密、覆盖整个消息群且绝不复用。位串密钥复用会泄露 $c_1\oplus c_2=m_1\oplus m_2$$c_1\oplus c_2=m_1\oplus m_2$。Vernam 异或只是运算形式；缺少一次性均匀密钥时不构成一次一密。

推论与应用

一次一密实现完美保密，并达到 Shannon 密钥长度下界的典型极限。代价是预先安全分发与消息等量的独立密钥材料。

参考资料

• Dan Boneh and Victor Shoup, A Graduate Course in Applied Cryptography, version 0.6, 2023, Chapter 2.
• Jonathan Katz and Yehuda Lindell, Introduction to Modern Cryptography, 3rd ed., CRC Press, 2020, Chapter 2.