完美保密

完美保密要求即使无限算力的攻击者观察密文，明文的后验分布仍与先验完全相同，不改变其对任何明文的判断；等价地，任意两明文诱导同一密文分布。它对无界攻击者成立，不依赖计算困难，因此密钥必须携带足够的新鲜不确定性。定义只讨论机密性，密文是否可篡改、消息长度是否泄露和密钥如何共享都需另行处理。

一次一密中，设消息与均匀密钥都是 $n$ bit。对任意 $m,c$，唯一密钥 $k=m\oplus c$ 使其对应，故 $P(C=c\mid M=m)=2^{-n}$。这一概率与 $m$ 无关，所以无论消息先验是否均匀，都有 $I(M;C)=0$。若密钥空间小于消息空间且要求正确解密，就不可能对所有消息达到完美保密。

这说明正确使用的一次一密满足完美保密；现代块密码通常只追求计算安全理路计算安全Computational security仅要求任何资源受限攻击者的成功优势足够小的安全概念。，因为短密钥重复使用无法满足这一强定义。对特定退化消息分布，“攻击者本来就知道消息”会让某些方案看似不泄露，但标准定义要求对允许的所有明文或分布成立。重复使用同一密钥处理多条消息会把联合密文纳入观察，单次边缘安全不能保住联合安全。具体地，$C_1\oplus C_2=M_1\oplus M_2$；若两条消息独立且均匀，各条密文单独都不泄漏消息，联合密文却直接揭示二者的异或关系。

完美保密是信息论密码学的基准，并导出密钥长度下界和一次一密的最优性。一次一密理路一次一密One-time pad使用与消息等长的均匀随机密钥并只使用一次的异或加密方案。实现该目标，Shannon 下界理路完美保密密钥下界Shannon key-length bound · Perfect secrecy lower bound从零错误解密与完美保密推导密钥熵和密钥空间下界，区分消息先验、一次一密与计算安全扩展。说明在正确解密 $H(M\mid K,C)=0$ 与完美保密下满足 $H(M)=H(M\mid C)=I(M;K\mid C)\le H(K)$；互信息理路互信息Mutual information用联合分布相对独立边缘乘积的 KL 散度量化统计依赖。的零值给出信息论表述，计算语义安全则把无界观察者下的绝对独立放松为指定游戏中 PPT 对手的可忽略优势。

两门混淆电路的联合掩码证明理路不经意传输与两门混淆电路Oblivious transfer and garbled circuits · 1-out-of-2 OT · 两门混淆电路在理想OT下逐位计算AND后接XOR，并用独立表项掩码证明双方静态半诚实视图的完美模拟。为每个隐藏表项分配独立随机串，先处理第一门，再处理依赖中间标签的第二门。这个顺序保证完整视图可模拟，单独证明每格边缘均匀仍不够。

窃听信道容量理路窃听信道与保密容量Wiretap channel secrecy capacity · Secrecy capacity通过可靠传输与信息论保密两个同时成立的条件，刻画窃听信道中可以隐藏的消息速率。利用合法端与窃听端观察质量的差异，在无预共享密钥的信道模型中寻求可靠且渐近保密的速率。强保密要求整段消息的互信息泄漏趋零，仍不同于本页每个有限实验中严格独立的完美保密；其容量公式还取决于给定转移概率与随机化编码能力。