流密码

流密码从短密钥和 nonce 生成计算上不可预测的伪随机长序列，再与明文逐位或逐字节组合，通常采用 XOR，以此替代 OTP（一次一密）的真正随机长密钥。正因如此，同一密钥下重复 nonce 会复用密钥流，立即暴露明文异或。流密码本身通常可塑，不提供标签就无法检测主动篡改。

流密码按 nonce 和密钥生成密钥流，再与消息逐符号组合；分组密码公理库分组密码Block cipher由密钥索引固定长度消息空间上的可逆置换族。直接给固定块上的密钥置换，长消息语义由工作模式补充。两者可互相构造某些功能，却在状态同步、随机访问和 nonce/IV 使用规则上不同。

加密 $c=m\oplus KS(k,nonce)$。若两个消息复用同一 $(k,nonce)$，则 $c_1\oplus c_2=m_1\oplus m_2$。攻击者还可翻转密文某 bit，使解密明文对应 bit 可预测翻转。

这正是同一密钥流加密 $m,m^{\prime }$ 时出现的“两次一密”泄漏。nonce 可以公开，但必须满足方案要求，在许多方案中要求唯一而非随机保密。密钥流不能跨消息随意续用而忽略同步，丢字节会导致后续解密错位。由于裸流密码只提供机密性，实践中应使用 ChaCha20–Poly1305 等 AEAD 提供认证。

流密码适合低延迟、任意长度数据和软件实现，通常由 伪随机生成器公理库伪随机生成器Pseudorandom generator · PRG把短均匀种子扩展为计算上不可与均匀串区分的长输出。/PRF 思想构造，是 对称加密公理库对称加密Symmetric encryption · Secret-key encryption发送方与接收方共享密钥的加密、解密算法体系。 的一类实现。一次一密公理库一次一密One-time pad · Vernam cipher使用与消息等长的均匀随机密钥并只使用一次的异或加密方案。 提供信息论参照，流密码常与 MAC 组合成 认证加密公理库认证加密Authenticated encryption · AE同时提供机密性与密文完整性的对称加密接口和安全目标。，补上完整性与 associated data。