形式陈述

对称加密方案是三算法组

$$ \Pi=(\operatorname{Gen},\operatorname{Enc},\operatorname{Dec}). $$$$\mathrm{\Pi }=(\mathrm{Gen},\mathrm{Enc},\mathrm{Dec}).$$

$\operatorname{Gen}(1^\lambda)$$\mathrm{Gen}(1^{\lambda })$ 随机产生共享密钥 $k$$k$；$\operatorname{Enc}_k(m;r)$${\mathrm{Enc}}_k(m;r)$ 可使用随机性 $r$$r$ 输出密文 $c$$c$；$\operatorname{Dec}_k(c)$${\mathrm{Dec}}_k(c)$ 输出明文或失败符号 $\bot$$\mathrm{\perp }$。正确性要求对所有合法消息 $m$$m$，

$$ \Pr_{k,r}[\operatorname{Dec}_k(\operatorname{Enc}_k(m;r))=m] $$$${\text{Pr}}_{k,r}[{\mathrm{Dec}}_k({\mathrm{Enc}}_k(m;r))=m]$$

为 $1$$1$ 或至少为 $1-\operatorname{negl}(\lambda)$$1-\mathrm{negl}(\lambda )$，具体依方案定义。

直觉

发送方与接收方持有同一秘密，使用它把明文变成可公开传输的密文，再恢复原文。正确性只保证能解密；保密性必须由额外安全实验定义。

例子与边界

一次一密是对称加密，但要求密钥与消息等长且只能安全使用一次。现代方案常用 nonce 或随机 IV；nonce 的唯一性、随机性要求由模式决定。仅有加密而无认证时，攻击者可能篡改密文而不知明文，因此“保密”不自动给出完整性。

推论与应用

对称加密是流密码、分组密码模式和认证加密的抽象接口。工程上通常采用 AEAD，把机密性、密文完整性及关联数据认证组合在明确的 nonce 使用规则下。

参考资料

• Dan Boneh and Victor Shoup, A Graduate Course in Applied Cryptography, version 0.6, 2023，Chs. 2–6。
• Jonathan Katz and Yehuda Lindell, Introduction to Modern Cryptography, 3rd ed., CRC Press, 2020，Chs. 2–4。