定义

定义 1（对称加密方案 · Symmetric Encryption Scheme） 由密钥空间 $\{K_\lambda\}$、消息空间 $\{M_\lambda\}$、密文空间 $\{C_\lambda\}$ 与两个算法 $(\mathrm{Enc}, \mathrm{Dec})$ 组成： $\mathrm{Enc}_\lambda : K_\lambda \times M_\lambda \to C_\lambda, \qquad \mathrm{Dec}_\lambda : K_\lambda \times C_\lambda \to M_\lambda.$ 正确性：对每个 $\lambda$、每个 $m \in M_\lambda$、每个 $k \in K_\lambda$， $\mathrm{Dec}_\lambda(k, \mathrm{Enc}_\lambda(k, m)) = m.$

定义

定义 2（Take 1 · 完美保密） 对每个 $\lambda$、每对消息 $m_0, m_1 \in M_\lambda$： $\mathrm{Enc}(k, m_0) \equiv \mathrm{Enc}(k, m_1), \quad k \xleftarrow{R} K_\lambda,$ 其中 $\equiv$ 指两个分布完全相同：$\forall c,\ \Pr_k[\mathrm{Enc}(k,m_0)=c] = \Pr_k[\mathrm{Enc}(k,m_1)=c]$。

定义

定义 6 前身（Take 2） 对所有 $\ell$、所有 $(m_1,\dots,m_\ell)$ 与 $(m_1',\dots,m_\ell')$： $(\mathrm{Enc}(k,m_1),\dots,\mathrm{Enc}(k,m_\ell)) \equiv (\mathrm{Enc}(k,m_1'),\dots,\mathrm{Enc}(k,m_\ell')).$

定义

定义 4（可忽略 · Negligible） $\mu:\mathbb{N}\to\mathbb{N}$ 可忽略：对每个 $c$，存在 $n_c$，使 $\forall n > n_c$ 有 $\mu(n) < n^{-c}$。

定义

定义 5（计算不可区分 · Computational Indistinguishability，记作 $\approx$） 分布族 $A=\{A_\lambda\}$ 与 $B=\{B_\lambda\}$ 计算不可区分，若对每个 PPT 区分器 $\mathcal{D}$，存在可忽略 $\mu$，使 $\big|\Pr[\mathcal{D}(a)=1] - \Pr[\mathcal{D}(b)=1]\big| \le \mu(\lambda),\quad a\leftarrow A_\lambda,\ b\leftarrow B_\lambda.$

定义

定义 6（Take 3） 把 Take 2 里的 $\equiv$ 换成 $\approx$： $(\mathrm{Enc}(k,m_1),\dots) \approx (\mathrm{Enc}(k,m_1'),\dots).$

定义

定义 7（CPA 安全 · 抗自适应选择明文攻击） 方案 $(\mathrm{Enc},\mathrm{Dec})$ CPA 安全，若对每个 PPT 敌手 $\mathcal{A}$ 存在可忽略 $\mu$，使其在下述游戏中获胜概率至多 $\tfrac12 + \mu(\lambda)$：

1. 挑战者选密钥 $k \leftarrow K_\lambda$。
2. 学习阶段：$\mathcal{A}(1^\lambda)$ 选 $m_i$，得到 $c_i \leftarrow \mathrm{Enc}_\lambda(k,m_i)$；可重复多项式次。
3. 挑战阶段：$\mathcal{A}$ 选 $m_0, m_1$；挑战者掷 $b \leftarrow \{0,1\}$，回 $c \leftarrow \mathrm{Enc}(k, m_b)$。
4. $\mathcal{A}$ 输出 $b'$，当 $b' = b$ 时获胜。 :::

🔎 直觉：即使敌手能先随意点播任意明文的加密（学习阶段），仍无法在挑战阶段分辨加密的是 $m_0$ 还是 $m_1$。这要求 Enc 必须随机化——否则学习阶段查一下 $m_0, m_1$ 的密文，挑战时比对即可。

4. 构造 CPA 安全方案

4.1 理想版：无限随机密码本

观察：若密钥是一个真正随机函数 $F:\{0,1\}^\lambda \to \{0,1\}$（相当于无限长密码本），则可每次取一段新鲜的"伪密码本"： $\mathrm{Enc}(F, m) = (r,\ F(r) \oplus m),\qquad \mathrm{Dec}(F,(c_1,c_2)) = F(c_1) \oplus c_2,$ $r \xleftarrow{R} \{0,1\}^\lambda$。只要加密次数远小于 $2^{\lambda/2}$，由生日界几乎不会出现 $r$ 重复（一旦 $r$ 不重，每条都退化为一次性 OTP，安全）。

⚠️ 问题：真正的随机函数无法存储/计算。于是引入它的高效"赝品"——PRF。

4.2 伪随机函数（PRF）

定义 8（伪随机函数 · Pseudorandom Function, PRF） 函数族 $\{F_\lambda\}$，$F_\lambda : K_\lambda \times X_\lambda \to Y_\lambda$，是 PRF，若对每个 PPT 敌手 $\mathcal{A}$ 存在可忽略 $\mu$，对每个 $\lambda$： $\Big| \Pr\big[\mathcal{A}^{F_\lambda(k,\cdot)}(1^\lambda)=1\big] - \Pr\big[\mathcal{A}^{R_\lambda(\cdot)}(1^\lambda)=1\big] \Big| \le \mu(\lambda),$ 其中 $k \xleftarrow{R} K_\lambda$，$R_\lambda : X_\lambda \to Y_\lambda$ 为真随机函数；$\mathcal{A}$ 对其预言机（$F_\lambda(k,\cdot)$ 或 $R_\lambda$）有自适应查询权。具体可设 $X=\{0,1\}^n,\ Y=\{0,1\}^m$。