课程导入：密码学的定义、发展简史、学习目标、课程框架与典型应用场景

密码学（Cryptology）是研究信息安全中保密性、完整性、真实性与不可否认性实现技术的学科，它由两个分支构成：密码编码学（Cryptography，研究如何设计加密算法与安全协议）和密码分析学（Cryptanalysis，研究如何在未知密钥条件下破解或削弱密码体制）。从古罗马的凯撒位移到现代量子密钥分发，密码学始终围绕一个核心矛盾展开：合法通信方如何以可计算的方式保护信息，同时使非法获取者在有限计算资源下无法破解。本课程将系统性地建立从古典密码到后量子密码的完整知识体系，帮助你理解密码算法背后的数学原理、工程实现约束以及真实系统中的部署逻辑。

1.1 密码学的定义与核心概念

密码学并非仅仅指"加密"这一动作，而是一个包含算法设计、协议构造、安全证明、工程实现与攻击评估的完整学科。在正式定义中，一个密码体制（Cryptosystem）由五元组构成：明文空间 M、密文空间 C、密钥空间 K、加密算法 E 与 解密算法 D。加密过程可表示为 c = Ek(m)，解密过程为 m = Dk(c)，其中 k ∈ K 为通信双方共享或通过某种机制协商的密钥。需要特别强调的是，现代密码学遵循柯克霍夫原则（Kerckhoffs's Principle）：密码体制的安全性不应依赖于算法的保密，而应完全依赖于密钥的保密。这意味着算法可以公开评审、公开部署，只要密钥不被泄露，系统就是安全的。

从安全目标来看，密码学需要解决四个核心问题：机密性（确保非授权者无法读取信息内容）、完整性（确保信息在传输或存储过程中未被篡改）、真实性（确认通信对方的身份以及信息来源的可靠性）、不可否认性（发送方无法否认其发送过某条消息）。这四者并非总是同时需要，例如在公开网页中，完整性比机密性更重要；而在军事通信中，机密性则排在首位。理解不同应用场景对安全目标的优先级排序，是设计密码方案的第一步。

1.2 密码学发展简史：从古典到后量子

密码学的发展大致可分为三个阶段，每个阶段都由当时的技术条件和安全需求驱动。

1976 年 Diffie 和 Hellman 发表的《密码学的新方向》是密码学史上的分水岭，它首次提出了公钥密码的概念，解决了对称密码中密钥分发困难的问题。1978 年 RSA 算法问世，基于大整数分解难题实现了公钥加密与数字签名。此后，椭圆曲线密码（ECC）以更短的密钥长度提供了同等安全强度，成为现代移动设备和区块链系统的首选。进入 21 世纪，量子计算的发展对 RSA/ECC 构成根本性威胁，NIST 于 2016 年启动后量子密码标准化项目，2024 年已选定 CRYSTALS-Kyber（密钥封装）和 CRYSTALS-Dilithium（数字签名）作为首批标准算法。

1.3 课程学习目标与能力框架

本课程共 30 章，旨在帮助你建立从理论到实战的完整密码学能力。完成本课程后，你将能够：

• 理解核心原理：掌握对称加密（AES、ChaCha20）、公钥加密（RSA、ECC）、哈希函数（SHA-2/3、BLAKE2）、消息认证码（HMAC、CMAC）的数学基础与构造逻辑。
• 识别安全风险：能够分析常见密码误用（如 ECB 模式泄露明文模式、随机数重用导致私钥恢复）并设计防御方案。
• 掌握协议设计：理解 TLS 1.3、SSH、IPsec 等真实协议中密码组件的组合方式，能够设计简单的安全通信协议。
• 具备工程实践能力：使用 OpenSSL、Python cryptography 库实现加解密、签名、密钥交换，并了解侧信道攻击的防御措施（常数时间实现、掩码等）。
• 跟踪前沿发展：了解后量子密码、同态加密、安全多方计算等前沿方向的基本原理与应用场景。

课程内容分为五个模块：基础数学与古典密码（第1-5章）、对称密码与哈希（第6-12章）、公钥密码与密钥管理（第13-20章）、安全协议与实战（第21-26章）、前沿专题（第27-30章）。每个模块都配有代码示例、CTF 练习题和真实案例复盘，确保理论与实践不脱节。

1.4 典型应用场景与安全属性映射

密码学已经渗透到数字世界的每一个角落。下表梳理了典型应用场景及其依赖的核心密码组件：

以 HTTPS 为例，一次简单的网页访问背后涉及至少四种密码学操作：证书验证（使用 CA 的公钥验证服务器证书的签名）、密钥协商（通过 ECDHE 实现前向保密的会话密钥生成）、数据加密（使用 AES-GCM 加密 HTTP 请求与响应）、完整性校验（GCM 模式同时提供认证标签）。任何一个环节的密码学误用——例如服务器私钥泄露、随机数生成器被植入后门、证书验证逻辑跳过——都可能导致整个安全体系崩溃。

1.5 案例拆解：一个典型的密码学误用场景

为了让你直观感受密码学在实际系统中的重要性，我们分析一个真实发生过的事件：某物联网设备厂商使用 ECB 模式加密固件更新包。

背景与约束：该厂商生产智能门锁，固件通过 OTA（Over-The-Air）方式更新。设备资源受限（CPU 主频 100MHz，RAM 64KB），工程师为了"简单高效"，直接使用 AES-128-ECB 加密固件镜像，密钥硬编码在设备 Flash 中。

初始现象：安全研究人员在分析固件时发现，固件中大量重复的 16 字节块（例如全零填充区域、相同配置字段）在密文中呈现出完全相同的密文块。通过对比不同版本的固件，攻击者能够识别出哪些区域被修改，从而定位关键代码逻辑。

分析判断过程：ECB 模式的最大缺陷在于：相同的明文块必然产生相同的密文块，这泄露了明文的统计结构。对于固件镜像这种高度结构化的数据（包含大量重复的头部信息、对齐填充、常量数据），ECB 模式完全无法隐藏数据模式。攻击者无需解密即可获得敏感信息——例如判断固件中是否包含特定功能的代码段。

实际操作步骤：攻击者下载两个版本的固件（v1.0 和 v1.1），按 16 字节对齐比较密文块。发现 v1.1 相比 v1.0 在偏移 0x4000 处新增了 32 个不同的密文块，推测该区域是新增的"远程开锁"功能代码。进一步通过差分分析定位到具体函数入口，为后续逆向工程提供了精确线索。

结果与代价：该漏洞被公开后，厂商被迫紧急发布固件更新，将加密模式改为 AES-256-CBC + HMAC-SHA256，并引入密钥派生机制（每台设备使用唯一密钥）。整个修复周期耗时 3 个月，直接经济损失超过 200 万美元，品牌声誉受损。

复盘经验：这个案例揭示了三个关键教训：第一，加密模式的选择与算法本身同等重要，ECB 模式在任何场景下都不应使用；第二，密钥管理是密码系统中最薄弱的环节，硬编码密钥等于没有加密；第三，安全评估必须包含威胁建模——如果工程师提前思考"攻击者能拿到什么数据、能做什么分析"，就能避免这一低级错误。