7.1 密码学基础
本篇定位：信息安全 = 全卷第一主战场（9 年均值 15.6 题，区间 14–17）。本章是全篇地基：加密是身份认证、数字签名、PKI、网络攻击与防御的共同底层。 数据依据：
01-真题/考点汇总/9 份逐年汇总 +01-真题/真题文本/原文核对（答案以真题原文为准）。 阅读提示：术语首次出现先给精确定义；"真题锚点"格式 = 年份 + 单/多 + 题号。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| 对称加密 | 2024 单 70（对照）、2023 单 72（混合中出场） | 2 | 参数辨析（分组/密钥长度）、与混合加密结合 |
| 非对称加密 | 2021 单 70、2026 单 40 | 2 | 选"说法错误的"、选"属于非对称的算法" |
| 混合加密 | 2023 单 72 | 1 | 直接问"加密明文的密钥是哪个" |
| 哈希/消息摘要 | 2020 单 76 | 1 | MD5 vs AES 对密码保护的正确叙述 |
| 国产密码 | 2024 单 70 | 1 | 选"说法错误的"（SM 系列参数辨析） |
| 古典密码（凯撒） | 2026 单 61 | 1 | 场景题：判断加密方法名称 |
| 链路加密 vs 端到端 | 2023 单 71 | 1 | 定义辨析（"每一位都加密"） |
| 量子密钥分发 QKD | 2026 单 72 | 1 | 直接问"主要目的是" |
命题规律：本章考点几乎不考复杂计算，考概念辨析 + 场景判断；单选为主，多选偶见。高频命题手法＝"下列说法正确的是/错误的是""下列属于 X 的是"。2023–2026 连续 4 年每年必考密码学，且 2024 起新增国产密码、量子密钥等新考点——本章是信息安全篇性价比最高的一章。
二、知识框架（先搭骨架）
密码学（Cryptography）
├── 目标：机密性 / 完整性 / 身份认证 / 不可否认
├── 基本要素：明文 + 加密算法 + 密钥 → 密文（解密 = 逆过程）
├── 对称加密（加解密同一密钥）
│ ├── 分组密码：DES、AES、SM4、3DES（把明文切成固定长度块逐块加密）
│ └── 流密码：RC4（按比特/字节流连续加密）
├── 非对称加密（公钥/私钥一对）
│ ├── RSA（大数分解难题）、ECC（椭圆曲线）、SM2、ElGamal
│ └── 公钥加密私钥解密；私钥签名公钥验签
├── 混合加密（HTTPS/网银 U 盾的底层）
│ └── 非对称只传会话密钥，明文由对称密钥实际加解密
├── 哈希/消息摘要（不是加密！）
│ ├── MD5、SHA 系列、SM3
│ └── 不可逆、定长输出、雪崩效应 → 完整性校验、口令存储
├── 古典密码：凯撒（固定偏移替换）、维吉尼亚（多表替换）
├── 国产密码：SM1（不公开）、SM2、SM3、SM4、SM9
└── 量子密码：量子密钥分发（QKD）——生成并分发无条件安全的密钥
一句话记忆：对称快但密钥难分发；非对称安全但慢；混合各取所长；哈希管完整性不管机密性；国密是我国自主可控标准；量子管密钥分发不管数据加密。
三、考点详解
3.1 对称加密
精确定义：加密和解密使用同一个密钥的加密体制。发送方和接收方必须事先共享这一密钥。
- DES（数据加密标准）：分组密码，分组 64 位，密钥 56 位（实际密钥 64 位含 8 位校验）。
- AES（高级加密标准）：分组密码，分组 128 位，密钥支持 128/192/256 位。
- 流密码 vs 分组密码：流密码逐比特/字节加密（如 RC4）；分组密码把明文切成等长块逐块加密（如 DES/AES）。
- 优点：效率高，适合加密大数据量。
- 缺点（致命）：密钥分发困难——通信前必须先安全地共享密钥，密钥管理成本随通信对象数量爆炸（n 个人两两通信需 n(n−1)/2 对密钥）。
真题考法：2024 单 70 以国产密码 SM4 为壳考分组长度（见 3.5）；2026 单 40 问"属于非对称的算法"，干扰项即"流密码/分组密码/DES"（对称阵营）。
3.2 非对称加密
精确定义：加密和解密使用一对不同但数学相关的密钥（公钥 pub + 私钥 pri）的加密体制。公钥公开，私钥保密。
- RSA：基于大整数分解难题；ECC（椭圆曲线）：基于椭圆曲线离散对数难题，同等安全强度下密钥更短。
- 两个方向（必背，贯穿全篇）：
- 公钥加密、私钥解密 → 保证机密性（别人用你的公钥加密，只有你能解开）。
- 私钥签名、公钥验签 → 保证身份认证 + 不可否认 + 完整性（只有你能用私钥签，大家用你的公钥验证；第 7.2 章数字签名展开）。
- 优点：密钥分发问题大大缓解（公钥可公开）。
- 缺点：速度比对称加密慢 2–3 个数量级，只适合加密少量数据（如密钥、摘要）。
真题考法：2021 单 70 选"错误的说法"→ A"加密效率优于对称密钥加密的算法"是错误说法（非对称效率低）；2026 单 40 选"属于非对称加密的"→ RSA（干扰项全是对称）。
3.3 混合加密
精确定义：先用非对称加密安全地交换会话密钥，再用对称加密对实际明文数据加解密的组合方案。
为什么存在：非对称安全但慢，直接加密大数据量不现实；对称快但密钥分发不安全。混合加密让非对称只干"传钥匙"的活，对称干"搬数据"的活，各取所长。
过程（以 HTTPS 握手为例）：
- 客户端用服务器的公钥加密一个随机生成的会话密钥，发给服务器；
- 服务器用私钥解密得到会话密钥；
- 此后双方用**会话密钥（对称密钥）**加密所有实际通信数据。
真题考法（高频，必拿分）：2023 单 72 直接问"真正用来加解密通信过程中所传输数据（明文）的密钥是"→ 对称算法的密钥（B）。凡是问"实际加密明文的密钥"，答案永远是对称密钥/会话密钥，不是任何公钥私钥。
3.4 哈希 / 消息摘要
精确定义：把任意长度的输入，通过散列函数计算成固定长度输出的算法（如 MD5 输出 128 位、SHA-256 输出 256 位）。单向不可逆：只能由输入算出输出，不能由输出反推输入。
三个核心特性：
- 不可逆：无法从摘要还原原文；
- 定长输出：无论输入多长，输出长度固定；
- 雪崩效应：输入改变 1 个比特，输出面目全非。
用途：
- 完整性校验：比对传输前后的摘要，判断数据是否被篡改；
- 口令存储：数据库只存口令的摘要，不存明文；
- 数字签名的基础（先摘要后签名，第 7.2 章）。
⚠️ 关键区分：哈希不是加密！加密可逆（有密钥能解密还原），哈希不可逆。所以"MD5 加密"是口语误称，准确说法是"MD5 摘要/散列"。
真题考法（本书判断）：2020 单 76"分别利用 MD5 和 AES 对用户密码进行加密保护，叙述正确的是"→ 本书判 A（"MD5 只是消息摘要算法，不适宜于密码的加密保护"）。理由：①MD5 是消息摘要（哈希）算法，不是加密算法——"用 MD5 加密密码"本身就是概念错误，A 正确指出了这一点；②B"MD5 比 AES 更好，因为不能恢复密码"是错误比较——哈希与加密用途不同，不可直接比优劣，"不可逆"是哈希的特性而非"更好"的理由；③现代口令存储实践早已淘汰 MD5（彩虹表、快速碰撞、无盐），改用加盐强哈希（bcrypt/argon2）。⚠️ 常见答案给的是 B，本书不采信（详见本章"易错坑 3"）。
3.5 国产密码（SM 系列）
背景：我国自主设计、自主可控的商用密码算法标准，金融行业国产化替代的核心。必背参数表：
| 算法 | 类型 | 关键参数 | 一句话 |
|---|---|---|---|
| SM1 | 对称（分组） | 不公开，需硬件实现 | 国密里的"黑盒" |
| SM2 | 非对称 | 基于椭圆曲线（ECC） | 对标 RSA，用于签名/加密 |
| SM3 | 哈希 | 输出 256 位 | 对标 SHA-256 |
| SM4 | 对称（分组） | 分组 128 位 | 对标 AES，金融领域最常见 |
| SM9 | 标识密码 | 基于身份的密码体制 | 用邮箱/手机号等标识当公钥 |
真题考法（易错集中地）：2024 单 70"对于国产密码算法，说法错误的是"→ A"SM1、SM4 是对称加密算法，分组长度为 256 比特"是错误说法，SM4 分组是 128 比特，答案 A。SM4 分组 128 位 ≠ SM3 输出 256 位，两者极易混。
3.6 古典密码（凯撒）
精确定义：凯撒密码 = 把明文每个字母在字母表中固定偏移若干位替换成密文的最简单替换密码（对称的雏形，密钥即偏移量）。
例：明文 zhang，偏移 +3：z→c、h→k、a→d、n→q、g→j → 密文 ckdqj。解密反向偏移 −3 即可（z 之前循环回末尾）。
真题考法：2026 单 61 给场景"张三将明文 zhang 通过固定偏移量+3 加密为 ckdqj"，问这是什么加密方法 → 凯撒加密（B）。干扰项：哈希加密（不可逆、输出定长，明显不符）、量子加密（依赖量子力学，与字母偏移无关）。
3.7 链路加密 vs 端到端加密
| 维度 | 链路加密 | 端到端加密 |
|---|---|---|
| 加密范围 | 传输链路每一位都加密 | 只在源端加密、目的端解密 |
| 控制信息 | 路由信息、校验和等全部加密 | 路由信息等控制信息明文可见 |
| 中间节点 | 每跳都要解密再加密（节点需密钥） | 中间节点不解密，只转发密文 |
| 粒度 | 面向链路（物理/链路层） | 面向端系统（网络层以上） |
真题考法：2023 单 71 问"把网络上传输的数据报文的每一位进行加密，而且把路由信息、校验和等控制信息全部加密"是哪种方式 → 链路加密（A）。关键词"每一位 + 控制信息全部加密"直接锁定链路加密。
3.8 量子密钥分发（QKD）
精确定义：利用量子力学原理（量子不可克隆定理、测量导致量子态塌缩）在通信双方之间安全地生成并分发密钥的技术。
要点：
- 不是加密算法本身，而是"安全送钥匙"的手段；
- 安全性基于物理定律而非计算复杂度：窃听者一旦测量，量子态即被扰动，双方立刻发现 → 无条件安全（信息论意义下）；
- 分发的密钥通常用于对称加密（如 AES）加密后续业务数据。
真题考法：2026 单 72 问"量子密钥分发的主要目的是"→ 生成和分发无条件安全的密钥（B）。干扰项"实现超光速通信/提高传输速率/实现量子计算"均与量子密钥分发无关。
3.9 信息安全属性与安全服务（补强·判定题总开关）
五属性（CIA＋两补充）：
| 属性 | 含义 | 被破坏的典型场景 | 保护手段 |
|---|---|---|---|
| 机密性 | 未授权者看不到 | 窃听、嗅探、越权读取、泄露 | 加密、访问控制、脱敏 |
| 完整性 | 未被未授权篡改 | 篡改数据、中间人改包 | 摘要/哈希、数字签名、校验码 |
| 可用性 | 授权者能及时使用 | DDoS、勒索加密、删库、断电/火灾 | 冗余、备份、容灾、限流 |
| 不可否认性 | 事后不能抵赖 | 否认下过单/发过邮件 | 数字签名、时间戳、审计 |
| 可控性 | 信息与系统可掌控 | 无法追溯、无法阻断 | 审计、权限管理、监测 |
判定口诀：看不到=机密性；改不了=完整性；用不了=可用性；赖不掉=不可否认；管得住=可控性。 真题落点：纵火毁设备破坏可用性（及完整性）、不是机密性（2025 单67）；获取账户余额破坏机密性（2026 单70）；未授权获得数据访问权＝机密性（2021 单73）；DDoS＝可用性（2020 单63）；金融场景"安全工作首要目标"常表述为防信息泄露＋保业务连续（2025 单73）。
OSI 五类安全服务（X.800，穷举题）：
- 鉴别（对等实体鉴别、数据源鉴别）；
- 访问控制；
- 数据保密性（连接/无连接、业务流保密）；
- 数据完整性（连接/无连接、有恢复/无恢复）；
- 抗抵赖（有源证明＝证明谁发的、有交付证明＝证明谁收的）。
八种安全机制：加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制、公证。
题眼：内容"看不懂"⇒保密性服务；"证明发过/收过"⇒抗抵赖；"掩盖流量特征"⇒业务流填充；"第三方存证"⇒公证；"谁能访问什么"⇒访问控制。
3.10 密码学基础补：原则、攻击与分组模式（补强）
- 两个分支：编码学（设计密码）vs 密码分析学（破译）；五要素：明文、密文、密钥、算法、协议。
- Kerckhoffs 原则：安全性只依赖密钥保密，不依赖算法保密（算法应公开可审查）。
- 四类攻击（强度递增）：唯密文 → 已知明文 → 选择明文 → 选择密文。
- 安全强度：无条件安全（一次一密：密钥真随机、不重复、只用一次）vs 计算安全（破译代价大于收益）；生日攻击对 n 位哈希约需 2^(n/2) 次（MD5 128 位 ⇒ 约 2^64，这是它被判"不安全"的原因之一）。
五种分组工作模式（必背）：
| 模式 | 机制与特点 | 能否并行 | 错误传播 |
|---|---|---|---|
| ECB | 每块独立加密，相同明文块得相同密文块（暴露数据模式，不推荐） | 加解密都可 | 仅本块 |
| CBC | 链式，需初始化向量 IV；前块密文参与后块 | 解密可并行、加密不可 | 传播到后续块 |
| CFB | 密文反馈，流式 | 解密可并行 | 传播 |
| OFB | 密钥流与明文/密文无关（流式） | 可预处理 | 仅本块 |
| CTR | 计数器生成密钥流 | 加解密均可并行 | 仅本块 |
最常考一条：ECB 不隐藏数据模式（同一明文块加密结果相同，图像加密后仍能看出轮廓）；需要隐藏模式时选 CBC/CTR。 一次一密是唯一"理论不可破"的体制，但密钥分发与管理使其难以实用——这也是 QKD（量子密钥分发）要解决的问题。
四、易错坑汇总（命题人惯用陷阱）
- 分组长度 ≠ 密钥长度：DES 分组 64 位、密钥 56 位；SM4 分组 128 位。问"分组长度"别答成密钥位数。
- 对称 vs 非对称效率：非对称效率低于对称（2021 单 70 的坑——"非对称效率优于对称"是错误说法）。
- 2020 单 76 答案易混（常见误选 B vs 本书 A）：常见答案"MD5 比 AES 更好，因为不能恢复密码"（B），本书不采信，判 A（"MD5 只是消息摘要算法，不适宜于密码的加密保护"）。理由：①哈希≠加密，MD5 根本不能叫"加密"，A 的概念表述才正确；②"不可逆所以更好"是比较错误——哈希与加密用途不同，不可直接比优劣；③现代口令存储用加盐慢哈希（bcrypt/scrypt/argon2），MD5 因快速、可碰撞、无盐早已淘汰。⚠️ 备考注意：若考试遇到此题，命题视角可能偏教材（选 B），但本书按专业判断给 A 并说明理由，两种视角都讲清。
- 混合加密里"真正加密明文的是谁"：永远是对称密钥（会话密钥）（2023 单 72）。非对称只负责安全地传这把钥匙。
- 哈希不是加密：MD5/SHA 不可逆、定长输出，不能用于加解密数据；说"MD5 加密"是口语误称。
- SM4 分组 128 位 vs SM3 输出 256 位：一个是对称分组密码，一个是哈希，参数别混（2024 单 70）。
- 链路加密加密控制信息：路由信息、校验和全部加密是链路加密的标志（2023 单 71）；端到端加密不加密控制信息。
- QKD 管"钥匙"不管"数据"：问 QKD 目的选"生成分发密钥"，不选"加密数据/超光速通信"。
五、横向扩展（防漏网：本章知识边界内、真题尚未考但可能补考的点）
说明：横向扩展用于覆盖"大纲范围内但 9 年真题未考过"的知识，命题人可能随时补考。以下条目标注【新增概率】供取舍。
- 密码分析攻击类型【中】：唯密文攻击（只有密文）、已知明文攻击（有一组明文密文对）、选择明文攻击（可自选明文得密文）、选择密文攻击。按"攻击者掌握信息从少到多"排列理解。
- 中间人攻击（MITM）【高】：非对称加密若没有身份认证，攻击者可冒充通信双方各持一把密钥截获全部通信 → 这正是引入 CA 数字证书（第 7.2 章）的根本原因。理解"非对称≠安全，还要认证"。
- 生日攻击【低】：对哈希的碰撞攻击，约 √(2^n) 次尝试即有机会找到碰撞 → 哈希输出长度越长越安全（SHA-256 优于 MD5）。
- 一次性密码本（OTP）【低】：与明文等长的随机密钥、用一次即弃，理论无条件安全（与 QKD 分发的密钥可配合理解）；实际因密钥管理困难极少使用。
- 量子计算对 RSA 的威胁【中】：Shor 算法可在多项式时间内分解大整数，理论上可攻破 RSA → 后量子密码（格密码等）是演进方向。2027 年新增概率较高，与 QKD 考点配套记忆。
- 常见算法补充【低】：对称：3DES（三重 DES，兼容旧系统）、ChaCha20（流密码，TLS 1.4 可选）；非对称：ElGamal（基于离散对数）、DSA（数字签名算法）；哈希：SHA-1（已被证明可碰撞，淘汰）、SHA-3（新一代）。
- 金融场景落地【中】：网银 U 盾 = 非对称 + 数字证书（私钥存硬件，公钥经 CA 认证）；支付报文加密（对称密钥 + 非对称传密钥）；加密机/HSM（硬件安全模块，金融密钥的物理载体）。理解"技术怎么用在金融里"是场景化新题的方向。
- 密钥生命周期【低】：生成→分发→使用→更新→销毁；主密钥 vs 会话密钥：主密钥长期保护会话密钥，会话密钥短期用一次。
六、真题演练（代表性真题 + 解析）
例 1（2023 单 72） 在混合加密方式下，真正用来加解密通信过程中所传输数据（明文）的密钥是（口径已核）。 A. 非对称算法的公钥 B. 对称算法的密钥 C. 非对称算法的私钥 D. CA 中心的公钥
答案：B。混合加密 = 非对称传密钥 + 对称传数据。非对称加密计算成本高，只用于安全交换对称密钥（会话密钥）；一旦交换完成，实际数据通信全部用对称密钥加解密，因为对称加密处理大量数据效率更高。口诀：明文永远归对称管。
例 2（2024 单 70） 对于国产密码算法，下列说法错误的是（口径已核）。 A. SM1、SM4 是对称加密算法，分组长度为 256 比特 B. SM2 是非对称加密算法 C. SM3 是杂凑算法，杂凑值长度为 256 比特 D. SM9 是标识密码算法
答案：A。SM4 是中国自主研发的分组对称密码，分组长度为 128 比特，不是 256。SM2 非对称（椭圆曲线）、SM3 哈希输出 256 位、SM9 标识密码均正确。易混点：SM4 分组 128 vs SM3 输出 256。
例 3（2026 单 61） 张三将明文 zhang 通过固定偏移量+3 的方式加密为 ckdqj，这种加密方法属于（口径已核）。 A. 非对称加密 B. 凯撒加密 C. 哈希加密 D. 量子加密
答案：B。固定偏移量对字母循环替换（z→c、h→k、a→d、n→q、g→j）正是凯撒加密的定义——对称加密中最简单的古典密码，加解密用同一密钥（偏移量），算法完全可逆。哈希不可逆且输出定长，与字母偏移无关；量子加密依赖量子力学原理，用于密钥分发。
例 4（2023 单 71） 网络加密方式的（口径已核）是把网络上传输的数据报文的每一位进行加密，而且把路由信息、校验和等控制信息全部加密。 A. 链路加密 B. 节点对节点加密 C. 端对端加密 D. 混合加密
答案：A。链路加密对传输链路上的每一位加密，包括路由信息、校验信息、控制信息等全部加密；端到端加密只在源端和目的端加解密，中间节点能看到控制信息。关键词锁答案："每一位"+"控制信息全部加密" → 链路加密。
例 5（2026 单 40） 以下属于非对称加密的有（口径已核）。 A. 流密码 B. 分组密码 C. DES D. RSA
答案：D。RSA 基于大整数分解难题，是非对称加密的典型代表。流密码（如 RC4）和分组密码（如 DES、AES）都是对称加密的实现方式/算法。
例 6（2020 单 76） 分别利用 MD5 和 AES 对用户密码进行加密保护，以下叙述正确的是（口径已核）。 A. MD5 只是消息摘要算法，不适宜于密码的加密保护 B. MD5 比 AES 更好，因为不能恢复密码 C. AES 比 MD5 更好，因为不能恢复密码 D. AES 比 MD5 更好，因为可恢复密码
答案：A（本书判断；常见误选 B，不采信）。A 在概念上正确：MD5 是消息摘要（哈希）算法，不是加密算法，"用 MD5 对密码进行加密保护"本身就是概念错误——哈希单向不可逆、不能解密还原，与可逆的加密（AES）用途完全不同，因此"MD5 不适宜于密码的加密保护"成立。B"MD5 比 AES 更好，因为不能恢复密码"犯了比较错误：哈希与加密用途不可比，"不可逆"是哈希的特性而非"更好"的理由；且现代口令存储实践（加盐 bcrypt/argon2）早已淘汰 MD5（彩虹表、快速碰撞、无盐）。C、D 中"AES 不能恢复/可恢复"与事实矛盾（AES 可逆，密钥在手即可解密还原）。 ⚠️ 备考提示：此题常见答案为 B（"MD5 更好，因为不能恢复"），本书按专业判断判 A 并说明理由。考试若遇此题，两种视角都可能有命题人立场——理解"哈希≠加密、不可逆≠更好"的原理，比背字母更重要。
例 7（2026 单 72） 量子密钥分发的主要目的是（口径已核）。 A. 实现超光速通信 B. 生成和分发无条件安全的密钥 C. 提高数据传输速率 D. 实现量子计算
答案：B。QKD 的根本目标不是传输数据本身，而是在通信双方之间安全地生成并共享随机密钥，该密钥随后用于对称加密（如 AES）加密实际业务数据。安全性基于量子力学（测量即扰动），窃听必然被发现，故称"无条件安全"。
七、本章小结
- 一条主线：对称（快、难传钥）→ 非对称（慢、好传钥）→ 混合（非对称传钥 + 对称传数据）→ 哈希（管完整性不管机密性）→ 国密（自主可控参数表）→ 量子（物理定律送钥）。
- 必背数字：DES 分组 64/密钥 56；AES 分组 128；SM3 输出 256；SM4 分组 128；凯撒偏移可变；MD5 输出 128。
- 必背结论：明文归对称管（混合加密）；验签用签名者公钥（衔接 7.2）；链路加密全加密；QKD 管钥不管数据。
- 衔接预告：本章的"私钥签名/公钥验签"与"非对称无认证易遭中间人攻击"两个点，正是下一章 7.2（数字签名、证书与 PKI）的入口。