PRG 的形式#

$G: \{0,1\}^{s} \rightarrow \{0,1\}^{n}, \qquad s \ll n$

其中 $s$ 是种子长度、$n$ 是输出长度。相同种子必然产生相同输出；它的安全要求不是“真正随机”，而是有效攻击者无法在计算上将输出与真正随机序列区分开。

1
短种子 → PRG → 长伪随机密钥流

流密码如何加密#

流密码将 PRG 生成的密钥流与明文逐位或逐字节异或：

$c = m \oplus \operatorname{keystream}$

解密使用同一密钥流再次异或即可恢复明文。它的结构与 OTP 相似，核心差异在于密钥流来自短密钥和算法，而非等长真随机密钥。

密钥流不能复用

同一密钥和 nonce/IV 组合绝不能加密两条消息。复用后会产生与 OTP 密钥复用相同的问题：攻击者可通过两个密文的异或得到两个明文的异或。

实践建议#

不要自行组合“PRG + XOR”实现加密。工程中优先使用带认证的成熟方案，例如 ChaCha20-Poly1305 或 AES-GCM，并由可靠库负责 nonce、标签验证与密钥管理。