密码学的歧路：在算法与物理之间，重新定义“秘密”

密码学的历史可以追溯到古罗马的凯撒密码，但那只是字符替换的幼稚游戏。直到二十世纪七十年代，Diffie-Hellman密钥交换和RSA算法奠定了现代密码学的基石，其安全性不再依赖算法的隐晦，而是依赖特定数学难题的计算复杂度——大整数分解、离散对数等。这种范式被称为“基于计算复杂性假设的安全”：只要攻击者没有足够的算力，秘密就是安全的。然而，这一假设本质上是一种工程妥协——我们不知道P是否等于NP，也不知道是否存在一套快速破解的通用算法，我们只是相信几百年来的数学探索没有发现捷径。这种信任是脆弱的，也是富有争议的。更微妙的是，算法密码学中的“密钥”只是一串比特，它能否被称为“秘密”，取决于持有者的认知状态，与物理世界毫无关联。

传统密码学始终在隐式地依赖一个前提：信息无法以超越光速的速度传播，且计算资源存在物理上限。但量子计算的出现彻底动摇了这个根基。Shor算法可以在多项式时间内分解大整数，Grover算法可以将对称密钥的暴力搜索加速为平方根时间复杂度。这意味着，一旦大规模容错量子计算机问世，RSA和ECC将瞬间土崩瓦解，而AES也需将密钥长度翻倍才能勉强维持安全。面对此威胁，量子密码学应运而生——它不再依赖数学难题，而是基于物理定律：如BB84协议利用海森堡不确定性原理保证窃听必然留下痕迹，量子纠缠态的远程传态则使得密钥分发具有可证明的安全性。这是两种完全不同的“安全”范式：算法密码学给出的安全性是“基于假设的”，而量子密码学给出的是“基于可验证物理事实的”。于是，我们面临一个迫切的追问：当物理定律本身决定了信息的结构与传播，我们又该如何定义“秘密”？

我认为，密码学一直忽略了一个最本质的资源——信息熵差。所谓秘密，并不是一个静态的字符串，而是指“某些观察者相对于另一些观察者在某一特定观测尺度上所持有的熵的差异”。在经典密码学中，攻击者无解是因为缺少密钥，而密钥正是增加系统熵的那一部分信息；在量子密码中，窃听者的测量行为会不可逆地改变量子态，导致原本的熵差被抹平，从而被合法双方察觉。换言之，秘密是信息熵在主观认知空间中的不对称分布。由此可得到一个全新的独立观点：密码学的真正任务不是保护“密钥”或“密文”，而是维护这种熵差的存在与可验证性。我们曾经错误地追求“计算不可破解”，而忽视了“信息不可观测”才是更深刻的物理线索。可观测性本身就是一种熵博弈——测量意味着从环境中提取信息，而这个提取动作必然以热力学熵增为代价。因此，一门“熵密码学”呼之欲出，它将把安全和物理上的熵转移、测量扰动以及时间不可逆性统一起来。

未来密码学最有可能的形态，是构建一座“熵阶梯”：从低阶的数学密码（抵抗经典攻击），到中阶的物理密码（抵抗量子窃听），再到高阶的时间熵密码（利用热力学第二定律与时空因果性，使信息在特定时刻前不可被重构）。在每一层，秘密的载体可能不同——比特、光子、甚至是引力波中的极化模式——但所有层级的本质都是通过制造和维持更大的熵差来压制窃听者的信息增益。这种融合并非简单的叠加，而是一种辩证统一：经典算法密码擅长在较低熵环境下提供高效抽象，量子物理密码则在高熵环境中提供公理化的保证。两者之间的边界不应被视为对立，而应被视为同一个熵光谱上的连续过渡。基于此，密码学不应继续沉迷于设计更复杂的高维整数格或代数曲线，而应转向研究如何在现实物理系统中创造可控的熵障。这是一场思想的转向：从数学上的困难转向物理上的不可能。最终，我们会发现，真正的“秘密”不是任何公式或符号，而是宇宙赋予智识主体的一种罕见的、耗散性的秩序配置——保护秘密，就是保护这分脆弱的秩序，对抗那吞噬一切的熵流。