古典密码习题破解指南：凯撒、维吉尼亚、希尔密码与Python实现

看到「应用密码学（第三版）第二章习题答案」这个标题，我知道你多半不是想抄答案，而是被第二章那些古典密码题折磨过。凯撒、单表替换、维吉尼亚、希尔、转置，题型看似只是加密和解密，可真到作业题里，给你一段密文让你“破译”，或者给你明文和密文反推密钥矩阵，很多人瞬间就卡壳了。这篇不是官方答案汇编，而是我基于第二章常见习题整理的一份“能直接上手”的解析思路，把每一类题背后的底层逻辑讲透，附上完整可复现的Python验证代码。无论你是刚接触密码学的大学生，还是准备面试需要快速刷题的人，这套笔记应该都能帮你少走弯路。

我先把话放前面：古典密码的题，表面上考的是字母替换和排列，实际上考的是“统计直觉”和“线性代数”。为什么这么说？因为古典密码的安全基础几乎都建立在“加密算法保密”而不是“密钥保密”之上，所以习题往往围绕“已知密文，如何恢复明文”展开。你只有理解了频率分析、重合指数、矩阵模逆这些工具，才能真正把题做顺，而不是对着几个公式硬套。

1. 第二章到底在考什么：古典密码的底层逻辑

1.1 第二章的习题范围与考点分布

按照教材常规编排，第二章基本涵盖古典密码的主要类型。我翻阅过不少版本，核心考点集中在四块：单表替换密码（含凯撒密码）、多表替换密码（重点是维吉尼亚密码）、多字母替换密码（希尔密码）、以及转置密码。考试和作业题通常不是单独考某一个，而是把几个密码结合起来出综合题。

从习题类型上看，大致可以分成三类：

• 正向计算题：给定明文和密钥，要求你加密出密文。这类题主要考流程记忆，难度不高，但容易在字母下标转换和进位细节上出错。
• 反向破译题：给定密文，要求你恢复明文。这类题是第二章的精华，凯撒和单表替换主要靠频率分析，维吉尼亚主要靠Kasiski测试和重合指数，希尔密码在已知部分明文密文对的情况下要靠矩阵求逆。
• 概念理解题：比如问为什么单表替换无法抵抗频率分析，或者问“乘积密码”结合两个简单密码有什么意义。这类题看似是送分，实际需要你把安全本质讲清楚。

1.2 做题前必须建立的两个直觉

第一个直觉是“所有字母运算都是模26”。古典密码处理的基本单位是英文字母，所以字母a到z通常映射为0到25，加密操作本质上对应mod 26的加法和乘法。这个约定非常重要，否则你在希尔密码里算出来的矩阵结果会完全对不上。

第二个直觉是“语言本身的规律性就是攻击武器”。英文文本中字母e出现频率最高，约占12.7%，t、a、o、i、n、s、h、r紧随其后；双字母组合th出现频率极高；单词的重复模式也很有区分度。古典密码无论怎么替换，只要没有破坏这些统计规律，我们就能像做拼图一样把它破解开。

我遇到过不少同学，一上来就背公式，结果给一段密文让他找明文，他还在套“位移3”之类的固定模板。其实第二章的核心不是让你背凯撒位移几，而是培养你“看到文本就能从统计分布判断它大概用了什么机制”的能力。这个能力后面学现代密码时也有用，因为很多攻击思路本质上都是找概率偏差和结构偏差。

2. 凯撒与单表替换：不是“翻译”，是频率分析

2.1 凯撒密码的标准解法与易错点

凯撒密码是单表替换里最特殊的一种：所有字母都按同一个固定位移加密。习题里最常见的形式是“密文是DWWDFNDWGZQ，位移为3，求明文”，标准做法是每个字母的索引减3再模26。

我以这个经典例子拆一下过程：

• 密文D对应的索引是3（a=0），减3得到0，对应明文a。
• 密文W对应索引是22，减3得到19，对应明文t。
• 密文W又是t，密文D是a，密文F是c，密文N是k，密文D是a，密文W是t，密文G是d，密文Z是w，密文Q是n。

所以明文是attackatdawn，也就是“attack at dawn”。这里最容易错的有两个点：第一，字母索引基准是0还是1。如果用a=1到z=26，那每次都要额外处理边界；第二，减完之后如果小于0，一定要加26。别小看这个细节，我见过很多人在纸上算得好好的，一写代码就忘了取模，结果W减3算成了-1之类。

如果题目不告诉位移量，只给一段凯撒密文，那就遍历0到25共26个候选位移，逐个解出来，看哪个结果像英文。这个暴力破解过程我后面会给Python实现。实际做题时，你可以先找密文里出现最多的字符，假设它是e，反推位移，再验证整段文本是否可读，能省下不少时间。

2.2 单表替换：频率分析的手工流程

单表替换的特点是：每个明文字母被固定映射成另一个密文字母，但不同明文字母映射到的密文字母互不相同。它比凯撒复杂的地方在于，你完全不知道映射关系，需要靠频率分析一点点还原。

手工做题的流程一般是四步：

1. 统计密文中每个字母出现的次数，按频率从高到低排序。
2. 把最高频的密文字母暂时映射为e，第二高频映射为t，再结合a、o、i、n、s调整。
3. 找常见的双字母和三字母组合，比如th、he、in、the、and，观察密文里哪些双字母出现频繁。
4. 利用单词模式进一步确认映射。比如某个密文字段的重复模式是ABCCD，那么对应明文可能是there（t h e r e），因为there的模式是A B C D C；也可能对应never（n e v e r），模式是A B C D B。需要上下文判断。

举个例子，假设一段密文里出现频率最高的字母是M，大写形式经常出现在句首和词首，那大概率是T或S；又发现密文片段XCQXC重复出现，它的模式是1-2-3-1-3，对应明文中“there”是1-2-3-4-3，“that”是1-2-3-1，如果是that，那么X对应t，C对应h，Q对应a，再加上X在词首，确实很吻合。这种“模式匹配”是单表替换题里最实用的一招。

2.3 频率分析题的三点实战提醒

第一，短密文的频率分析很不稳定。如果题目只给你一个十几个字母的句子，按频率硬猜很容易错，这时候要优先用单词模式，而不是频率排序。第二，要随时回代检验。每猜一个映射，就把它放回密文里替换成可读字母，看能不能拼出疑似单词，一旦拼出，立刻锁定新映射。第三，遇到q和x这种低频字母不要急着猜，它们在明文里往往是z、j、q等罕见字母，猜错也影响不大。

我曾经辅导过一个同学做单表替换大题，他卡在“为什么最高频字母不是e”上。我让他数完频率后发现，那段文本取自一篇讲“量子密钥分发”的短文，里面“key”“quantum”反复出现，导致k和q的频率异常高。所以频率分析的前提假设是“标准英文文本”，一旦文本主题特殊、术语密集，结论就要打折。考试里一般不会出这么刁钻的题，但平时练习要有这个意识。

3. 维吉尼亚密码：Kasiski测试和重合指数的配合使用

维吉尼亚密码是第二章的“分水岭”。因为它不是单表替换，同一个明文字母在不同位置可能对应不同密文字母，所以简单频率分析直接失效。习题里最常见的考法是“给你一段密文，求密钥长度和明文”，这就是破译维吉尼亚的标准场景。

3.1 Kasiski测试确定密钥长度

Kasiski测试的基本思路是：如果密文里有重复出现的字母串，且间隔为密钥长度的倍数，那么这段重复字母串大概率是同一个明文字母段被相同密钥片段加密的结果。

实际操作分三步：

1. 在密文中找出所有长度不小于3的重复子串。
2. 记录每对重复子串之间的间隔。
3. 对这些间隔求最大公因数或观察共同倍数，密钥长度就是间隔的因数。

举个例子，如果密文里“CQIJZ”出现在位置5和位置17，间隔是12，那密钥长度很可能是12的因子，比如2、3、4、6或12。单靠一组重复串还不够，最好收集多个重复串的间隔，看哪种密钥长度能同时整除大多数间隔。

这里有个做题技巧：不要贪长串，长度3到5的重复串往往更有信息量。因为长串重复次数少，统计意义弱；太短的串（比如两个字母）又可能只是巧合。我们要的是“同一明文段重复”导致的重复，而不是随机碰撞。

3.2 重合指数如何验证密钥长度

Kasiski测试给出的是“候选密钥长度”，不一定精确，所以还要用重合指数（Index of Coincidence，IC）来验证。

重合指数的公式是：

IC = Σ[f_i × (f_i - 1)] / [n × (n - 1)]

其中f_i是第i个字母在文本里出现的次数，n是文本总长度。标准英文文本的IC大约是0.066，完全随机字母的IC大约是0.038。如果一段文本确实是按某密钥长度拆出来的子序列，它应该保留英文统计特性，IC会明显靠近0.066。

具体做法是：假设密钥长度是m，把密文按位置分成m组。第1组取位置0、m、2m…，第2组取位置1、m+1、2m+1…，以此类推。然后分别计算每组的IC。如果所有组的IC都接近0.06以上，就说明这个m很可能是对的。

我见到不少教材习题只要求用Kasiski做，不要求计算IC，但我在做题时强烈建议两个一起上。原因是Kasiski受随机重复串干扰大，IC更稳定。考试时如果时间紧张，可以先用Kasiski缩小范围，再用IC排除错误候选。

3.3 分离子序列并做频率匹配

确定密钥长度m之后，破译工作就从“破解一个维吉尼亚”变成“破解m个凯撒密码”。因为每一组里的字母都是用同一个密钥位移加密的，本质上就是单表替换里的凯撒特例。

做法是先统计第0组字母频率，假设频率最高的密文字母对应明文e，从而得出第一个密钥字母；然后再对第1组、第2组做同样操作。更准确的做法是计算“拟合优度”：对每个候选位移0到25，计算解密后子序列里字母频率分布与标准英文分布的卡方距离，取距离最小的位移作为密钥字母。

有些同学会问：“如果每组字母太少怎么办？”没错，这是维吉尼亚破译的天然弱点。当密文只有几百个字母时，按m分组后每组可能只有几十个字母，频率统计误差会变大。练习题一般会给足够长的密文，但实际做题时如果结果看起来不像英文，可以尝试增加或减少候选密钥长度，以及对密钥字母的候选位移做人工干预，比如优先试E、T、A、O这几个高频字母对应的位移。

维吉尼亚这部分做题最忌讳“算出密钥长度就以为结束了”。真正的高分步骤是把解密结果回代检查，如果明文里有连续多个可读英文词，并且上下文连贯，才算完整破译。我建议养成“解出的密钥字母与明文内容互相印证”的习惯，这样即便某个密钥字母算错，也能发现并修正。

4. 希尔密码：矩阵乘法与模逆元才是核心

希尔密码是第二章里最“数学”的一块。它把每n个明文字母看成一个n维向量，乘上一个n×n的密钥矩阵，再模26得到密文向量。习题通常分两种：已知密钥加密，以及已知明密文对反推密钥。很多同学觉得希尔密码难，其实就在于矩阵运算不熟，尤其是不习惯“模26世界里求逆矩阵”。

4.1 已知密钥的加密过程

假设密钥矩阵K是2×2：

K = [[5, 17], [4, 15]]

明文是“HI”，字母索引分别是H=7、I=8。加密时先组成向量[7, 8]，然后做矩阵乘法：

[5×7 + 17×8] = 35 + 136 = 171，171 mod 26 = 15，对应P。

[4×7 + 15×8] = 28 + 120 = 148，148 mod 26 = 18，对应S。

所以密文是“PS”。

这里的关键点在于：模26运算中，每一步乘法加法都在整数范围内，但最后一定要取模。做这类题时建议列一个“字母索引对照表”在手边，a=0，b=1，一直到z=25，能大大降低出错概率。另外，如果明文长度不是密钥矩阵维度的整数倍，需要在末尾填充一个约定字母，比如X，再分组加密。很多题目默认已经填充好了，但你自己做题时要注意长度问题。

4.2 已知部分明密文对求密钥

这类题会给你若干组明文和对应的密文，要求反推密钥矩阵。假设已知明文“AB”加密成“PQ”，已知明文“BC”加密成“RS”，我们可以构造两个向量对来解矩阵方程。对于2×2矩阵来说，至少需要两组独立的明密文对才能解出4个未知数。

设密钥矩阵为 [[a, b], [c, d]]，明文向量为P1=[0,1]（AB），密文向量为C1=[15,16]（PQ）；明文向量P2=[1,2]（BC），密文向量C2=[17,18]（RS）。那么方程：

a×0 + b×1 = 15 → b = 15 c×0 + d×1 = 16 → d = 16 a×1 + b×2 = 17 → a + 30 = 17 → a = -13 mod 26 = 13 c×1 + d×2 = 18 → c + 32 = 18 → c = -14 mod 26 = 12

所以密钥矩阵是 [[13, 15], [12, 16]]。

实际做题时，如果题目给的不是这么正好的向量，就得高斯消元法解模26线性方程组。解方程组时所有除法实际上变成了“乘以模逆元”。这就是下一节的难点。

4.3 求模26逆矩阵的完整手算

解密希尔密码，或者反推密钥矩阵，都绕不开求模26逆矩阵。以矩阵K = [[5, 17], [4, 15]]为例，求逆过程是：

1. 计算行列式：det = 5×15 - 17×4 = 75 - 68 = 7。
2. 判断gcd(7, 26)是否等于1。7和26的最大公因数是1，所以存在模逆元。
3. 求7在模26下的逆元，即找到一个整数x使得7x ≡ 1 mod 26。因为7×15 = 105，而105 mod 26 = 1，所以7的逆元是15。
4. 写出伴随矩阵的模26版本：原矩阵伴随矩阵为 [[15, -17], [-4, 5]]，取模26后变成 [[15, 9], [22, 5]]（因为-17 mod 26 = 9，-4 mod 26 = 22）。
5. 用逆元15乘以伴随矩阵：[[15×15 mod 26, 15×9 mod 26], [15×22 mod 26, 15×5 mod 26]]。
6. 算出来就是 [[17, 5], [18, 23]]。验证一下它和原矩阵相乘是否为单位矩阵，结果确实如此。

这里有几个高频出错点：

• 行列式的模逆元不存在时，矩阵不可用。习题一般会保证行列式与26互质，但我见过有些偷懒出题人给的矩阵其实不可逆，到时候你算到一半发现没有逆元，不要慌，先检查题目数据或者说明“不满足可逆条件”。
• 负数的模运算容易错。计算-17 mod 26时，要在-17上不断加26，直到得到0到25之间的结果，-17+26=9。
• 不要忘记矩阵乘法顺序。加密时是密钥矩阵乘明文向量，解密时是逆矩阵乘密文向量，顺序反了结果完全不同。

希尔密码题想拿分，核心就是“熟练处理模运算下的矩阵操作”。我建议做题前先练几组2×2和3×3矩阵的模26逆运算，速度上来了，希尔密码题基本就是送分。3×3矩阵同理，只是伴随矩阵的计算更繁琐，思路完全一致。

5. 转置密码与其他题型：容易被忽略的细节

转向置密码时，很多人的第一反应是“这不就是把字母顺序打乱吗，比替换简单多了”。但现实是，转置密码习题的失分点通常不在打乱本身的逻辑，而在于“怎么读回明文”和“带密钥的转置顺序”。

5.1 列转置密码的经典题型

最基础的是列转置：把明文按行填进一个固定列数的表格，然后按列读出密文。举个我常用的例子，明文是“ATTACKATDAWN”，列数是4：

• 按行填充： 第1行：A T T A 第2行：C K A T 第3行：D A W N

• 按列读出： 第1列是A C D 第2列是T K A 第3列是T A W 第4列是A T N

所以密文是“ACDTKATAWTAN”。

解密就反着来：知道列数为4，先把密文按列数等长切成4段，然后按列填入空表格，最后按行读出明文。这里最容易错的是“最后一行没填满”的情况。比如明文长度17、列数5，最后一行少3个字母，密文读出来后，解密时每一段的长度就会不匀称，必须根据原文长度判断哪些位置是空的。

做这类题，我强烈建议先计算“行数=ceil(明文长度/列数)”，再考虑最后一行的空缺。考试时画个表格比纯口算靠谱得多，画格子几秒钟就够，但能保证不丢分。

5.2 带密钥序列的转置

进阶一点的题目是“按密钥顺序读列”。比如密钥是“3214”，就代表第一列第三个读、第二列第一个读，整体顺序由密钥字母排序决定。这类题的关键是先看懂密钥序列到底表示“读列的顺序”还是“填列的顺序”，不同题目约定可能不同。

我建议做题时先给每个密钥字母标上序号。以密钥“3214”为例，从小到大排序是1、2、3、4，那么对应到原字母就是第3列、第1列、第2列、第4列。之后无论是加密还是解密，都按这个顺序处理。不要凭感觉猜顺序，一定要把映射关系写清楚。

5.3 乘积密码的综合题思路

第二章还经常把替换和转置组合起来，形成所谓的“乘积密码”。比如先凯撒加密，再列转置，或者先维吉尼亚再转置。这类综合题并没有新技术难点，纯粹是考验你有没有“拆解步骤”的习惯。

我遇到过一道题，给了密文和两个步骤的描述，但不说明先后顺序。解法是先试“先解密再逆转置”，如果结果有零散可读片段，就反过来试“逆转置再解密”。从密码设计角度看，先或后会影响扩散和混淆的效果，但习题一般会明确步骤。万一没明确，就用可读明文来试错。

我个人做综合题的经验是“每一步都写中间结果”。比如先加密得到中间密文M1，再转置得到最终密文M2；检查时先逆推M2得到M1，再验证M1能否还原明文。这样每一步都有据可查，不会因为一步错而连环错到底。这不光是做题技巧，也是之后做密码实现时该有的习惯——把处理过程拆成独立函数，每个函数单测，定位问题会快很多。

6. 用Python验证所有答案（可直接复现的代码）

纸上推完还不算完。我在刷第二章习题时，最大的收获就是把所有手算题都写成Python函数验证了一遍。因为手算容易因为粗心丢分，而代码能立刻告诉你“是不是哪里漏了取模”。下面给我常用的几段代码，都是可以直接复制运行的。

6.1 通用工具函数

字典转换函数：

def str_to_indices(s: str) -> list[int]: return [ord(c) - ord('a') for c in s.lower() if c.isalpha()] def indices_to_str(indices: list[int]) -> str: return ''.join(chr(i % 26 + ord('a')) for i in indices)

凯撒加解密与暴力破解：

def caesar_crack(ciphertext: str): ct_indices = str_to_indices(ciphertext) for shift in range(26): plain_indices = [(i - shift) % 26 for i in ct_indices] print(f"shift={shift:2d}: {indices_to_str(plain_indices)}")

这个函数枚举0到25的所有位移，跑一次你就能肉眼找出可读的那一行。

6.2 维吉尼亚密码破解脚本

先写Kasiski测试，找出重复子串间隔：

from collections import defaultdict import math def kasiski(cipher: str, min_len=3): n = len(cipher) distances = [] seen = {} for i in range(n - min_len + 1): sub = cipher[i:i + min_len] if sub in seen: distances.append(i - seen[sub]) else: seen[sub] = i return distances

再写重合指数计算和密钥长度枚举：

def ic(text: str) -> float: freq = [0] * 26 n = 0 for ch in text.lower(): if ch.isalpha(): freq[ord(ch) - ord('a')] += 1 n += 1 if n < 2: return 0.0 return sum(f * (f - 1) for f in freq) / (n * (n - 1)) def guess_key_length(cipher: str, max_len=15): candidates = [] for m in range(1, max_len + 1): avg_ic = 0.0 for start in range(m): group = cipher[start::m] avg_ic += ic(group) avg_ic /= m candidates.append((avg_ic, m)) candidates.sort(reverse=True) return candidates[:5]

输出候选密钥长度后，对每个位移分别做频率匹配：

import string def crack_vigenere(cipher: str, m: int): groups = [cipher[i::m] for i in range(m)] key = [] for g in groups: freq = [0] * 26 for ch in g.lower(): if ch.isalpha(): freq[ord(ch) - ord('a')] += 1 # 假设频率最高的密文字母对应明文e max_idx = max(range(26), key=lambda i: freq[i]) shift = (max_idx - 4) % 26 key.append(shift) plain = [] for i, ch in enumerate(cipher.lower()): if ch.isalpha(): shift = key[i % m] plain.append(chr((ord(ch) - ord('a') - shift) % 26 + ord('a'))) else: plain.append(ch) return ''.join(plain), [chr(k + ord('a')) for k in key]

这个破解脚本虽然只用了“最高频字母对应e”的简单假设，但对长文本已经很有效。如果遇到结果不理想，可以把“e”换成其他高频字母再试。

6.3 希尔密码加解密脚本

模逆元函数是核心：

def egcd(a: int, b: int): if b == 0: return a, 1, 0 g, x, y = egcd(b, a % b) return g, y, x - (a // b) * y def mod_inv(a: int, mod: int) -> int: g, x, _ = egcd(a % mod, mod) if g != 1: raise ValueError("no inverse") return x % mod

然后实现矩阵乘法与加密：

def mat_mul_vec_mod(mat, vec, mod=26): return [sum(mat[i][j] * vec[j] for j in range(len(vec))) % mod for i in range(len(mat))] def hill_encrypt(plain: str, key: list[list[int]], block_size=2): indices = str_to_indices(plain) if len(indices) % block_size: indices += [ord('x') - ord('a')] * (block_size - len(indices) % block_size) cipher_indices = [] for i in range(0, len(indices), block_size): vec = indices[i:i + block_size] cipher_indices.extend(mat_mul_vec_mod(key, vec)) return indices_to_str(cipher_indices)

解密则需要先求逆矩阵，再把每个密文块乘逆矩阵：

def mat_inv_mod(mat, mod=26): n = len(mat) det = mat[0][0] * mat[1][1] - mat[0][1] * mat[1][0] # 只支持2x2 inv_det = mod_inv(det % mod, mod) inv = [[mat[1][1] * inv_det % mod, -mat[0][1] * inv_det % mod], [-mat[1][0] * inv_det % mod, mat[0][0] * inv_det % mod]] return inv

以上代码覆盖了第二章最常用的验证需求。我建议你自己把代码敲一遍，而不是直接复制，因为敲的过程中会自然发现“哦，原来希尔密码的行列式取模后才会做逆元判断”“原来维吉尼亚分组是按步长m取不同起点”这些细节，比看十遍讲解都管用。

7. 一些做题经验和常见误区

7.1 最容易丢分的五个地方

我在批改和自测过程中总结出五个高频失分点，专门列出来提醒一下：

1. 字母索引基准混乱。有人用a=1到z=26，有人用a=0到z=25，同一道题里混用必错。建议所有题目统一用0到25。
2. 模运算取错时机。凯撒解密是“先减位移再模26”，不是减完之后不管；矩阵乘法是“乘加完再取模”，不是每一步都取模然后忘了最后一步。
3. 求模逆元时把“整数逆元”和“矩阵逆元”混为一谈。只有行列式与26互质时才有模逆元，求出来之后还要乘以伴随矩阵。
4. 维吉尼亚破解只定密钥长度，不做频率匹配，或者匹配后不回代验证。
5. 列转置解密时没有处理最后一行空缺，导致明文字母错位，后面的内容全部串行。

7.2 如何检查自己的答案对不对

一个小技巧是“把解密后的明文重新加密”。如果你从密文解出了明文，那就用同一个密钥重新加密一遍，看得到的密文是否和原密文完全一致。如果能对上，说明你的密钥和流程都对；如果对不上，说明中间某个环节出了问题，而且这个检查方法能定位到是在“密钥矩阵求逆”环节还是在“分组顺序”环节出错。这个方法不只是习题检查利器，也是实际工作中验证密码模块实现是否正确的通用手段。

7.3 古典密码学完，后面该怎么衔接

第二章的古典密码虽然看起来古老，但它奠定了现代密码的几个关键观念：混淆、扩散、统计攻击、已知明文攻击。维吉尼亚告诉你“密钥周期性重复是致命的”，对应现代密码里“密钥只能使用一次”的思想；希尔密码让你意识到“代数结构可以被线性分析攻破”，对应现代分组密码里S盒、P盒非线性设计的必要性；转置密码则让你建立“扩散”的概念。做习题的时候如果能往这几个方向多想一层，后面学DES、AES时会轻松不少。

我的切身体会是，第二章习题别急着写完就翻篇。每做完一道题，问问自己“如果我是攻击者，有没有办法绕过加密直接恢复消息”。带着这个视角去做题，你会发现频率分析、重合指数、矩阵求逆都不再是孤立的考点，而是一套完整的攻击工具箱。等你把这套工具箱用熟了，后续无论是学流密码还是公钥密码，都会比别人多一层“从攻防角度理解算法”的优势。