1918年11月的二十二條亂碼 ADFGVX 電報

01 這份清單是什麼

James Rives Childs 是1918年派駐法軍的美國密碼分析員，他儲存了一份在東線截獲的德軍 ADFGVX 通訊的抄本。2017年，George Lasry、Ingo Niebel、Nils Kopal 和 Arno Wacker 用針對換位的爬山法攻破了這批語料，在1918年9月至12月的十四把三日金鑰下復原了618份密碼電報。隨後 Lasry 把在這些金鑰下都無法解密的電報列成清單交給 Klaus Schmeh，Schmeh 以“Unsolved ADFGVX messages from World War I”為題發表，附上了金鑰，後來又將其列為他的五十強第46號。

Lasry 在那個頁面上的附註點明瞭問題所在：這些金鑰“most certainly all the keys used during the period”，所以“the challenge is to understand how the cryptograms were mutilated”。ADFGVX 對長度毫不寬容。列換位按金鑰長度切分字母流，所以丟失或多出一個字母，就會讓其後的每個列邊界都移位，把電報的其餘部分變成噪聲。一條有兩處亂碼的電報，即使金鑰已知，也無法再用該金鑰解密。

2017年2月至9月間，該帖下的評論區完成了大部分工作。Norbert Biermann、Armin、Thomas、Max Baertl 和 Lasry 本人一條接一條地解密了電報。Schmeh 宣佈要寫一篇彙總文章，卻始終沒寫，所以這些解密結果只零散地存在於評論中，無論印本還是網上都找不到結果彙總表。本報告做的第一件事就是釋出這張表。

02 金鑰，轉成機器可讀格式

Lasry 的清單把每把金鑰給成一個換位排列和一個36字元的替換方陣，各單元按 A D F G V X 的行序排列。十四個方陣中有三個含有成串的連字元，表示從未復原的單元，而 PDF 的文字層把這些連字串壓縮成了短破折號和長破折號，使方陣只剩34或35個字元。把每個破折號還原成能湊足36個字元的連字串長度，三個方陣就都修復了。全部十四把都在 keys.json.

金鑰數字有兩種解釋。要麼 perm[i] 是第 i 個輸出的列，要麼是第 i 列被輸出的位置。兩種解釋都能自洽地往返，所以加密–解密測試無法區分它們。解密一條真實電報則可以。答案是第二種。

不在清單上的金鑰

2017年5月3日，Lasry 在評論帖中報告：一條分成兩部分的電報——11月13日的 FFVXV 密碼電報及其後續的 AFAFF 殘片——在一把不屬於十四個時段中任何一個的金鑰下合併解密成功：換位詞 CMBLAKOHIDENFJGP，長度16。他給出了合併後的明文，共173個字母，並指出他的程式需要全部356個密文字母才能復原一把長度為16的金鑰。替換方陣沒有公佈。這裡把兩份密碼電報中未換位的雙字母組與他的明文（已採用 Norbert 的修正）對齊，重建了方陣：36個單元中復原了24個，數字和字母 M、Q、Y 未能復原，因為這條電報從未用到它們。它是以下檔案中的第十五個條目： keys.json 倉庫的筆記稱之為 CHI 金鑰，名稱取自它所加密的那條電報的報頭。

03 2017年的成果匯成一表

評論帖的全部70條評論都逐一看過。頁碼是 Schmeh 所印的 Childs 抄本頁碼；清單上有兩條電報沒有頁碼。字母數是收到的密文字母數，印本轉錄中標出的缺口另行計數。每項解密都歸功於最先貼出它的人。

九條已解密，三條部分解密，十條在任何地方都找不到解密結果。另有一頁抄本，即印本中的187（SELLV…，“Stellv. Gen. Kom. 9 AK Breslau”），是卡塞爾團隊早已解出的電報，不應列入清單；Lasry 在評論帖中已指出這一點。兩條 CHI 電報被列為在已公佈金鑰下無法解密，這沒錯；它們是在 Lasry 復原了一把未公佈的金鑰之後才解密的。

04 重新實現 Norbert 的方法

Norbert 用一句話說明了他的方法：在兩個不同位置新增或刪除至多五個字元，窮舉搜尋，用 n 元組評價函式為結果排序。 blocks.py 做的正是這件事。對十五把金鑰中的每一把，以及每一種至多兩處、每處一到五個字母的塊編輯（在抄本的五字母組邊界處插入或刪除），它都進行解密，並用一個德語四元組模型為結果打分；該模型由 Gutenberg 德語文字中的360萬個字母構建（lm_de.py）。含有數字或未復原單元的視窗記最低分；跨越 X 分隔符的視窗，代價低於亂碼、高於正文。在這個模型上，德語散文每個視窗的得分約為 −3.3 nats，隨機字母約為 −7。

在不提供任何明文線索的情況下，搜尋重新推出了第105、109、146、171頁，第176頁那條“缺10個字母”的電報，以及兩條 CHI 電報。在第146頁上，Norbert 在第10組之前插入的那個五字母塊得出為 (45, 5)。在第176頁的電報上，兩個五字母塊得出為 (10, 5), (130, 5)。第100頁用同樣的搜尋、只插入一個雙字母塊就解開了。搜尋還找到了無頁碼的 VGADA 電報在11月22–24日金鑰下的部分解。在印本轉錄標出缺口之處， gaps.py 把缺口還原到各自的組裡，再用模擬退火處理剩餘的單字母丟失；在第132頁上，它在沒有任何提示的情況下得出了 Norbert 的文字。

重新推出的各頁得分（取自執行日誌），與未解電報所能達到的最佳得分對比：

已解的各頁即便塊編輯不完全準確，也一眼就能認出是德語，剩下的亂碼是第二輪能修復的單字母丟失。第105頁和第109頁兩行得分比其他的低，因為兩塊搜尋只能近似其損壞情況；但兩段文字在原始輸出中都清晰可讀，也都與 Norbert 2017年的解密一致。

05 檢驗十條未解電報

兩處塊編輯，十五把金鑰

十條電報中的每一條都用全部十五把金鑰、至多兩處塊編輯跑過一遍。每條的最佳結果，取自 blocks_out.txt:

沒有一條超過 −6.7。同一次執行中，已解電報的得分在 −4.4 到 −6.0 之間，隨機字母約為 −7.3。所以這十條中沒有一條是用十五把金鑰之一加密、且只有兩處或更少塊損壞的，這恰恰是2017年的讀者們到達並止步的邊界。輸出中數字很多，通常是金鑰不對的跡象：這裡的真實通訊大多是字母，錯誤的方陣會把雙字母組散佈到數字單元上。

用 CHI 金鑰試第153頁的兩條電報

2017年9月，Norbert 提出（但未測試）第153頁的兩條電報可能屬於 CHI 金鑰，因為它們出自同一時期。用奇偶修復直接解密，以及塊搜尋，對兩條電報返回的都是噪聲。原因要麼是還有另一把未列出的金鑰，要麼是損壞超過了兩塊。

不依賴金鑰的攻擊，以及它為何失敗

如果某些未解電報是用語料之外的金鑰加密的，那麼這把金鑰就只能僅憑密文來複原。 keyless.py 的做法是：在每個候選長度上，以逆換位產生的字母對的重合指數為目標，對列序做模擬退火（因為正確的逆換位會把單表替換的雙字母組配成對），然後用德語模型求解36符號的替換。在用於未解電報之前，先在一個人為植入的對照上執行：224個德語字母，用同樣設計的長度為19的金鑰加密。

真實長度並不突出：19處的峰值被21、22和23超過，替換階段在任何長度上都不收斂。對照沒有被複原。Lasry 專為此目的編寫的程式，需要356個字母才能復原一把長度為16的金鑰。十條未解電報的長度在84到240個字母之間。因此在這樣的長度下，不依賴金鑰的復原是做不到的，只有一個例外：兩條或更多共用同一把未知金鑰的未解電報可以合併求解，就像那兩條 CHI 電報一樣。密文中沒有任何東西表明哪些電報屬於這種情況；而最自然的候選——第153頁的兩條電報——放在一起試，也一無所獲。

06 現狀，以及什麼能改變它

九條電報已解密，三條部分解密，十條未解。這十條於2026年9月經過檢驗，在每一把已知金鑰、至多兩處塊編輯之下都失敗了。有三件事能改變這一點。

在其中任何一項出現之前，有用的成果是：上面的表格，十五把機器可讀格式的金鑰（三個受損方陣已修復，CHI 方陣已重建），以及一個無需提供明文就能重現2017年解密結果的解碼器。

07 檔案