现代密码学工程实战：从AES-GCM到后量子密码学

引言：密码学 — 数字世界的安全基石

在数字化时代，密码学是保障信息安全的基石。从古代的凯撒 cipher 到现代的量子安全加密，密码学经历了数千年的演进。本文深入探讨现代密码学的核心原理与工程实践。

一、对称加密体系

1.1 AES 算法的工程细节

高级加密标准（AES）基于置换-置换网络（SPN）结构：

• SubBytes：非线性替换层，通过 S-box 引入混淆
• ShiftRows：行移位操作，确保列间扩散
• MixColumns：列混合，确保字节间充分混合
• AddRoundKey：轮密钥加，引入密钥相关性

工程优化：

• AES-NI 指令集：硬件加速，吞吐量达 10+ GB/s
• Bitslicing：SIMD 并行处理多个分组
• GCM 模式：认证加密，单次遍历完成加密和 MAC

1.2 ChaCha20-Poly1305：移动端的高效选择

ChaCha20 使用 ARX（加法-旋转-_xor_）结构，在无 AES-NI 的设备上性能更优。Poly1305 是通用哈希函数，计算 MAC 的开销低于 HMAC-SHA256。

二、非对称加密与密钥交换

2.1 RSA 的工程实践

RSA 的安全性基于大整数分解的困难性：

• 密钥长度：2048 位用于常规用途，4096 位用于高安全场景
• 填充方案：OAEP 防止确定性加密的明文猜测攻击
• 性能：加密快（e=65537），解密/签名慢（大指数模幂）

2.2 椭圆曲线密码学（ECC）

ECC 在同等安全强度下提供最短的密钥长度：

• P-256 / secp256r1：128 位安全强度，256 位密钥
• Curve25519：Daniel Bernstein 设计，避免 NIST 曲线的可疑常数
• EdDSA (Ed25519)：确定性签名，无随机数生成器故障风险

三、哈希函数与消息认证

3.1 SHA-3 与 BLAKE3

SHA-3 (Keccak) 基于海绵结构，提供 224/256/384/512 位摘要。BLAKE3 基于 Bao 树结构，利用 SIMD 实现极速（比 SHA-256 快 10 倍）。

3.2 HMAC 与 HKDF

HMAC 用于消息认证；HKDF 用于密钥派生：

HKDF-Extract(salt, IKM) -> PRK
HKDF-Expand(PRK, info, L) -> OKM

TLS 1.3 使用 HKDF 作为核心密钥派生函数。

四、后量子密码学

4.1 NIST 标准化进程

2024 年 NIST 发布首批后量子密码标准：

• ML-KEM (CRYSTALS-Kyber)：基于模块格上的 LWE 问题
• ML-DSA (CRYSTALS-Dilithium)：基于模块格上的 MLWE/MSIS 问题
• SLH-DSA (SPHINCS+)：基于哈希函数的安全签名
• (Falcon)：基于 NTRU 格的短签名

4.2 Kyber-1024 的工程部署

Kyber 提供 IND-CCA2 安全的 KEM：

• 密钥大小：1568 字节（公钥）+ 32 字节（私钥种子）
• 密文大小：1568 字节
• 性能：单次封装约 100μs，优于 RSA-4096

五、TLS 1.3 工程实践

5.1 握手协议优化

• 1-RTT 握手：客户端发送 KeyShare + 支持的 cipher suites
• 0-RTT 会话恢复：使用 PSK 恢复，注意重放攻击风险
• 证书压缩：减少握手带宽消耗

5.2 密码套件选择

推荐配置：

• TLS_AES_256_GCM_SHA384 + TLS_CHACHA20_POLY1305_SHA256
• 强制 PFS（前向保密）：仅支持 ECDHE 密钥交换
• 禁用 TLS 1.0/1.1 和静态 RSA

六、结语

密码学是安全系统的核心。从对称加密到非对称加密，从哈希函数到后量子密码，掌握这些工具的工程师才能构建真正安全的数字世界。