3. 主流签名算法对比：RSA、ECDSA、Ed25519
在平台工程 IDP 的制品签名链路中，签名算法的选择直接影响签名速度、验签性能、密钥安全强度以及流水线整体吞吐。当前主流算法分为三类：RSA（经典大整数分解）、ECDSA（椭圆曲线离散对数）和 Ed25519（扭曲爱德华兹曲线的高性能变体）。本节从数学原理、性能基准和适用场景三个维度进行系统对比。
3.1 算法原理与安全基础
| 算法 | 数学难题 | 密钥长度（安全等价 128 位） | 签名长度 | 抗量子性 |
|---|---|---|---|---|
| RSA | 大整数分解（IFP） | 3072 bit | 3072 bit | 弱 |
| ECDSA | 椭圆曲线离散对数（ECDLP） | 256 bit（P-256） | 512 bit | 弱 |
| Ed25519 | 扭曲爱德华兹曲线离散对数 | 256 bit | 512 bit | 弱 |
RSA 依赖大整数分解的困难性，密钥生成需要寻找大素数并计算模逆，过程较慢。签名时使用私钥进行模幂运算，验签时使用公钥进行模幂运算。由于模指数较大（3072 bit），计算开销显著。
ECDSA 基于椭圆曲线上的点乘运算，密钥长度远小于 RSA 即可达到同等安全强度。签名过程包含随机数生成、标量乘法和模逆运算；验签过程包含两次标量乘法和一次加法。随机数生成器的质量直接影响私钥安全——若随机数重复，私钥可被直接恢复。
Ed25519 采用扭曲爱德华兹曲线（Curve25519），使用确定性的签名方案（RFC 8032），不依赖外部随机数生成器。签名和验签均采用固定时间实现，天然抵抗侧信道攻击。其数学结构支持批量验签优化，在流水线高频验签场景中优势明显。
安全提示： ECDSA 的随机数生成器若存在熵不足或重复使用，会导致私钥泄露。Ed25519 通过确定性签名从根本上消除了这一风险，更适合自动化流水线中的无人工干预场景。
3.2 性能对比基准
以下数据基于 OpenSSL 3.0 在 Intel Xeon Platinum 8375C（3.0 GHz）单线程下的实测结果，密钥强度均对应 128 位安全等级：
| 操作 | RSA-3072 | ECDSA P-256 | Ed25519 |
|---|---|---|---|
| 密钥生成 | ~1200 ops/s | ~8500 ops/s | ~12000 ops/s |
| 签名 | ~1800 ops/s | ~9500 ops/s | ~14000 ops/s |
| 验签 | ~55000 ops/s | ~4000 ops/s | ~11000 ops/s |
| 批量验签（100 个） | ~550 ops/s | ~38 ops/s | ~200 ops/s |
关键发现：
- RSA 验签极快：公钥指数通常取 65537，模幂运算效率高，适合一次签名、多次验签的场景（如软件包分发）。
- ECDSA 签名较快但验签较慢：验签需要两次标量乘法，计算量约为签名的 2 倍。批量验签时性能下降明显。
- Ed25519 综合均衡：签名和验签速度均处于高位，且支持批量验签优化（通过批处理可提升约 5 倍吞吐），适合流水线中签名与验签频率接近的场景。
流水线优化建议： 若制品构建后需要分发到大量节点验签（如容器镜像签名），RSA 的验签优势明显；若流水线中签名和验签频率相当（如 CI/CD 步骤间传递制品），Ed25519 的综合延迟最低。
3.3 算法适用场景矩阵
| 场景 | 推荐算法 | 理由 |
|---|---|---|
| 容器镜像签名（单签多验） | RSA-3072 / RSA-4096 | 验签性能最优，兼容性最广（几乎所有工具链原生支持） |
| CI/CD 流水线内制品传递 | Ed25519 | 签名与验签速度均衡，确定性签名消除随机数风险 |
| 移动端 / IoT 设备验签 | Ed25519 | 密钥和签名长度短，计算资源消耗低，固定时间实现抗侧信道 |
| 合规要求（FIPS 140-3） | ECDSA P-256 / P-384 | FIPS 认证曲线，满足政府及金融合规 |
| 硬件安全模块（HSM）集成 | RSA / ECDSA | 主流 HSM 对 RSA 和 ECDSA 的硬件加速支持最成熟 |
| 高吞吐批量验签（>1000 次/秒） | Ed25519（批量模式） | 批量验签优化可将吞吐提升 5-10 倍 |
3.4 签名算法选型决策流程
3.5 流水线集成注意事项
- 密钥轮换策略：Ed25519 和 ECDSA 的密钥生成速度快，建议每 90 天轮换一次；RSA 密钥生成较慢，可延长至 180 天，但需配合 HSM 或离线生成。
- 签名缓存：对于同一制品在流水线中多次签名（如多阶段构建），建议在制品层缓存签名结果，避免重复计算。
- 算法协商：在跨团队或跨组织的流水线中，建议在流水线 YAML 中显式声明签名算法和曲线参数，避免因默认算法不一致导致验签失败。
- 向后兼容：若已有存量系统使用 RSA 签名，迁移至 Ed25519 时需保留双算法支持过渡期，确保旧制品仍可验签。
避坑提醒： 不要在生产流水线中使用 ECDSA 且依赖系统默认随机数生成器。务必显式配置熵源或使用确定性签名方案（如 RFC 6979）。Ed25519 的确定性签名机制可完全规避此风险。