3. 密钥生成策略：对称密钥（AES）、非对称密钥（RSA/ECC）算法选择与安全参数配置
密钥生成是整个密码系统的基石。说实话，我在不少项目里见过“一把密钥用十年”的情况，等到被审计时才发现密钥强度早就过期了。这一节我们重点聊聊：怎么选算法、怎么配参数，才能让你的密钥在工程中真正扛得住。
3.1 对称密钥：AES 的选择与参数
AES 是目前最主流的对称算法。你想想看，无论是 HTTPS 还是磁盘加密，底层基本都是 AES。我个人习惯只在三种密钥长度里选：128、192、256 位。别纠结 128 会不会不够用——以现在的算力，128 位已经足够抵挡暴力攻击。但有一点要特别注意：如果你的系统需要过 FIPS 140-2 或等保三级，通常强制要求 AES-256。
3.1.1 工作模式对比
| 模式 | 特点 | 适用场景 | 我的建议 |
|---|---|---|---|
| ECB | 相同明文块输出相同密文，不安全 | 几乎不推荐 | 千万别用——我在审计旧系统时见过，直接被打回 |
| CBC | 需要 IV，密文块链式依赖 | 通用加密，兼容性好 | 老项目首选，但要注意 IV 随机性 |
| GCM | AEAD 模式，加密+认证 | 网络传输、TLS | 新项目我选 GCM，省掉额外 HMAC |
| CTR | 流模式，可并行 | 高性能、大文件 | 适合多线程，但需要自己加 MAC |
我曾在做一个金融支付网关时踩过坑：直接用 CBC 加密报文，结果忘记对密文做完整性校验，攻击者可以通过翻转 IV 篡改明文。后来全部切换到 GCM，一次性解决加密和认证问题。
3.1.2 IV 与填充
- IV 长度：CBC 模式必须 16 字节，GCM 推荐 12 字节（效率最高）。
- IV 唯一性：同一密钥下 IV 不能重复。我曾经见过一个项目把机器时间戳 + 计数器拼成 IV，结果高并发下计数器溢出导致重复——惨痛的教训。
- 填充方式：PKCS#7 是通用标准，CBC 必须用；GCM 不需要填充。
3.2 非对称密钥：RSA 与 ECC 的博弈
非对称密钥的生成比对称复杂得多。你不仅要选算法，还要决定密钥长度和曲线参数。说白了，这是一个“安全强度 vs 性能 vs 兼容性”的三角权衡。
3.2.1 RSA 参数配置
RSA 的核心参数就是模长。目前业界共识：2048 位是底线，4096 位是推荐。我见过一些旧系统还用 1024 位，去年就被第三方安全扫描工具标为高危。但是，密钥越长生成速度越慢——4096 位密钥对生成可能需要几十秒，而 2048 位只要几秒。
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:4096 -pkeyopt rsa_keygen_pubexp:65537。
3.2.2 ECC 曲线选择
ECC 比 RSA 更年轻，但优势明显：相同安全强度下密钥更短、运算更快。主流曲线有两条阵营：
- NIST 曲线：P-256（推荐）、P-384、P-521。兼容性最好，但部分安全专家质疑其后门风险。
- Curve25519 / Ed25519：现代曲线，设计透明，性能极高。我近两年新项目一律优先用 X25519 做密钥交换，Ed25519 做签名。
你想想看，RSA 2048 位跟 ECC P-256 的安全强度差不多，但 ECC 的密钥只有 256 位，签名快 10 倍以上。所以如果是移动端或 IoT 设备，我强烈建议用 ECC。
3.3 对称 vs 非对称：什么时候用什么？
| 维度 | AES（对称） | RSA/ECC（非对称） |
|---|---|---|
| 加密速度 | 极快（硬件加速） | 慢（尤其 RSA） |
| 密钥分发 | 困难 | 简单 |
| 典型用途 | 大批量数据加密 | 密钥交换、数字签名 |
| 密钥生成复杂度 | 低 | 高（需随机数 & 素数检测） |
| 生命周期管理 | 需定期更换密钥 | 证书吊销、私钥保护 |
实际工程中几乎都是“混合加密”：用 RSA 或 ECC 加密 AES 的对称密钥，然后用 AES 加密业务数据。我刚入行时犯过傻——直接用 RSA 加密几百 KB 的文件，结果跑了一分钟才加密完。后来改成 AES 加密文件体，RSA 只加密 AES 密钥，速度直接提升两个数量级。
3.4 密钥生成实践：安全参数配置清单
# 对称密钥生成示例
openssl rand -hex 32 > aes_256.key
# RSA 4096 位私钥（公钥可导出）
openssl genpkey -algorithm RSA -out rsa_private.pem -pkeyopt rsa_keygen_bits:4096
openssl pkey -in rsa_private.pem -pubout -out rsa_public.pem
# ECC P-256 密钥对
openssl ecparam -name prime256v1 -genkey -noout -out ecc_private.pem
openssl ec -in ecc_private.pem -pubout -out ecc_public.pem
# 推荐：Curve25519 密钥交换（现代方案）
openssl genpkey -algorithm X25519 -out x25519_private.pem这段代码我基本每个项目都会用。有一点要记住：生成后立刻对私钥加密存储——比如用 AES-256-GCM 加密后再写入磁盘，解密口令单独保管。
3.5 参数配置避坑总结
- 不要使用 ECB 模式——这是我在一次渗透测试演练中发现的老旧系统通病。
- IV 必须随机，且同密钥下唯一；我曾经用计数器生成 IV 导致重复，被攻击者恢复了部分明文。
- RSA 公钥指数 e 固定用 65537，不要用 3 或 17 等小指数——有算法攻击风险。
- ECC 曲线优先选 Curve25519，如果兼容性限制则用 P-256。
- 生成密钥后立即做完整性校验，比如用 SHA-256 计算公钥指纹，避免传输或存储时被篡改。