常见加密算法性能对比：AES、RSA、ECC、ChaCha20
做性能调优，逃不开一个基本功——你得知道手里的几把“钥匙”到底有多快、多贵。对称加密、非对称加密、流密码……每种算法都有自己的脾气。我过去在移动端项目里折腾过不少加密库，踩过坑也发现过真相。今儿咱们把 AES、RSA、ECC、ChaCha20 这四位请出来，好好比一比。
对称加密双雄：AES 与 ChaCha20
对称加密里，AES 是当之无愧的“正统之王”，硬件加速无处不在。ChaCha20 则是后来居上的流密码，在移动设备上特别亮眼。
| 对比维度 | AES | ChaCha20 |
|---|---|---|
| 密钥长度 | 128 / 192 / 256 bit | 256 bit（固定） |
| 分组 / 流 | 分组密码 (ECB/CBC/GCM…) | 流密码 |
| 软件实现速度 (ARM Cortex-A) | 中等，依赖 AES-NI / NEON | 快，无硬件加速也快 |
| 推荐认证模式 | AES-GCM | ChaCha20-Poly1305 |
| 内存开销 | 中等 | 低 |
| 典型场景 | 服务器、桌面、硬件安全模块 | 移动端、物联网、TLS 1.3 |
我自己的经验： 有一次在低端 Android 手表上做协议加密，AES-GCM 的 NEON 实现跑起来 CPU 占用直接飙到 70%，换成 ChaCha20-Poly1305 后掉到 25% 以下。说白了，没有硬件 AES 加速的芯片，ChaCha20 几乎是必选项。
你想想看，为什么 TLS 1.3 把 ChaCha20 列为主流？因为它抗时间侧信道攻击的能力比 AES 天然强，而且纯软件实现就能跑出漂亮的吞吐量。我在某个边缘计算网关上也验证过，在无 AES 指令集的 MIPS 处理器上，ChaCha20 比 AES-128-CBC 快 3 倍以上。
非对称算法对决：RSA 与 ECC
非对称加密的战场更简单——RSA 是老将，ECC 是新贵。但“新”不代表弱，ECC 在同等安全强度下密钥尺寸小得多，算力开销也低。
| 对比维度 | RSA | ECC（如 NIST P-256） |
|---|---|---|
| 密钥强度等价（对标 AES-128） | 3072 bit | 256 bit（P-256） |
| 签名速度 | 慢（指数级增长） | 快（椭圆曲线点乘） |
| 验签速度 | 较快（可使用 CRT） | 中等 |
| 密钥生成速度 | 慢，尤其是大素数筛选 | 极快 |
| 密文/签名膨胀 | 大（约密钥长度） | 小（约两倍坐标） |
| 侧信道防护 | 需要额外掩码 | 标量乘法天然易防护 |
避坑指南： 我曾经接手过一个旧系统，RSA 2048 位签名每秒只能跑几十次，升级到 P-256 后直接跳到数千次。但注意，ECC 验签比签名慢，如果你验签压力远大于签名，RSA 反而可能更划算——别只看单方面指标。
性能指标大图
把四个算法放在一起看，才容易选对工具。下面这张图梳理了它们的关系和关键权衡点。
实际调优中的选择逻辑
讲完了理论，咱们说点实用的。我一般会按照下面几步来决定用哪套组合：
- 先看目标平台： 有没有硬件 AES 加速？ARMv8 以上基本都带，x86 也有 AES-NI。有就优先 AES-GCM，没有就考虑 ChaCha20-Poly1305。
- 再看安全要求： 内部系统通常 AES-128 够用，金融合规可能要 AES-256。非对称方面 P-256 已经能对标 RSA 3072。
- 检查网络带宽： 如果每次握手都要传大证书，RSA 4096 比特的证书能把 TCP 慢启动拖死。这时候 ECC 证书香得多。
- 做压力测试： 我会写一个小脚本，分别跑 10000 次签名+验签，记录 CPU 周期和耗时。数字不会骗人。
小技巧： 记得把加密操作移到异步线程，别阻塞主循环。我在一个高并发网关里用 AES-GCM 做数据包加密，单核跑到 800Mbps 就瓶颈了，后来切到 ChaCha20 配合 DMA 直接干到 1.5Gbps。工具链里每种算法都有它最好的舞台。
几张关键表
下面这个速查表，我经常贴在项目文档首页，方便团队选型参考。
| 场景 | 推荐对称算法 | 推荐非对称算法 | 备注 |
|---|---|---|---|
| 桌面服务器 (x86-64) | AES-256-GCM | ECDSA P-256 | 硬件加速完善 |
| 移动端 / IoT (ARM) | ChaCha20-Poly1305 | Ed25519 或 P-256 | 省电、无加速时更快 |
| 嵌入式微控制器 (Cortex-M) | ChaCha20 (无硬件 AES) | X25519 | 代码小、内存占用低 |
| 合规/金融系统 | AES-256-GCM | RSA 3072 或 ECC P-384 | 满足特定标准 |
| 即时通讯端到端加密 | ChaCha20-Poly1305 | X25519 + Ed25519 | Signal 协议标配 |
注意： 别以为 ChaCha20 永远比 AES 快。在有 AES-NI 的 Intel 芯片上，AES-128-GCM 的吞吐可以到 50Gbps，而 ChaCha20-Poly1305 只有 10-15Gbps。所以一定要在目标硬件上实际跑分，别信网上泛泛的“某某算法更快”。
最后，我个人习惯在每次加密模块上线前，都跑一遍微基准测试，把加解密延时、吞吐、内存开销记录到监控系统。这样哪天发现 CPU 突增，能立刻定位是算法切换还是数据量变化。说白了，加密性能调优就是“测试-对比-再测试”的循环，没有银弹。