对称加密详解：AES、DES、3DES 原理与实战
聊完信封加密的整体框架，咱们得先把地基夯实 —— 对称加密。说白了，就是用同一把密钥加密和解密。你想想看，加解密双方事先得共享一个秘密，这既是它的优势（快），也是它的软肋（密钥分发难）。
我在项目中见过不少新人上来就选算法，也不管分组模式、密钥长度，结果要么性能崩了，要么被安全审计打回。今天咱们把 AES、DES、3DES 讲透，顺便把我的踩坑经验也塞给你。
1. 为什么要关注对称加密？
对称加密是数据加密的“主力部队”。非对称加密太慢，一次签名够对称加密加密好几个 1MB 的文件。所以实际做批量数据保护时，我们用的都是对称加密 —— 比如信封加密里，你用 RSA 或 ECC 加密一个临时密钥（DEK），再用这个 DEK 去做真正的数据加密。而这个 DEK 的算法，绝大多数情况就是 AES。
这里我个人的习惯是：能用 AES 就别碰其他算法。DES 早就该退休了，3DES 也只是过渡备胎。
2. 经典算法对比：DES、3DES、AES
| 算法 | 密钥长度 | 分组大小 | 安全强度 | 我用它做什么 |
|---|---|---|---|---|
| DES | 56 位 | 64 位 | ❌ 极弱，已被暴力破解 | 历史遗留系统，建议立即迁移 |
| 3DES | 112 或 168 位 | 64 位 | ⚠️ 仅适合兼容老系统，NIST 已弃用 | 金融 IC 卡交易验证（过渡） |
| AES | 128 / 192 / 256 位 | 128 位 | ✅ 安全强度高，推荐使用 | 一切新系统，加密文件、网络传输、磁盘 |
一句话总结：DES = 不可用，3DES = 能不用就不用，AES = 首选。
3. 解密 AES 内部原理
AES 是分组密码，一次性处理 16 个字节（128 位）。内部结构不复杂，但很巧妙：它做多轮“替换-置换”，把密钥打散成轮密钥，逐轮作用到数据块上。AES-128 做 10 轮，AES-192 做 12 轮，AES-256 做 14 轮。
嗯，这里要注意：轮数越多不代表慢很多，现代 CPU 都有 AES-NI 指令集，硬件加速后 AES-256 和 AES-128 速度几乎没差别。所以我个人建议：新项目一律用 AES-256-GCM，一步到位，既安全又能防篡改。
代码片段：用 Python 实现 AES-GCM 加密
from Crypto.Cipher import AES
import os
# 加密
key = os.urandom(32) # AES-256 密钥
nonce = os.urandom(12) # GCM 建议 12 字节随机数
cipher = AES.new(key, AES.MODE_GCM, nonce=nonce)
plaintext = b"这是你要保护的敏感数据"
ciphertext, tag = cipher.encrypt_and_digest(plaintext)
# 解密
cipher_dec = AES.new(key, AES.MODE_GCM, nonce=nonce)
data = cipher_dec.decrypt_and_verify(ciphertext, tag)
print(data.decode()) # 输出原文
我曾经踩过的坑：生产环境里直接用 MODE_CTR 且 nonce 复用，结果数据被替换了都没发现。后来全改成 GCM + 每次新 nonce，才算是踏实了。
4. 分组模式：ECB、CBC、GCM 该怎么选？
分组模式决定了算法如何用密钥处理多块数据。ECB 最古老，CBC 曾流行，GCM 是目前主流。为什么？你看下面的对比表就懂了。
| 模式 | 加密方式 | 是否加密 | 完整性校验 | 随机数需求 | 我的建议 |
|---|---|---|---|---|---|
| ECB | 逐块独立加密 | 是 | 无 | 无 | ❌ 千万别用，模式泄露模式 |
| CBC | 前一块密文作为链 | 是 | 无（需额外 HMAC） | 需要 IV（随机） | ⚠️ 历史遗留可用，新项目不推荐 |
| GCM | CTR 模式 + GMAC | 是 | 内建认证标签 | 需要 nonce（随机或递增） | ✅ 第一选择，加密+验签一步搞定 |
| CTR | 密钥流异或 | 是 | 无（需额外 MAC） | 需要 nonce | 可接受，但推荐 GCM 替代 |
ECB 模式灾难案例：我曾经接手过一个支付系统，它用 ECB 加密银行卡号。结果同样的卡号每次加密结果都一样 —— 攻击者直接统计密文频率就知道是哪个卡号了。那个修 bug 的夜晚我到现在都记得。
5. 密钥长度与安全强度：不要纠结于 128 vs 256
很多人问：“AES-128 够用吗？要不要用 256 才安全？”
理论上有差别，但实际场景里：
- 量子计算威胁：Grover 算法能把 AES 的密钥搜索强度减半 —— 攻击 128 位密钥只需 264 步，256 位是 2128 步。但问题是，目前还没人有能跑 Grover 的量子计算机。
- 性能差异：有 AES-NI 的年代，128 和 256 几乎一样快。我测试过，处理 1GB 文件差不到 3% 的性能。
- 合规要求：很多政府密码标准（如 NIST、国密）要求不低于 128 位。如果你做金融或政务，直接上 256 省心。
我个人习惯：如果密钥管理没问题，一律用 AES-256-GCM。万一将来量子计算突然商用，你还能多撑一阵子。
记住这条原则：安全等级 = 算法 + 模式 + 密钥管理。密钥泄露了，AES-256 也白搭。
6. 知识框架图：对称加密核心脉络
下面这张 SVG 图把本章核心梳理了一遍，方便你建立整体认识：
7. 一个实战决策步骤
- 第一步：确定数据量。大于 1KB 的批量数据？用对称加密。
- 第二步：选算法。直接锁定 AES-256。
- 第三步：选模式。优先 GCM，一次完成加解密和完整性校验。
- 第四步：管理密钥。用 KMS（后面章节会讲）或 HSM 安全存储，不要写死在代码里。
- 第五步：测试。一定要写单元测试验证加解密一致性，并且测试 nonce 复用情况下的安全性。
关于 nonce 复用：GCM 模式下如果两次加密使用了同样的 key + nonce，攻击者可以恢复对方的密钥流。我在内部安全培训中反复强调：每次加密必须用新 nonce，最简单的做法就是用 12 字节的随机数。
8. 小结
对称加密是数据保护的核心操作。今天我们捋清了 DES、3DES、AES 的关系，也对比了 ECB、CBC、GCM 这三个常见模式。你可以在自己的项目里直接套用“AES-256-GCM + 随机 nonce + KMS 密钥管理”这个黄金组合。