📚 课程目录第3章对称加密与非对称加密

对称加密与非对称加密：AES、RSA、ECC等算法在KMS中的应用场景

还记得我刚写第一版KMS集成代码时，在加密算法选型上卡了好几天。说白了，对称加密和非对称加密各有各的脾气，用错了地方，要么性能崩盘，要么安全漏洞。今天我就把这些年踩过的坑和总结的经验掰开揉碎讲给你听。

对称加密AES在KMS里的干活姿势

AES是KMS里最常用的对称加密算法。我习惯把它理解为"一把钥匙开一把锁"——加解密都用同一个密钥。KMS里AES主要干两件事：

直接加密业务数据：比如你存用户身份证号、交易记录，直接调KMS用AES-256-GCM加密。GCM模式自带认证标签，能防篡改，我一般无脑选它。
做密钥加密密钥（KEK）：KMS自己生成的"主密钥"通常就是AES-256。它会用来加密你实际使用的"数据密钥（DEK）"，这叫信封加密。

性能方面：AES硬件加速（AES-NI指令集）在现代CPU上是标配，加解密吞吐能达到GB/s级别。我在压测时见过单核每秒加密8GB数据——所以批量加密场景，放心用AES。

非对称加密RSA与ECC的定位

非对称加密是"一对钥匙"——公钥加密、私钥解密。KMS里它们不直接加密大数据，因为性能太慢。那它们做什么？看下面这个表：

特性	RSA	ECC（椭圆曲线）
密钥长度	2048 / 4096 位	256 / 384 位（同等安全强度下短得多）
加解密速度	公钥加密慢（几毫秒/次）	更慢，但签名/验签快
典型KMS场景	密钥交换、数字签名、证书签发	移动端签名、TLS证书、区块链地址生成
推荐用途	Web API鉴权、加密少量对称密钥	物联网设备、低功耗环境

我个人更倾向于：如果业务系统跑在云端服务器，用RSA-2048已经够安全；如果是物联网或手机端，ECC（例如NIST P-256）能大幅减少握手时延。

混合加密：KMS信封加密的真实案例

实际KMS项目里，你不用纠结"到底用对称还是非对称"——答案是用混合加密。我给大家画个熟悉的流程图：

代码层面大概长这样（我用Python SDK示例说明）：

# 生成数据密钥（DEK）
response = kms_client.generate_data_key(
    KeyId='alias/MyMasterKey',    # 指向AES-256主密钥
    KeySpec='AES_256'
)
plaintext_dek = response['Plaintext']      # 内存中解密用
ciphertext_dek = response['CiphertextBlob'] # 存储到数据库

# 用DEK加密业务数据
encrypted_data = aes_gcm_encrypt(data, plaintext_dek)

# 存储时只保存 ciphertext_dek + encrypted_data
# 解密时读取ciphertext_dek，调用KMS解密：
plaintext_dek = kms_client.decrypt(CiphertextBlob=ciphertext_dek)['Plaintext']
data = aes_gcm_decrypt(encrypted_data, plaintext_dek)

小技巧：如果你需要频繁加解密不同数据，可以考虑在应用启动时一次性获取DEK并缓存在内存中（比如半小时过期）。这样可以减少KMS的API调用次数，同时兼顾安全。

避坑指南：RSA-OAEP填充让我加了三天班

我曾经在做一个跨国文件共享系统时，用KMS的RSA公钥加密DEK。当时图省事选了默认的PKCS1-v1_5填充，结果跑了一段时间后被安全审计指出存在Million Message Attack风险。后来全部改成，才松了口气。

警告：KMS中对非对称密钥调用加密操作时，一定要显式指定填充模式。RSA推荐使用OAEP（SHA-256）；ECC不需要填充，但签名时注意选择哈希算法（至少SHA-256）。

另外，ECC的密钥生成和签名速度比RSA快很多，但如果你需要"加密大量数据"，ECC也不适合。你想想看，非对称加密每次只能加密几百字节，根本喂不饱大文件。所以它最适合做"钥匙的钥匙"——加密对称密钥。

算法选型速查表

业务场景	推荐算法	KMS支持情况
加密数据库字段	AES-256-GCM	几乎所有KMS原生支持
加密大文件（>1MB）	AES-256-CTR + 分段加密	需要客户端分段调用
TLS证书私钥	RSA-2048 / ECC P-256	KMS可签发证书
API请求签名	ECC（如SM2国内环境）	部分KMS支持带签名的API
信封加密中的KEK	RSA-2048或AES-256	KMS同时支持两种

好了，这一章的核心就这些。对称加密是主力干活的人，非对称加密是管钥匙的人，两者配合才能把KMS用到极致。我个人习惯只要能用信封加密，就坚决不裸奔用对称密钥直接持久化——安全底线一定要守住。