为什么需要从RSA迁移到SM2：合规及安全要求
这个问题我经常被问到，尤其是一些老系统改造项目。说实话，很多团队一开始觉得RSA用得好好的，干嘛要折腾？我们来看看真正的驱动因素。
合规要求——这是硬约束，绕不过
先讲一个我亲身经历的项目。某金融机构要做等保三级测评，评审专家一看还在用RSA 2048位，直接给了个整改项。没办法，后来我们花了三个月做了SM2替换。你想想看，如果等测评审不通过，业务就得停摆。这就是合规的力量。
| 合规依据 | 核心要求 | 对RSA的影响 |
|---|---|---|
| 《密码法》 | 核心领域必须使用国密算法 | RSA不再被推荐 |
| 《网络安全等级保护》 | 三级及以上系统需用国密 | 直接用SM2替代RSA签名/密钥交换 |
| 《商用密码管理条例》 | 商密产品需通过检测认证 | RSA证书无法通过检测 |
| 行业监管要求 | 金融、政务、能源等领域强制 | 不替换就无法通过审计 |
说白了，现在国家层面已经把国密算法作为合规红线。我建议你的法务和合规团队先去查一下手头系统涉及的业务领域，有没有明确的替换时间表。嗯，很多行业的窗口期其实已经过去了。
安全要求——RSA确实老了
从密码学角度看，RSA基于大整数分解难题。我记得2018年有一篇说，一张QPU（量子处理单元）如果达到4099个逻辑量子比特，就能在几个小时内破解2048位RSA。虽然这还需要时间，但密码学领域讲的是预则立。
另外，你想想看RSA密钥位数的增长趋势。20年前1024位还够用，现在安全红线已经推到3072位甚至4096位。密钥越长，计算开销越大，对端侧设备（比如物联网模块）来说就是灾难。我在一个智慧门锁项目里试过RSA 4096签名，单次签名耗时280毫秒，用户开锁的体验卡得不行。
而SM2使用椭圆曲线密码，256位密钥就能提供与RSA 3072位相同的安全强度。为什么呢？因为SM2基于椭圆曲线离散对数难题，目前没有亚指数级攻击算法。说白了，花更少的比特，守更牢的大门。
一个小提示：SM2的签名长度是64字节（r+s各32字节），而RSA 2048签名是256字节。在网络传输和存储空间上，SM2能省下不少带宽和容量。我推荐在证书链场景下优先选SM2。
迁移的双重驱动力
用一张图来总结为什么必须换。下面的结构图展示了从RSA到SM2迁移的四个核心驱动力。
迁移过程中的常见误区
我曾经见过一个团队，为了应付合规检查，只是在配置文件里把算法名从RSA改成了SM2，底层库根本没换。结果运行时抛出安全异常，系统崩溃。这种“表层替换”很危险。
警告：SM2和RSA在密钥格式、签名算法、填充方式上完全不同。不能简单地将RSA公钥/私钥的二进制流直接当作SM2密钥使用。必须经过密钥转换或重新生成。
另一个常见坑是性能评估。我做过的压力测试数据显示，SM2签名比RSA 2048快约3~5倍，但验证速度差不多。如果你的业务是高频验证（比如API网关），迁移后反而可能略有下降。怎么办？我建议先跑一个原型压测，确认是否影响SLA。
安全收益量化对比
下面这张表可以直接拿来写迁移方案报告。我习惯把这种对比放在技术决策文档里，方便领导快速理解。
| 对比维度 | RSA-2048 | SM2-256 | 安全收益 |
|---|---|---|---|
| 安全强度（位） | 112位 | 128位 | 提升14% |
| 密钥生成速度 | 慢（需大素数生成） | 快（点乘运算） | 提升10倍以上 |
| 签名长度 | 256字节 | 64字节 | 减少75% |
| 量子抗性 | 无（Shor算法可破解） | 中等（Grover算法需2^128步） | 后量子时代更安全 |
| 合规支持 | 非国标 | 国标GB/T 32918 | 直接满足等保要求 |
还有个实践经验：在证书替换时，记得同时更新根证书和中间CA证书。我曾遇到一个项目只换了叶子证书，中间CA还是RSA，结果浏览器提示“不受信任的证书链”。一定要从根到叶全部替换。
好了，总结一下核心观点。合规是刚性约束，安全是内在需求。RSA在当前和可预见的未来，理论上还有生存空间，但实际应用中已经被政策和技术趋势双重挤压。我个人的建议是：如果系统处于新建设计阶段，直接选SM2；如果是存量系统，尽快启动迁移评估，不要等到审计整改通知书下来才动手。