3. 加密算法选型：对称 vs 非对称 & 密钥管理策略
审计日志加密的核心矛盾在于：写入性能与安全强度的平衡。对称加密速度快，但密钥分发麻烦；非对称加密安全性高，但计算开销大。本讲从这三个维度展开对比，并给出密钥管理的实战策略。
3.1 对称加密：AES-GCM
AES-GCM（Galois/Counter Mode）是目前审计日志场景的首选对称加密方案。它同时提供机密性、完整性和认证，且支持硬件加速（如 AES-NI 指令集）。
- 加密速度：在 x86 服务器上可达 1~3 GB/s（软件）或 10+ GB/s（硬件加速）。
- IV 使用限制：同一密钥下 IV 必须唯一，否则可能泄露密钥；推荐使用 96 位 IV 并用计数器生成。
- 附加认证数据 (AAD)：可绑定日志元数据（如时间戳、日志 ID）防止重放。
实战建议：使用 AES-256-GCM 搭配 12 字节随机 IV + 4 字节计数器，确保每 2^32 条日志内 IV 不重复。
3.2 非对称加密：RSA 与 ECC
非对称加密用于密钥交换和数字签名，而非直接加密每一条日志。审计日志中通常用非对称加密来保护对称密钥（信封加密）或验证日志完整性（签名）。
| 特性 | RSA (2048位) | ECC (P-256 / secp256r1) |
|---|---|---|
| 安全等价强度 | 112 位 | 128 位 |
| 加密速度 (签名/验签) | 慢（~1000 次/秒） | 快（~5000 次/秒） |
| 密钥存储大小 | 256 字节 | 32 字节 |
| 适用场景 | 传统兼容、CA 证书 | 移动端、IoT、新架构 |
关键结论：对于高吞吐审计日志的签名或密钥封装，ECC 是更优选择，因为其密钥更小、计算更快、同等安全强度下能耗更低。
3.3 混合加密架构（推荐方案）
实际生产中使用混合加密：对称加密批量日志 + 非对称加密保护对称密钥。架构流程如下：
- 每个日志批次生成临时 AES-256 会话密钥。
- 用该密钥对日志明文进行 AES-GCM 加密，输出密文 + 认证标签。
- 用预置的 RSA 公钥 / ECC 公钥 加密该会话密钥。
- 将加密后的密钥与密文一起存储，解密时用私钥先解出会话密钥。
3.4 密钥管理策略
密钥管理是加密体系中最脆弱的一环。以下策略适用于审计日志场景：
| 策略 | 说明 | 推荐度 |
|---|---|---|
| 轮换周期 | 对称密钥每 24 小时或每 10 万条日志轮换一次 | 🌟🌟🌟🌟🌟 |
| 硬件安全模块 (HSM) | 私钥存放在 HSM 或 KMS 中，程序获取加密上下文而非私钥明文 | 🌟🌟🌟🌟 |
| 密钥派生 | 基于主密钥 + 日志批次号，使用 HKDF 派生会话密钥，避免明文传输 | 🌟🌟🌟🌟 |
| 密钥过期 | 超过 7 天的旧密钥必须销毁，防止历史日志被大量破解 | 🌟🌟🌟🌟🌟 |
| 审计密钥使用 | 每次解密操作记录到独立审计日志，并定期审查异常调用 | 🌟🌟🌟 |
重要警告：切勿将密钥硬编码在代码中或与日志存储在同一个数据库！建议使用云 KMS（如 AWS KMS、Azure Key Vault）或自建 Vault 服务。
3.5 选型决策矩阵
根据性能、安全、管理成本三个维度，给出最终选型建议：
| 场景 | 对称加密 | 非对称加密（密钥保护） | 推荐理由 |
|---|---|---|---|
| 日志写入吞吐 > 10k QPS | AES-256-GCM | ECC P-256 (ECDH 密钥交换) | GCM 硬件加速 + ECC 轻量握手 |
| 日志写入吞吐 < 1k QPS | AES-256-GCM | RSA-2048 | 兼容现有 PKI 基础设施 |
| 跨组织日志共享 | 无需对称 | ECC + 数字信封 | 每个组织有自己的公钥，解耦管理 |
| 移动端 / IoT 日志 | AES-128-GCM (减少密钥大小) | ECC P-256 | 低功耗、小内存 |