第1章 密码服务基础
说实话，搞密码服务故障排查这么多年，我最大的感受是：不懂基础，你连日志都看不懂。很多运维兄弟一看到“解密失败”就慌了，其实大部分问题都出在最基础的几个环节上。这一章，我们先把地基打牢。
1.1 密码服务概述——它到底是什么东西？
密码服务，说白了就是“把数据锁起来，再打开”的服务。你想想看，在互联网上传输数据，不加密等于裸奔。密码服务就是那个负责“穿衣服”和“脱衣服”的角色。
我个人习惯把它分成三个层次来看：
- 底层能力：提供加解密、签名验签、哈希计算等原子操作
- 中间管理：密钥的生成、存储、轮转、销毁
- 上层协议：TLS、IPSec、SSH这些协议怎么调用密码功能
在我带团队的过程中，处理过最典型的一类故障是：密钥对换了，但服务没重启。结果新的请求进来，用的还是缓存里的旧密钥，所有解密都失败。这个坑，下面我们会详细讲到如何通过日志定位。
核心观点：密码服务的本质是“可信的密钥管理 + 正确的算法调用”。故障80%出在密钥本身。
下面这张图，我把密码服务的核心功能模块画出来了，每次排查故障前我建议你脑子里先过一遍这个结构：
实战心得：搞故障取证，一定要盯着“密钥管理”和“安全协议”两个块。日志里出现的证书失效、算法不匹配、TLS握手失败，根源基本都在这里。
1.2 常见密码算法——你大概率会碰到这几类
密码算法看着种类多，但实际工作中常用的就那么几个。我把它们分成三大类，记牢了就够了。
| 算法类别 | 代表算法（国密/国际） | 核心用途 | 故障高发点 |
|---|---|---|---|
| 对称加密 | SM4 / AES-256 / 3DES | 数据体加密（快） | IV向量不一致、密钥长度不匹配 |
| 非对称加密 | SM2 / RSA-2048 / ECDSA | 密钥交换、数字签名 | 密钥对不配对、证书链断裂 |
| 哈希算法 | SM3 / SHA-256 / MD5 | 完整性校验、数据指纹 | 碰撞、截断方式不一致 |
坑：我曾经遇到一个项目，A模块用SM4-CBC/PKCS5Padding，B模块用SM4-CBC/ZeroPadding，结果两边加解密一直报错。说白了，模式一致但填充方式不一样也不行。日志里一定要对比算法全名！
1.3 密钥管理——密码服务的“心脏”
为什么说密钥管理是最容易出问题的？我给你看几个真实日志片段就明白了。
[ERROR] 2025-03-10 14:22:33 Decryption failed: key not found for key_id=K2025031001
[ERROR] 2025-03-10 14:23:01 Certificate verification failed: CA root not trusted
[WARN] 2025-03-10 14:23:15 Key rotation skipped: backup key file missing这三行日志，每行对应一类常见故障：
- 密钥丢失：密钥ID在密钥管理服务（KMS）里找不到
- 证书信任链问题：客户端不信任服务端证书CA
- 密钥轮转失败：轮转时备份密钥文件丢失，导致新密钥无法下发
我个人习惯在排查这类问题时，先检查密钥的完整生命周期：从哪里生成的？怎么存的？有没有定时轮转？日志里都有记录。
关键动作：搞故障取证，第一步永远是用
grep key_id 或者 grep cert_id 把密钥相关的日志全捞出来。别急着看业务日志，先看密钥日志。
1.4 安全协议——它们到底怎么“握手”的？
安全协议方面，TLS 1.3 是目前最主流的。很多故障其实是握手阶段就失败了，业务根本到不了加解密那一步。
TLS握手失败的典型原因：
- 密码套件不匹配：客户端支持TLS_ECDHE_RSA_WITH_AES_128_GCM，服务端只支持TLS_RSA_WITH_AES_256_CBC
- 证书过期或无效：时间戳检查不通过
- SNI（Server Name Indication）错误：客户端请求的域名和服务端证书不符
避坑指南：我曾经半夜被叫起来处理一个TLS握手失败的问题。查了半天，结果是服务器系统时间比真实时间慢了3分钟。证书的有效性检查直接挂了。所以，证书问题，先看服务器时间。
下面我把TLS握手的关键步骤和对应的日志关键字列出来，方便你以后快速对号入座：
| 步骤 | 动作 | 日志关键字 | 常见故障 |
|---|---|---|---|
| 1 | ClientHello | ClientHello |
套件列表为空 |
| 2 | ServerHello + 证书 | ServerHello, Certificate |
证书链不完整 |
| 3 | 密钥交换 | KeyExchange |
密钥长度不匹配 |
| 4 | ChangeCipherSpec | ChangeCipherSpec |
协商失败 |
| 5 | Finished | Finished |
MAC校验失败 |
1.5 密码服务的通用排查思路
嗯，这里我要强调一个我个人认为最实用的排查思路：“由外到内，由协议到密钥”。
- 看外层协议：TLS/SSL握手是否成功？日志里有没有
Handshake failure？ - 看算法是否匹配：客户端和服务端用的算法套件、密钥长度、哈希方式是否一致？
- 看密钥是否存在：日志里有没有
key not found、Certificate not trusted？ - 看数据格式：加解密的数据有没有被截断？填充方式是否一致？
最后提醒一句：千万不要盲目相信配置。我见过太多次“配置文件里写着A算法，实际跑的却是B算法”的情况。一切以日志为准。日志才是真正的“事实证据”。