4、签名算法详解：RSA签名、ECDSA签名、Ed25519签名对比
说到固件签名，算法选择是个绕不开的话题。我见过不少项目，上来就拍脑袋选RSA，结果资源吃紧；也见过有人盲目追新用Ed25519，结果工具链不支持，折腾半天。说白了，没有银弹。
这一章，咱们把三种主流签名算法——RSA、ECDSA、Ed25519——掰开揉碎讲清楚。我会结合自己的踩坑经历，帮你理清什么时候该用谁。
核心观点：签名算法的选择，本质是安全强度、计算性能、签名大小、生态成熟度之间的权衡。没有绝对的好坏，只有适不适合你的场景。
4.1 RSA签名：老牌劲旅，生态最成熟
RSA，1977年就诞生了。你想想看，四十多年的历史，几乎所有的密码学库、硬件安全模块（HSM）、操作系统都支持它。我最早做固件签名时，用的就是RSA-2048，因为当时MCU的硬件加速器只支持RSA。
RSA签名原理简述：
- 生成一对密钥：公钥（N, e）和私钥（N, d）。N是两个大素数的乘积。
- 签名：私钥对消息哈希进行模幂运算，得到签名值。
- 验签：公钥对签名值进行模幂运算，与消息哈希比对。
关键参数：
| 安全等级 | RSA密钥长度 | 签名大小 | 签名速度 | 验签速度 |
|---|---|---|---|---|
| 128-bit | 3072 bits | 384 bytes | 慢 | 慢 |
| 112-bit | 2048 bits | 256 bytes | 较慢 | 较慢 |
| 80-bit | 1024 bits | 128 bytes | 中等 | 中等 |
我的经验：RSA-2048是目前嵌入式领域的“安全底线”。低于2048位的RSA，比如1024位，已经被证明可以破解，千万别用。我个人习惯，新项目至少上RSA-3072。
RSA的优缺点：
- 优点：生态无敌，几乎所有平台都支持；算法理解门槛低，文档多；验签算法相对简单，适合资源受限的验证端。
- 缺点：密钥和签名尺寸大；签名速度慢（尤其是私钥操作）；密钥生成非常慢，不适合频繁生成密钥对的场景。
我曾经在一个IoT网关项目里，用RSA-2048做固件签名。每次固件发布，签名要等好几秒。当时觉得没什么，直到后来设备量级上来，每次OTA都要验签，MCU算力吃紧，验签耗时成了瓶颈。嗯，这就是RSA的代价。
4.2 ECDSA签名：椭圆曲线，小而美
ECDSA，基于椭圆曲线密码学。它最大的卖点就是——同样的安全强度下，密钥和签名尺寸比RSA小得多。你想想看，256位的ECDSA，安全性和3072位的RSA差不多，但签名只有64字节。
ECDSA签名原理简述：
- 基于椭圆曲线上的点群运算。私钥是一个随机整数，公钥是私钥乘以基点G得到的点。
- 签名过程涉及随机数k，生成两个整数(r, s)。
- 验签过程通过公钥和签名值恢复出r'，与签名中的r比对。
常见曲线对比：
| 曲线名称 | 密钥长度 | 签名大小 | 安全等级 | 特点 |
|---|---|---|---|---|
| secp256r1 (P-256) | 256 bits | 64 bytes | 128-bit | NIST标准，广泛支持 |
| secp384r1 (P-384) | 384 bits | 96 bytes | 192-bit | 更高安全，性能略低 |
| secp521r1 (P-521) | 521 bits | 132 bytes | 256-bit | 极高安全，性能开销大 |
注意：ECDSA签名依赖高质量的随机数生成器。如果随机数k重复或可预测，私钥会直接泄露。我曾经在审计一个项目时，发现设备用了一个固定种子生成随机数，导致所有ECDSA签名都可以被伪造。这是致命的。
ECDSA的优缺点：
- 优点：密钥和签名尺寸小；签名和验签速度都比RSA快；安全强度高。
- 缺点：实现复杂，容易出错（尤其是随机数问题）；部分老旧平台不支持；验签算法比RSA复杂，对MCU算力要求更高。
我个人习惯，在资源受限的MCU上做固件签名验证时，优先考虑ECDSA。签名小，传输快，验签速度也能接受。但前提是——你必须确保随机数生成器是安全的。
4.3 Ed25519签名：现代之选，性能与安全兼得
Ed25519，基于Curve25519椭圆曲线，是Daniel J. Bernstein设计的。它属于EdDSA（ Edwards-curve Digital Signature Algorithm）家族。说实话，我第一次接触Ed25519时，被它的性能惊艳到了。
Ed25519签名原理简述：
- 使用扭曲爱德华曲线，数学上比Weierstrass曲线更高效。
- 签名过程是确定性的——不依赖随机数生成器。签名值由私钥和消息哈希唯一确定。
- 验签过程非常快，且支持批量验签。
Ed25519关键参数：
| 参数 | 值 | 说明 |
|---|---|---|
| 密钥长度 | 256 bits | 私钥32字节，公钥32字节 |
| 签名大小 | 64 bytes | 与ECDSA P-256相同 |
| 安全等级 | 128-bit | 与RSA-3072相当 |
| 签名速度 | 极快 | 比ECDSA快2-3倍 |
| 验签速度 | 极快 | 比ECDSA快3-5倍 |
为什么Ed25519这么快？因为它的曲线设计允许使用更高效的数学运算，而且签名过程是确定性的，省去了随机数生成的开销。说白了，就是算法层面的优化做到了极致。
Ed25519的优缺点：
- 优点：性能极佳，签名和验签都非常快；签名尺寸小；确定性签名，没有随机数风险；抗侧信道攻击能力强。
- 缺点：生态不如RSA和ECDSA成熟；部分老旧平台和HSM不支持；专利问题（虽然已过期，但有些公司仍有顾虑）。
我在一个高性能网关项目里，把签名算法从RSA-2048换成了Ed25519。固件签名时间从3秒降到了0.1秒，验签时间从0.5秒降到了0.02秒。效果立竿见影。但要注意，如果你的目标MCU没有硬件加速，纯软件实现Ed25519可能会占用较多Flash和RAM。
4.4 三种算法对比总结
咱们直接上对比表，一目了然：
| 对比维度 | RSA-3072 | ECDSA P-256 | Ed25519 |
|---|---|---|---|
| 安全等级 | 128-bit | 128-bit | 128-bit |
| 公钥大小 | 384 bytes | 32 bytes | 32 bytes |
| 签名大小 | 384 bytes | 64 bytes | 64 bytes |
| 签名速度 | 慢 | 中等 | 快 |
| 验签速度 | 慢 | 中等 | 快 |
| 随机数依赖 | 无 | 有（关键） | 无 |
| 生态成熟度 | 极高 | 高 | 中等 |
| 实现复杂度 | 低 | 中 | 中 |
| 抗量子攻击 | 弱 | 弱 | 弱 |
我的选择建议：
- 兼容性优先：选RSA-3072或RSA-4096。适合需要与老旧系统、HSM、CA互操作的场景。
- 性能与尺寸优先：选Ed25519。适合资源受限的MCU、高吞吐量的网关、以及追求极致性能的场景。
- 折中方案：选ECDSA P-256。适合大多数嵌入式场景，生态好，性能可接受。
4.5 核心逻辑框架图
下面这张图，帮你理清三种算法的核心差异和选择路径：
4.6 避坑指南与实战建议
我曾经踩过的坑：
- RSA密钥生成太慢：有一次在产线上用MCU生成RSA-4096密钥对，结果每片设备要等2分钟。后来改成在服务器预生成，再安全注入设备。
- ECDSA随机数重复：审计过一个项目，发现所有设备的ECDSA签名都用了同一个随机数k。私钥直接暴露，整个产品线都得召回。
- Ed25519工具链不支持：选型时没注意，结果发现目标MCU的RTOS密码学库不支持Ed25519。最后只能自己移植，折腾了两周。
我的建议：
- 新项目优先考虑Ed25519，除非有明确的兼容性要求。
- 如果必须用ECDSA，务必使用经过审计的密码学库（如mbedTLS、OpenSSL），并确保随机数生成器有足够的熵源。
- RSA虽然老，但在与PKI体系、CA证书交互时，仍然是事实标准。别轻易抛弃。
- 无论选哪种算法，密钥管理才是真正的安全短板。签名算法再强，私钥泄露了也白搭。
好了，这一章的内容就到这里。三种算法各有千秋，选型时结合你的硬件资源、安全需求、生态兼容性综合判断。记住，没有完美的算法，只有最适合你项目的方案。