4. 镜像签名与验签：RSA/ECDSA 签名算法选择、签名流程优化、验签性能瓶颈分析

签名验签，说白了就是给固件上一把锁，再配一把钥匙。锁得好不好，开锁快不快，直接决定了安全启动的体验。我见过不少团队，算法选型时只看安全性，结果上线后验签慢得离谱，启动时间硬生生多了好几秒。嗯，今天我们就来聊聊怎么选、怎么优化。

4.1 RSA vs ECDSA：到底选哪个？

这个问题，几乎每个做安全启动的人都会纠结。我个人的习惯是：先看你的硬件有没有加速引擎，再看你的签名频率和验签频率。

对比维度	RSA (2048-bit)	ECDSA (P-256)
签名速度	慢（私钥操作，大数模幂）	快（标量乘法）
验签速度	快（公钥指数小，如 65537）	慢（需要两次标量乘法）
密钥长度	256 字节（公钥）	32 字节（公钥）
签名长度	256 字节	64 字节
硬件加速支持	广泛（几乎所有 SoC 都有 RSA 引擎）	较新（高端 SoC 才支持）
安全强度	等效 112-bit	等效 128-bit

4.2 签名流程优化：别让签名成为瓶颈

签名流程，说白了就是三步：哈希、填充、模幂（或标量乘）。但每一步都有优化空间。

4.2.1 哈希先行：一次哈希，多次签名

你想想看，如果每次签名都要对整个镜像做哈希，那效率太低了。我建议的做法是：

1. 先计算镜像的哈希值（比如 SHA-256）。
2. 只对哈希值签名。
3. 将签名和哈希值打包，附加到镜像尾部。

这样做的好处是：签名操作的数据量从几 MB 降到了 32 字节，速度提升非常明显。

4.2.2 并行签名：多核加速

如果你有多个镜像需要签名，别一个一个来。我习惯用多线程并行签名：

// 伪代码：并行签名多个镜像
for each image in images:
    hash = SHA256(image)
    push hash to hash_queue

// 启动 N 个签名线程
for i in 1..N:
    thread:
        while hash_queue not empty:
            hash = pop hash_queue
            signature = RSA_sign(hash, private_key)
            store signature

4.2.3 预计算：把能算的先算好

RSA 签名中的模幂运算，其实可以预计算一些中间结果。比如，私钥指数 d 的二进制表示中，1 的个数决定了模乘的次数。你可以提前把 d 的窗口化表示算好，签名时直接查表。

我曾经在一个项目中，通过预计算将 RSA-2048 的签名时间从 12ms 降到了 8ms。虽然不多，但在批量签名场景下，累积效果很可观。

4.3 验签性能瓶颈分析：到底慢在哪？

验签是安全启动中最关键的一环，也是最容易出性能问题的地方。我们来看看瓶颈到底在哪。

4.3.1 瓶颈一：公钥操作 vs 私钥操作

很多人以为验签和签名一样慢，其实不是。RSA 验签用的是公钥，公钥指数通常选 65537（0x10001），这个数的二进制表示只有两个 1，所以模幂运算非常快。而 RSA 签名用的是私钥，私钥指数 d 很大，运算量是验签的几十倍。

但 ECDSA 正好相反：验签需要两次标量乘法，而签名只需要一次。所以 ECDSA 验签比签名慢。

4.3.2 瓶颈二：哈希计算

验签的第一步是重新计算镜像的哈希值。如果镜像很大（比如几十 MB），哈希计算本身就会消耗大量时间。我建议：

• 使用硬件哈希引擎：大多数 SoC 都有 SHA 硬件加速，记得开启。
• 流式哈希：不要等整个镜像加载完再算哈希，边加载边算。
• 分块校验：对于超大镜像，可以分成多个块，每个块单独签名和验签。这样即使某个块验签失败，也不需要重新计算整个镜像的哈希。

4.3.3 瓶颈三：证书链验证

如果你用了证书链（比如 X.509），验签就不只是验一次了。你需要验证根证书、中间证书、最终实体证书，每一级都要做一次验签操作。证书链越长，验签时间越长。

我曾经遇到一个项目，证书链有 4 级，每次启动光验签就要花 50ms。后来我们做了两件事：

1. 缓存中间证书的验签结果：只要根证书不变，中间证书的验签结果就可以缓存。
2. 缩短证书链：从 4 级减到 2 级（根证书 + 实体证书），验签时间直接降到 15ms。

4.4 知识体系总览

下面这张图，我把签名验签的核心流程和优化点串起来了。你可以对照着看，哪个环节是你的瓶颈。

4.5 实战建议：怎么选，怎么优化

说了这么多，最后给几条可以直接用的建议：

• BootROM 验签：用 RSA-2048，公钥指数 65537，配合硬件 RSA 引擎。验签时间可以控制在 0.5ms 以内。
• OTA 镜像签名：用 ECDSA P-256，签名快，带宽省。如果硬件不支持 ECDSA 加速，可以考虑用 RSA 但配合预计算。
• 证书链：尽量控制在 2 级以内。如果必须用多级，把中间证书的验签结果缓存到安全存储中。
• 哈希：永远用硬件 SHA 引擎。如果 SoC 不支持，至少用流式处理，别等整个镜像加载完。