4、哈希算法在签名中的应用：SHA-256、SHA-3、哈希碰撞与安全性、消息摘要的作用
聊到签名验签，哈希算法是绕不开的核心组件。说白了，签名并不是直接对固件本身做运算——固件动不动几兆甚至几十兆，非对称算法根本算不动。实际做法是：先对固件算一个哈希值，再对这个哈希值签名。
这个哈希值，就是我们常说的「消息摘要」。它就像固件的指纹，独一无二。
4.1 消息摘要：固件的数字指纹
消息摘要的作用，我总结下来就三条：
- 压缩：不管固件多大，哈希值长度固定。SHA-256 输出 256 位，也就是 32 字节。
- 唯一性：理论上，不同固件算出相同哈希值的概率极低。
- 不可逆：从哈希值反推原始固件内容，计算上不可行。
核心理解：签名验签的本质，是对「固件的摘要」做认证，而不是对固件本身。这大大提升了效率。
我在项目中遇到过有人问：「既然哈希不可逆，那直接拿哈希当签名不就行了？」嗯，这里有个关键区别——哈希只能保证数据没被改，但不能证明是谁签的。签名需要私钥参与，哈希只是中间产物。
4.2 SHA-256：当前的主流选择
SHA-256 属于 SHA-2 家族，是目前嵌入式固件签名中使用最广泛的哈希算法。为什么是它？
- 安全性足够：至今没有有效的碰撞攻击方法。
- 硬件支持好：多数 MCU 和 SoC 内置 SHA-256 硬件加速模块。
- 标准成熟：NIST 推荐，各大工具链原生支持。
一个典型的固件签名流程中，SHA-256 的计算过程大致如下：
// 伪代码示例：固件哈希计算
uint8_t firmware_buf[FIRMWARE_SIZE];
uint8_t hash_output[32]; // SHA-256 输出 32 字节
SHA256_CTX ctx;
sha256_init(&ctx);
sha256_update(&ctx, firmware_buf, FIRMWARE_SIZE);
sha256_final(&ctx, hash_output);
// 此时 hash_output 就是固件的消息摘要
// 后续用私钥对这个 32 字节签名即可个人习惯：我在做固件签名工具时，会在哈希计算前先校验固件头部完整性。这样能提前发现数据损坏，避免签名阶段报错。
4.3 SHA-3：新一代的备选方案
SHA-3 和 SHA-2 不是简单的升级关系。它们底层结构完全不同——SHA-2 是 Merkle-Damgård 结构，SHA-3 是海绵结构。
为什么要关注 SHA-3？
- 抗攻击能力更强：海绵结构对长度扩展攻击天然免疫。
- 性能可调：输出长度灵活，适合不同安全等级需求。
- 未来兼容：部分新标准开始要求支持 SHA-3。
但说实话，目前嵌入式领域 SHA-3 用得还不多。主要原因是硬件加速模块普及率低，纯软件实现速度比 SHA-256 慢不少。
| 特性 | SHA-256 | SHA-3 (256位变体) |
|---|---|---|
| 底层结构 | Merkle-Damgård | 海绵结构 |
| 输出长度 | 256 位 (32 字节) | 256 位 (32 字节) |
| 硬件加速 | 广泛支持 | 较少 |
| 长度扩展攻击 | 易受攻击 | 天然免疫 |
| 嵌入式普及度 | 极高 | 较低 |
避坑指南：我曾经在一个项目里直接拿 SHA-256 的中间状态做固件增量更新校验，结果被长度扩展攻击打了个措手不及。后来改用 HMAC-SHA256 才解决问题。如果你需要防篡改，别直接用裸哈希。
4.4 哈希碰撞：概率极低但必须重视
哈希碰撞，就是两个不同的输入算出了相同的哈希值。对于签名验签来说，碰撞意味着攻击者可以伪造一个不同的固件，却通过哈希校验。
SHA-256 的碰撞概率有多低？
- 输出空间：2^256 种可能。
- 生日攻击需要的尝试次数：约 2^128 次。
- 这个数字有多大？比宇宙中的原子总数还多好几个数量级。
所以实际工程中，SHA-256 的碰撞风险可以忽略不计。但要注意的是，MD5 和 SHA-1 已经被证明存在实际可行的碰撞攻击，绝对不能再用于固件签名。
我的建议：新项目一律用 SHA-256 或更高。遗留系统如果还在用 SHA-1，尽快升级。这不是「可能出问题」，而是「迟早出问题」。
4.5 哈希算法在签名中的完整角色
为了让你更直观地理解哈希算法在整个签名流程中的位置，我画了一张图：
从图上你能看到：签名和验签都依赖哈希算法。签名时，哈希把固件压缩成固定长度的摘要；验签时，同样的哈希算法对接收到的固件重新计算摘要，然后比对。
这里有个容易被忽略的点：哈希算法必须一致。签名端用 SHA-256，验签端也必须用 SHA-256。如果两边算法不匹配，验签必然失败。
4.6 实际工程中的选择建议
说了这么多，到底该用哪个？我根据实际项目经验，给你一个参考：
- 通用嵌入式固件签名：SHA-256 足够，硬件加速多，生态成熟。
- 高安全等级场景（金融、军工）：考虑 SHA-384 或 SHA-512，或者 SHA-3。
- 资源极度受限的 MCU：SHA-256 仍是首选，纯软件实现也能跑。
- 新设计：预留 SHA-3 支持接口，方便未来升级。
一个小技巧：我在做固件签名工具时，会在哈希计算前先校验固件头部完整性。这样能提前发现数据损坏，避免签名阶段报错。
哈希算法是签名验签的基石。选对了，整个安全体系就稳了一半。选错了——嗯，你想想看，如果基石的强度都不够，上面的签名再漂亮也没用。