3、RSA签名算法：RSA密钥生成、RSA签名与验签流程、RSA在安全启动中的局限性

聊到安全启动，RSA 绝对是绕不开的经典算法。我最早接触 RSA 是在做一款车载 TBox 的安全启动方案时，那时候对它的理解还停留在「公钥加密、私钥解密」这个层面。后来真正上手做签名验签，才发现这里面门道不少。今天咱们就把 RSA 在安全启动里的角色拆开来看。

3.1 RSA 密钥生成——大质数是地基

RSA 的安全性，说白了就建立在「大数分解很难」这个数学事实上。你想想看，两个大质数乘起来很容易，但给你一个乘积让你反推是哪两个质数，那就难了。

密钥生成的步骤大致是这样：

1. 随机选两个大质数 p 和 q，长度通常 1024 位或 2048 位
2. 计算 n = p × q，n 就是模数
3. 计算欧拉函数 φ(n) = (p-1)(q-1)
4. 选一个公钥指数 e，常用 65537（0x10001）
5. 计算私钥指数 d，满足 e × d ≡ 1 (mod φ(n))
6. 公钥就是 (n, e)，私钥就是 (n, d)

这里有个坑——p 和 q 不能太接近。我曾经在项目里见过一个同事用随机数生成器，结果 p 和 q 差值很小，导致 n 能被快速分解。嗯，那批设备差点要召回重做。

3.2 RSA 签名与验签流程

签名和验签，很多人容易和加密解密搞混。我简单说：签名用私钥，验签用公钥。这和加密正好反过来。

签名流程

1. 对原始消息做哈希运算，得到消息摘要
2. 用私钥对摘要做 RSA 运算，生成签名
3. 把原始消息和签名一起发给接收方

验签流程

1. 接收方拿到消息和签名
2. 对消息做同样的哈希运算
3. 用公钥解密签名，得到摘要
4. 对比两个摘要，一致则验签通过

代码实现其实不复杂。下面是一个简化的签名示例：

// 签名端（私钥签名）
uint8_t hash[SHA256_DIGEST_SIZE];
SHA256_Compute(message, message_len, hash);

uint8_t signature[RSA_KEY_SIZE];
RSA_Private_Encrypt(hash, SHA256_DIGEST_SIZE, 
                    private_key, signature);

// 验签端（公钥验签）
uint8_t hash_from_msg[SHA256_DIGEST_SIZE];
SHA256_Compute(message, message_len, hash_from_msg);

uint8_t hash_from_sig[SHA256_DIGEST_SIZE];
RSA_Public_Decrypt(signature, RSA_KEY_SIZE,
                   public_key, hash_from_sig);

if (memcmp(hash_from_msg, hash_from_sig, SHA256_DIGEST_SIZE) == 0) {
    // 验签通过
} else {
    // 验签失败
}

3.3 RSA 在安全启动中的局限性

RSA 虽然经典，但在安全启动场景下，有几个硬伤不得不提。

我在一个智能门锁项目里就吃过 RSA 的亏。当时选了 2048 位 RSA，结果那颗 Cortex-M0 的 MCU 验签一次要 800 多毫秒。用户按指纹开门，愣是等了一秒多才响应。后来换成了 ECDSA，验签时间降到了 50 毫秒以内。

下面这张图能帮你快速理解 RSA 签名验签在安全启动中的位置：

说实话，RSA 在安全启动领域正在被 ECC 和 Ed25519 逐步替代。但很多老项目、车规级芯片、以及需要兼容 FIPS 140 认证的场景，RSA 依然是主力。我的建议是：新项目优先考虑 ECDSA，存量系统做好 RSA 密钥长度升级计划。