🔑 对称 & 非对称加密

🔐 对称加密：快、可靠、无处不在

对称加密使用同一个密钥进行加密和解密。它是现代密码学的基石——你每天上网产生的加密流量，99% 都是对称加密。

为什么对称加密是主流？

AES：高级加密标准

AES (Advanced Encryption Standard) 由 NIST 于 2001 年发布（FIPS 197），替代了已不安全的 DES。它是一种分组密码，固定块大小 128 位，支持 128/192/256 位密钥。

AES 的工作模式

AES 本身只能加密 128 位的块。工作模式定义了如何处理超过 128 位的数据：

ChaCha20-Poly1305：AES-NI 不可用时的替代

Google 的 Adam Langley 设计了 ChaCha20-Poly1305 作为 AES-GCM 的替代方案。在移动设备（没有 AES-NI 指令集的 ARM 芯片）上，ChaCha20-Poly1305 比 AES-GCM 快得多。TLS 1.3 中两者都是必须支持的密码套件。

🔓 非对称加密：公钥革命的产物

1976 年 Diffie 和 Hellman 的论文《New Directions in Cryptography》开创了公钥密码学。非对称加密使用一对密钥：公钥公开，私钥保密。它解决了对称加密的核心问题——密钥分发。

三大非对称加密体系

密钥长度安全等效对照表

ECC 关键曲线详解

数字签名：非对称加密的核心应用

数字签名是"非对称加密的逆向使用"——用私钥签名，用公钥验证。它提供两个保证：

• 认证性 (Authentication)：签名者确实拥有私钥
• 不可否认性 (Non-repudiation)：签名者不能否认签过
• 完整性 (Integrity)：消息未被篡改

🤝 TLS 1.3 握手过程详解

TLS (Transport Layer Security) 是对称加密和非对称加密协作的完美范例：用非对称加密安全协商对称密钥，然后用对称加密传输数据。TLS 1.3 (RFC 8446) 大幅简化了握手流程。

TLS 1.3 完整握手流程

TLS 1.3 vs TLS 1.2 关键改进

TLS 1.3 支持的 5 个密码套件

TLS_AES_128_GCM_SHA256          # AES-128-GCM + SHA-256, 最快
TLS_AES_256_GCM_SHA384          # AES-256-GCM + SHA-384, 更安全
TLS_CHACHA20_POLY1305_SHA256    # ChaCha20-Poly1305 + SHA-256, 移动端首选
TLS_AES_128_CCM_SHA256          # AES-128-CCM + SHA-256, IoT 设备
TLS_AES_128_CCM_8_SHA256        # AES-128-CCM-8 + SHA-256, 极短标签

🗝️ API 密钥 & 密码存储：绝大多数人做错了

❌ 常见错误

• 明文存储 API 密钥（GitHub 上每天都有泄露）
• 用 MD5/SHA-1 哈希密码（已被破解，彩虹表秒杀）
• 用 SHA-256 哈希密码但不加盐（彩虹表仍然有效）
• 自己写加密算法（永远不要这样做）
• 在代码/配置文件中硬编码密钥

✅ 正确做法：密码存储

密码存储的黄金标准：bcrypt / scrypt / Argon2。它们是"慢哈希"——故意设计成计算缓慢，使暴力破解的成本极高。

✅ 正确做法：API 密钥存储

API 密钥和密码不同——API 密钥需要可验证但不可逆：

• 存储：只存储密钥的 SHA-256/SHA-512 哈希值
• 验证：用户提供密钥时，计算哈希并与存储的哈希比对
• 展示：创建时只显示一次完整密钥，之后只显示前4后4位（如 sk_live_abc1...xyz9）
• 轮换：支持密钥轮换，旧密钥有过渡期

密钥轮换策略

密钥轮换是安全运维的基本功。好的轮换策略应该：

• 无停机：新密钥生成 → 部署 → 旧密钥标记为"只验证不签名" → 过渡期后删除
• 自动化：用 CI/CD + 密钥管理服务自动轮换
• 可审计：每次轮换记录时间、操作者、旧密钥哈希
• 分层：数据加密密钥 (DEK) 频繁轮换，密钥加密密钥 (KEK) 较少轮换

🎫 JWT vs Session：安全分析

JWT 安全最佳实践

JWT 的问题不是 JWT 本身，而是大多数人的用法：

• 永远验证签名：不要只 decode 不 verify。很多 JWT 库的 decode() 不验证签名，必须用 verify()
• 设置短过期时间：Access Token ≤ 15 分钟，用 Refresh Token 续期
• 不要在 JWT 中存敏感数据：JWT 的 Payload 是 Base64 编码（不是加密），任何人都能解码
• 使用 alg 白名单：防止算法混淆攻击（将 RS256 改为 HS256）
• 实现 Token 黑名单：虽然违背"无状态"初衷，但撤销能力是必须的
• 使用 HttpOnly + Secure Cookie：防止 XSS 窃取 Token

💻 代码示例

Python：AES-GCM 加密解密

from cryptography.hazmat.primitives.ciphers.aead import AESGCM
import os

# 生成 256 位密钥
key = AESGCM.generate_key(bit_length=256)
aesgcm = AESGCM(key)

# 加密
nonce = os.urandom(12)  # GCM 推荐 96 位 nonce
plaintext = b"Hello, AI World! 这是一条加密消息。"
aad = b"additional-data"  # 关联数据（不加密但认证）
ciphertext = aesgcm.encrypt(nonce, plaintext, aad)
print(f"密文: {ciphertext.hex()[:64]}...")

# 解密
decrypted = aesgcm.decrypt(nonce, ciphertext, aad)
print(f"明文: {decrypted.decode()}")

# ⚠️ 注意：同一个密钥 + 同一个 nonce 不能加密不同的消息！
# nonce 重复会导致密钥流重用，破坏机密性和认证性

Python：RSA 密钥对生成 & 签名

from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives import hashes, serialization

# 生成 RSA-2048 密钥对（推荐 4096 用于新项目）
private_key = rsa.generate_private_key(
    public_exponent=65537,  # 标准公钥指数
    key_size=2048,
)
public_key = private_key.public_key()

# 签名（使用 PSS 填充，比 PKCS1v15 更安全）
message = b"Important AI model hash: sha256:abc123..."
signature = private_key.sign(
    message,
    padding.PSS(
        mgf=padding.MGF1(hashes.SHA256()),
        salt_length=padding.PSS.MAX_LENGTH
    ),
    hashes.SHA256()
)

# 验证
try:
    public_key.verify(
        signature,
        message,
        padding.PSS(
            mgf=padding.MGF1(hashes.SHA256()),
            salt_length=padding.PSS.MAX_LENGTH
        ),
        hashes.SHA256()
    )
    print("✅ 签名验证通过")
except Exception as e:
    print(f"❌ 签名验证失败: {e}")

# 导出密钥（私钥加密存储）
pem_private = private_key.private_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PrivateFormat.PKCS8,
    encryption_algorithm=serialization.BestAvailableEncryption(b"my-password")
)
pem_public = public_key.public_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PublicFormat.SubjectPublicKeyInfo
)

Python：Ed25519 签名（推荐用于新项目）

from cryptography.hazmat.primitives.asymmetric.ed25519 import Ed25519PrivateKey
from cryptography.hazmat.primitives import serialization

# 生成 Ed25519 密钥对（比 RSA 快 100 倍，签名更短）
private_key = Ed25519PrivateKey.generate()
public_key = private_key.public_key()

# 签名 - 极其简单，不需要指定填充和哈希
message = b"Model inference result hash: sha256:xyz789..."
signature = private_key.sign(message)
print(f"签名大小: {len(signature)} 字节")  # 64 字节

# 验证
try:
    public_key.verify(signature, message)
    print("✅ Ed25519 签名验证通过")
except Exception:
    print("❌ 签名验证失败")

Python：Argon2id 密码哈希

# pip install argon2-cffi
from argon2 import PasswordHasher
from argon2.exceptions import VerifyMismatchError

# 创建哈希器（推荐参数）
ph = PasswordHasher(
    time_cost=3,       # 迭代次数（默认 3）
    memory_cost=65536, # 内存使用 64MB（默认 102400 = 100MB）
    parallelism=4,     # 并行度（匹配 CPU 核数）
    hash_len=32,       # 输出哈希长度
    salt_len=16,       # 盐长度
    type=argon2.Type.ID # Argon2id（推荐，抗侧信道+抗GPU）
)

# 哈希密码
password = "user-password-123"
hash_str = ph.hash(password)
print(f"哈希: {hash_str}")
# 输出示例: $argon2id$v=19$m=65536,t=3,p=4$c2FsdHNhbHQ$hash...

# 验证密码
try:
    ph.verify(hash_str, password)
    print("✅ 密码正确")
except VerifyMismatchError:
    print("❌ 密码错误")

# 检查是否需要重新哈希（参数更新后）
if ph.check_needs_rehash(hash_str):
    new_hash = ph.hash(password)
    print("密码哈希已更新到新参数")

OpenSSL 命令行实战

# 生成 RSA-4096 私钥
openssl genrsa -out private.pem 4096

# 从私钥提取公钥
openssl rsa -in private.pem -pubout -out public.pem

# 生成 ECC (P-256) 私钥
openssl ecparam -name prime256v1 -genkey -noout -out ecc-private.pem

# 生成 Ed25519 私钥
openssl genpkey -algorithm ED25519 -out ed25519-private.pem

# 用 RSA 私钥签名文件
openssl dgst -sha256 -sign private.pem -out signature.bin message.txt

# 用 RSA 公钥验证签名
openssl dgst -sha256 -verify public.pem -signature signature.bin message.txt

# AES-256-GCM 加密文件
openssl enc -aes-256-gcm -salt -in plaintext.txt -out ciphertext.enc -pass pass:your-password

# 生成自签名证书（仅开发用！）
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

# 查看证书详情
openssl x509 -in cert.pem -text -noout

# 测试 TLS 连接
openssl s_client -connect example.com:443 -tls1_3

Node.js：JWT 安全实践

const jose = require('jose'); // 推荐：jose 库比 jsonwebtoken 更现代

// 生成 EdDSA (Ed25519) 密钥对用于 JWT 签名
const { publicKey, privateKey } = await jose.generateKeyPair('EdDSA', {
  crv: 'Ed25519'
});

// 签发 JWT
const jwt = await new jose.SignJWT({
  sub: 'user-123',
  role: 'admin',
  model: 'gpt-4'
})
  .setProtectedHeader({ alg: 'EdDSA' })  // 明确指定算法！
  .setIssuedAt()
  .setIssuer('https://api.example.com')
  .setAudience('https://app.example.com')
  .setExpirationTime('15m')  // 短过期时间
  .sign(privateKey);

// 验证 JWT（强制指定算法，防止 alg 混淆攻击）
const { payload } = await jose.jwtVerify(jwt, publicKey, {
  algorithms: ['EdDSA'],  // 白名单算法
  issuer: 'https://api.example.com',
  audience: 'https://app.example.com',
});

✅ 实战检查清单