ECC 与 RSA：安全性和性能权衡

ECC 和 RSA 都用于公钥密码学。本课将从密钥大小、速度、签名大小和抗量子性等方面对它们进行系统比较。

安全级别 | RSA 密钥 | ECC 密钥\n80 位 | 1024 | 160\n112 位 | 2048 | 224\n128 位 | 3072 | 256\n192 位 | 7680 | 384\n256 位 | 15360 | 521\n\n在相同安全性下，ECC 所需的密钥长度约为 RSA 的 1/6–1/10。

RSA-2048 密钥生成：约 50ms（必须找到两个大素数）。\nECDSA-256 密钥生成：<1ms（只需选择一个随机标量）。\nECC 密钥生成快几个数量级，这对临时密钥很重要。

ECDSA-256 签名：约 0.05ms。RSA-2048 签名：约 1ms。ECDSA 的签名速度约快 20 倍。Ed25519 签名：约 0.02ms，是目前可用的最快签名方案。

RSA-2048 验证：约 0.05ms（开销低，因为是公钥运算）。ECDSA-256 验证：约 0.2ms。RSA 验证实际上比 ECDSA 更快。Ed25519 的批量验证速度极快。

算法 | 密钥大小 | 签名大小\nRSA-2048 | 256 B | 256 B\nRSA-3072 | 384 B | 384 B\nECDSA-256 | 64 B | 约 71 B（DER）\nEd25519 | 32 B | 64 B\n\n在大小方面，ECC 具有明显优势。

使用 RSA-2048 的 TLS 证书：约 800 字节。使用 ECDSA-256：约 300 字节。每天进行数百万次 TLS 握手时，这可以节省大量带宽。

Intel/AMD CPU 具有 AES-NI，但没有原生的 RSA/ECC 指令。现代 CPU 上的 ECDSA：约每秒 2500 次验证（P-256 软件实现）。使用专用密码 ASIC（HSM）：每秒超过 100,000 次。

RSA 和 ECC 都会被足够大型的量子计算机上的 Shor 算法攻破。RSA 需要进行因数分解（其复杂度关于量子比特数量是多项式级的）；ECDLP 需要求解量子离散对数。二者都无法抵御具有密码学实际威胁的 QC。

NIST PQC 标准（2024 年）：CRYSTALS-Kyber（KEM，用于替代 DH/ECDH）、CRYSTALS-Dilithium/Falcon（签名，用于替代 RSA/ECDSA）。RSA 和 ECC 最终都将被替代。

当前建议：立即部署 ECDSA/ECDH 以获得性能优势，同时规划 PQC 迁移。TLS 1.3 支持混合 KEM：同时使用 X25519 + Kyber。必须同时攻破两者，系统才会遭到破坏。

除了 RSA 验证速度更快之外，ECC 在所有实际维度上都胜过 RSA。接下来我们将深入学习 MAC 和 HMAC 的构造。