密钥长度对照计算器

不同算法的「位数」不可直接比较：对称加密（AES）破解靠暴力穷举，n 位密钥强度就是 2^n；RSA 破解靠大数分解（数域筛法），复杂度亚指数——3072 位 RSA 才相当于 128 bit 对称强度；ECC（椭圆曲线）破解靠离散对数，256 bit 就达到 128 bit 强度。这就是 ECC 流行的原因：同等安全下密钥只有 RSA 的 1/12 长，握手更快、证书更小——现代 TLS 1.3 默认全是椭圆曲线。

NIST SP 800-57 的标准对照表（安全强度档）：80 bit（已退役）= 1024 RSA = 160 ECC；112 bit（2030 退役）= 2048 RSA = 224 ECC；128 bit（现行主力）= 3072 RSA = 256 ECC；192 bit = 7680 RSA = 384 ECC；256 bit（顶配）= 15360 RSA = 512 ECC。后量子迁移正在改写这张表：Grover 算法让对称密钥有效位减半（AES-256 当 128 用），Shor 算法直接终结 RSA/ECC——NIST 已选定 ML-KEM（Kyber）作为后量子标准，2025 年起行业开始混合部署。

换算表的数学来源是攻击算法的复杂度：对称密码只有暴力穷举，n 位密钥就是 2^n 次尝试；RSA 基于大数分解，最强的数域筛法是亚指数复杂度，所以要用长得多的密钥把难度补回来；ECC 基于椭圆曲线离散对数，最优通用攻击是 O(√n) 级别，因此强度恰好是位数的一半。三套不同的数学，决定了「位数」必须换算成统一的安全强度档才能比较。

退役时间表是合规的硬约束：NIST SP 800-57 把 80 bit 档（RSA-1024、160 bit ECC）列为 2010 年起禁用；112 bit 档（RSA-2048、ECC-224）处理存量数据可用到 2030 年，新系统不应再选；128 bit 档（AES-128、RSA-3072、ECC-256）是当前主力且 2030 年后仍可用。量子计算的冲击也分两类：Shor 算法让 RSA 与 ECC 整体失效，Grover 算法只把对称强度开平方——AES-256 在量子时代仍有 128 bit 有效强度。

性能维度常被忽略：RSA-4096 的签名耗时约为 2048 的 4–8 倍，密钥生成更是慢几十倍；同等强度的 ECC 签名快一个数量级，证书体积小 80%。这就是为什么现代 TLS 握手用椭圆曲线做密钥交换、实际数据用 AES 加密——「非对称换密钥、对称传数据」的混合加密同时拿到了两边的优点。用 破解时间计算器 可以把各档强度换算成直观的生存时间。

选型决策树可以直接背：新系统 TLS 密钥交换用 X25519 或 P-256；签名优先 Ed25519（快、短、无参数陷阱）；数据存储加密 AES-256-GCM；口令派生密钥用 Argon2id 拉伸；合规要求国密的场景用 SM2（256 bit，对标 ECC-256）加 SM4（128 bit，对标 AES-128）。每个环节都落在 128 bit 档以上，整条链才没有短板。

最常见的误配是「头重脚轻」：AES-256 加密数据、却用 RSA-2048（112 bit）保护 AES 密钥，整体强度塌缩到 112 bit；或者证书链上根证书 4096 位、中间证书却只有 2048 位。攻击者永远打最弱环——先列出链上每个环节（密钥交换、签名、传输加密、存储加密、口令派生），逐项核对强度档位，再决定升级哪里。证书有效期管理可配合 SSL 证书到期计算器 一起巡检。