加密基础理论：对称加密与非对称加密、哈希函数、数字签名、密钥管理基础
各位同学，咱们今天聊点硬核的——加密基础理论。说实话，这章内容看着有点多，但别怕。我做了十几年通信安全，最深的体会就是：加密这东西，你理解了核心思想，剩下的都是工具。今天我就把压箱底的经验掰开揉碎了讲给你听。
对称加密：一把钥匙开一把锁
对称加密，说白了就是加密和解密用同一把钥匙。你想想看，就像你家大门钥匙，锁门和开门都是它。简单、高效，这是它的优点。
我在项目中遇到过最典型的场景：基站和核心网之间的信令传输。数据量大，延迟要求高，这时候对称加密就是首选。常用的算法有 AES、DES、3DES。现在业界主流是 AES-256，我建议你直接上这个，别犹豫。
核心要点：对称加密的速度快，适合大数据量加密。但密钥分发是个大麻烦——你怎么安全地把钥匙交给对方？
举个例子，你给同事发加密文件，你得先把密码告诉他。电话里说？短信发？万一被监听呢？这就是对称加密的痛点。我早期做项目时，就因为密钥分发没处理好，差点出大问题。嗯，这里要注意，密钥分发不是技术问题，是管理问题。
// 对称加密示例（AES-256）
// 伪代码，实际开发中请使用成熟的库
String plaintext = "基站配置数据";
String key = "这是一个256位的密钥";
String ciphertext = AES.encrypt(plaintext, key);
String decrypted = AES.decrypt(ciphertext, key);
非对称加密：公钥私钥，各司其职
非对称加密就聪明多了。它有两把钥匙：公钥和私钥。公钥可以公开，私钥自己藏着。你用我的公钥加密，只有我的私钥能解开。
为什么会这样？因为数学原理。RSA 算法基于大数分解的难度，ECC（椭圆曲线）基于椭圆曲线离散对数问题。你不需要深究数学细节，记住一句话：非对称加密解决了密钥分发问题，但速度慢。
我记得有一次做基站远程升级，需要验证固件包的来源。用非对称加密做签名验证，完美解决了信任问题。公钥预置在基站里，私钥留在厂商手里。固件包用私钥签名，基站用公钥验证——谁也别想冒充。
实战技巧：实际项目中，我们通常混合使用。用非对称加密传输对称密钥，然后用对称密钥加密数据。这叫「混合加密」，既安全又高效。
| 特性 | 对称加密 | 非对称加密 |
|---|---|---|
| 密钥数量 | 1个 | 2个（公钥+私钥） |
| 速度 | 快（适合大数据） | 慢（适合小数据） |
| 密钥分发 | 困难 | 容易 |
| 典型算法 | AES, DES, SM4 | RSA, ECC, SM2 |
| 主要用途 | 数据加密 | 密钥交换、数字签名 |
哈希函数：数据的指纹
哈希函数，你可以把它想象成数据的「指纹」。不管输入多大，输出固定长度。而且，输入稍微变一点，输出就天差地别。这就是雪崩效应。
我经常用哈希函数做完整性校验。比如基站固件下载完成后，计算一下哈希值，跟官方公布的对比。一样？说明没被篡改。不一样？赶紧删掉，可能有后门。
常用的哈希算法有 SHA-256、SM3。MD5 和 SHA-1 已经不安全了，别用了。我曾经见过有人还在用 MD5 做签名，真是捏把汗。你想想看，哈希碰撞已经被攻破了，再用就是给自己挖坑。
避坑指南：我曾经接手过一个项目，对方用 MD5 做密码存储。结果数据库泄露，所有密码明文暴露。后来我全部改成 bcrypt 加盐哈希。记住：哈希不是加密，它是单向的。存密码要用专门的密码哈希算法，比如 bcrypt、scrypt、Argon2。
// 哈希函数示例
String data = "基站配置数据";
String hash = SHA256.hash(data);
// 输出: e3b0c44298fc1c149afbf4c8996fb924...
// 数据改一个字符，哈希值完全变样
数字签名：你是谁？你说了算不算？
数字签名解决两个问题：身份认证和不可否认性。说白了，就是证明「这东西是我发的」和「我发了就不能赖账」。
原理其实不复杂：发送方用私钥对数据的哈希值签名，接收方用公钥验证。我习惯把数字签名比作「电子印章」——比实体印章靠谱多了，因为没法伪造。
在基站安全里，数字签名用得特别多。比如基站和核心网之间的认证，基站向网管上报数据，都需要数字签名。我建议你在设计系统时，所有关键指令和配置数据都要加签名。别嫌麻烦，安全就是细节堆出来的。
关键流程：
- 发送方计算数据的哈希值
- 用私钥加密哈希值，得到签名
- 发送数据和签名
- 接收方用公钥解密签名，得到哈希值
- 重新计算数据的哈希值，对比
密钥管理基础：安全的核心
密钥管理，这是整个加密体系的命门。你算法再强，密钥泄露了，一切白搭。我见过太多项目，算法选得挺好，结果密钥硬编码在代码里，或者存在配置文件里明文存储。这不是请贼进门吗？
密钥管理有几个基本原则：
- 密钥生成：要用安全的随机数生成器。别用 rand()，要用专门的加密库。
- 密钥存储：硬件安全模块（HSM）最好，退而求其次也要用加密存储。
- 密钥分发：用非对称加密或密钥协商协议（如 Diffie-Hellman）。
- 密钥更新：定期更换，别一把钥匙用十年。
- 密钥销毁：不用了要彻底删除，不能只是标记删除。
我个人习惯用分级密钥体系。根密钥存在 HSM 里，工作密钥由根密钥派生。这样即使工作密钥泄露，根密钥还是安全的。嗯，这里要注意，密钥管理不是一次性工作，要建立全生命周期管理流程。
实战建议：如果你刚开始做密钥管理，别自己造轮子。用成熟的密钥管理系统，比如 AWS KMS、Azure Key Vault，或者开源的 HashiCorp Vault。我早期就是自己写密钥管理，结果漏洞百出。后来老老实实用现成的，省心多了。
好了，加密基础理论就讲到这里。对称加密、非对称加密、哈希函数、数字签名、密钥管理，这五个概念是通信安全的基石。你把这章吃透了，后面讲基站安全协议、防攻击策略，你就知道为什么这么设计了。
下一章我们讲基站安全协议栈，看看这些加密技术是怎么在实际系统中落地的。到时候我会拿一个真实的基站攻击案例来分析，保证让你大开眼界。