什么是 ChaCha20？

ChaCha20 是一种高速、轻量且高度安全的 256 位 对称密钥密码 ，用于加密和解密数据。 它由 Daniel J. Bernstein 设计，是对名为 Salsa20 的早期密码的改进。 其目标是创建一种兼具高效与安全特性的密码，特别是在软件实现中。

ChaCha20 通过生成安全伪随机字节流并将该数据流与原始消息相结合来加密数据。 这样生成的已加密输出对于没有密钥的人来说看起来完全是随机的。

由于使用相同的密钥来加密和解密数据，ChaCha20 比使用公钥和私钥的非对称算法 RSA 快得多。 RSA 适用于密钥交换和签名，而 ChaCha20 则更适合加密海量的互联网流量。

从总体上看，ChaCha20 接受三个输入：密钥、nonce（仅使用一次的数字——每次加密使用的唯一值）和计数器（用于帮助生成不同的输出块）。 它使用这些值初始化内部状态，然后反复混合该状态以生成称为密钥流的安全伪随机字节流。

该混合过程依赖于三种简单操作 — 加法、XOR 和按位循环移位 — 并在 20 轮处理中应用，以彻底打乱数据。 生成的密钥流随后与纯文本结合，产生密文——即已加密的数据。

ChaCha20 解决了现代安全领域的一个实际问题：如何在多种设备上实现既高效又可靠的强加密。 它在软件中运行非常快速，适用于手机、小型设备和较旧的 CPU，并且基于计算机擅长执行的简单操作（加法、异或、循环移位）。

这些功能特性使其在 TLS、VPN（新窗口）、SSH 和消息应用等系统中极具吸引力。 例如，WireGuard®（新窗口） VPN 协议（新窗口）使用 ChaCha20 来提供快速、安全的加密，即使在缺乏专用 AES 硬件的设备上也能表现出强劲的性能。

AES 加密是早已确立的标准，在具有内置 AES 硬件支持的处理器上运行极快。 正因如此，它在许多台式机、服务器和较新的移动芯片上表现尤为出色。 然而，如果没有 AES 硬件支持，纯软件 AES 可能会较慢，且有时更难安全地实现。 相比之下，ChaCha20 旨在普通软件中实现极高的运行速度，因为它使用加法、异或和循环移位等简单操作，这些操作在几乎任何处理器上都能高效运行。

如果某个应用同时提供 AES 和 ChaCha20，您通常无需手动选择，因为大多数现代应用会根据您的设备和处理器自动选择更好的选项。 总体而言，AES 在具有内置 AES 支持的新设备上表现最佳，而 ChaCha20 则更适合主要依靠软件进行加密处理的设备，例如某些手机、低功耗硬件或较旧的 CPU。

如果实现正确，并且每次加密都使用唯一的 nonce，ChaCha20 按现代标准被认为是安全的。