关于AES小块吞吐量低及块大小安全影响的技术咨询

1. 为何较小的块大小（尤其是16字节）会导致性能大幅下降？ #

• 固定开销占比过高：AES每次加密都包含密钥调度、算法初始化等固定操作，这些操作的耗时是固定的。当块大小仅为16字节（AES的标准最小块长）时，固定耗时在总处理时间中的占比被大幅放大。比如处理1MB数据，16字节块需要执行65536次加密操作，每次都要承担固定开销；而用更大的块批量处理时，固定开销被平摊到海量数据上，单位数据的耗时自然更低。
• 硬件加速无法充分发挥：现代CPU的AES-NI等硬件加速指令是为批量数据处理优化的，流水线、缓存预取等特性需要足够大的数据块才能发挥作用。极小的块长会导致硬件加速的优势无法体现，甚至因为频繁的指令切换、内存读写增加额外耗时。
• 内存与系统操作额外开销：处理16字节这类极小块数据时，内存寻址、数据拷贝，甚至可能涉及的用户态/内核态切换等操作的耗时，会远超过加密计算本身的耗时，进一步拉低整体性能表现。

2. 块大小对AES加密安全性有何影响，16字节的块大小会提升还是降低安全性？ #

• AES的标准块大小就是16字节（128位），这是算法原生设计的参数，本身不存在“提升或降低安全性”的说法——AES的核心安全性取决于密钥长度（128/192/256位）和所使用的加密模式（如GCM、CBC等），而非块大小。
• 块大小的影响主要体现在加密模式的安全性层面：比如在不安全的ECB模式下，相同明文块会生成相同密文块，块越小，明文块重复的概率越高，越容易泄露数据模式；但这是加密模式的问题，和16字节块长本身无关。使用GCM、CTR等安全的分组密码模式时，16字节块长完全能保障加密的安全性。
• 刻意修改AES的块大小（使用非标准块长）反而会引入安全风险，因为AES的数学安全性是基于128位块长验证的，修改后算法的安全性无法得到权威验证，容易被攻击者找到可利用的漏洞。

内容的提问来源于stack exchange，提问作者Badja