非对称密钥对无重复生成机制：如何确认密钥对未被使用过

你提到的「业务系统记录所有已投入使用的密钥、生成重复密钥就丢弃」的机制在真实场景中根本不存在，这套机制从根上就不可行——真要维护一个覆盖全球所有已用密钥的全局数据库，存储和同步成本是天文数字，反而会引入远超碰撞风险的安全隐患。
现实中非对称密钥体系能稳定运行，核心逻辑非常直接：靠密码学安全随机源+足够大的密钥空间，把密钥重复的概率压到工程上可以完全视为不可能的程度，根本不需要额外做全局查重。

• 首先从概率上算，碰撞可能性低到可以忽略：拿目前最通用的RSA-2048算法举例，它的有效私钥空间在2^{2048量级，这个数字是什么概念？可观测宇宙的总原子数大概是2}260量级，也就是说RSA-2048的密钥空间比宇宙总原子数大了近1800个数量级。就算把全球所有计算设备的算力全部拿来不间断生成密钥，从地球诞生跑到现在，生成重复密钥的概率，比你连续中十次彩票头奖、同时出门被闪电连续击中三次的概率还要低好几十个数量级，在实际工程里完全不需要考虑。
• 其次密钥生成的随机性有硬要求：所有合规的非对称密钥生成器，私钥选取必须依赖密码学安全随机数生成器（CSPRNG），熵源来自硬件真随机数（比如电路热噪声、时钟抖动等物理随机信号），输出没有统计偏差、不可预测，不存在攻击者靠批量生成就能碰中有效密钥的可能——真要有算力能在合理时间内碰中一个在用的RSA-2048私钥，这个算力已经可以直接暴力破解整个现代非对称密码体系，根本不需要靠碰密钥这种低效方式。
• 很多人拿生日悖论质疑碰撞概率，其实是没算对量级：就算全球70亿人每人每秒生成10亿个密钥，连续生成100年，总密钥生成量也就2^{100左右，放在2}2048的密钥空间里，出现一次碰撞的概率还是无限趋近于0，完全达不到能造成实际安全风险的程度。

这里要纠正一个常见误区：如果现实中真的出现了两个完全相同的有效密钥对，100%是密钥生成端的随机源出了问题——比如早年部分低性能嵌入式设备熵源不足、用了可预测的伪随机数生成密钥，才会出现重复密钥。这类问题是实现漏洞，和密钥碰撞的概率无关，就算做全局查重也防不住这类问题。
至于常用的椭圆曲线算法（ECC），比如secp256k1、secp256r1，虽然密钥长度比RSA短很多，但2^256量级的密钥空间同样足够把碰撞概率压到可以忽略的水平，逻辑和RSA完全一致。

内容的提问来源于stack exchange，提问作者Carlos Alegre