RSASSA-PSS签名能否用AES GCM密文替代SHA-256哈希值

你提出的跳过SHA-256计算、直接对AES-GCM密文做PSS签名的提速方案有根本性安全缺陷，完全不可行。

RSASSA-PSS 必须搭配密码学哈希算法，无哈希的用法不符合设计逻辑，也没有安全保障 #

• PSS签名的标准流程本身就是「哈希计算+掩码生成+填充+RSA模幂运算」的固定组合，哈希是整个签名机制的核心安全基础，不是可随意裁剪的可选步骤：
  • 第一，RSA运算的输入长度受密钥模长严格限制，以常用的2048位RSA为例，填充后最多只能处理长度不超过190字节左右的输入，而AES-GCM输出的密文长度是随明文变化的，绝大多数场景下都远超过这个长度限制，根本没法直接作为RSA运算的输入。要是强行截断密文做签名，截断后的签名根本没法覆盖完整密文的完整性，攻击者随便篡改截断范围外的密文内容都不会触发验签失败。
  • 第二，RSASSA-PSS的抗伪造、抗碰撞安全证明，完全建立在配套哈希函数满足抗碰撞、抗原像的安全假设上。如果去掉哈希步骤直接把原始数据送入填充和模幂环节，整个签名的安全模型会直接崩塌，攻击者可以轻易构造出匹配合法签名值的恶意篡改数据，完全绕过验签逻辑。
  • 第三，就算你硬改PSS流程把哈希步骤替换成直接传原始数据，这也已经不是标准的RSASSA-PSS签名了，没有任何公开的安全论证能支撑这种魔改方案的可靠性，嵌入式设备本身物理防护能力弱，攻击面大，为了省一点计算量砍掉核心安全组件的风险完全不可控。

直接对AES-GCM密文做签名，完全替代不了「哈希后签名」的标准流程 #

• 首先你遇到的单次验签0.5秒就触发竞态条件的问题，根因根本不是SHA-256计算拖慢了速度：SHA-256哪怕在没有硬件加速的入门级Cortex-M0 MCU上，运算速度都能达到每秒数百KB级别，验签流程95%以上的耗时都来自RSA模幂运算，就算你完全砍掉SHA-256计算步骤，整体验签耗时下降可能都不到5%，根本解决不了竞态问题。
• 其次AES-GCM自带的GMAC标签只能校验密文传输过程中有没有出错、有没有被篡改，完全替代不了非对称签名的抗抵赖能力：只要持有对称AES密钥的设备都能生成合法的GMAC标签，你没法通过GMAC证明密文是持有对应RSA私钥的可信主体发出的。
• 就算你不考虑抗抵赖需求，只要密文长度超过RSA的最大输入长度，你要么把密文拆成多段分别做签名（总耗时会比算一次SHA-256高一个数量级以上），要么只签部分密文（直接丧失完整的完整性校验能力），两种选择都完全得不偿失。

嵌入式场景签名验签优化的可行方向 #

• 先定位竞态和耗时的根因：0.5秒的单次验签耗时对于嵌入式场景来说本身就偏长，优先排查RSA运算代码是不是没有做针对目标架构的汇编优化、验签流程里有没有不必要的阻塞延时、是不是竞态问题本身出在任务调度逻辑上，不要一开始就想着砍掉安全机制的核心组件。
• 如果确实需要压缩签名验签耗时，可以考虑换用更适合嵌入式场景的签名算法比如Ed25519，同等安全强度下Ed25519的验签速度比2048位RSA-PSS快5到10倍，签名输出长度更短，内存占用也更小，比魔改算法的方案靠谱得多。
• 如果一定要用RSA-PSS，优先启用芯片内置的SHA硬件加速引擎，目前绝大多数带安全功能的嵌入式MCU都内置了SHA硬件外设，计算一次哈希的耗时基本可以忽略不计。

内容的提问来源于stack exchange，提问作者nessiam