本文目录导读：
对于QuickQ（如果这是一个需要处理用户密钥/密码的加密应用），结论非常明确：优先选择 Argon2。
以下是详细的对比分析和选择逻辑：
为什么不推荐 PBKDF2？
PBKDF2 虽然历史悠久且被广泛支持，但在现代安全标准下，它存在一个关键缺陷：
- 抗 GPU/ASIC 攻击能力弱：PBKDF2 的计算逻辑非常简单（多次哈希迭代），这使得攻击者可以利用专用的GPU集群或定制的ASIC芯片进行大规模并行破解，你设置的 10 万次迭代，攻击者可能用硬件加速做到每秒数十亿次尝试。
- 抗内存攻击能力为零：PBKDF2 几乎不使用内存（RAM），这意味着攻击者可以在普通硬件上同时运行成千上万个并行破解任务，成本极低。
一句话总结：PBKDF2 是上世纪90年代的设计，面对今天的硬件破解能力，它已经力不从心了。
为什么强烈推荐 Argon2？
Argon2（特别是 Argon2id 变体）是 2015 年国际密码哈希竞赛的冠军，被设计为硬内存函数。
它的核心优势：
- 内存硬性：Argon2 要求算法运行时占用大量的、指定大小的内存（64MB、128MB），这从根本上限制了并行破解的能力。
- 你在普通手机/电脑上运行一次占用 128MB 内存，体验可能只是慢几百毫秒。
- 攻击者用同样的GPU尝试并行破解，由于显存限制，一次可能只能并行跑极少量任务，速度骤降数千倍。
- 计算硬性：和 PBKDF2 一样，它也有时间成本参数（迭代次数），但通常不需要设得太高，因为内存硬性已经提供了主要防御。
- 抗侧信道攻击：Argon2id 变体能同时防御针对内存的时序攻击和针对缓存的侧信道攻击。
- 标准化与认可：RFC 9106 标准，被安全社区广泛推荐。
一句话总结：Argon2 是专门为了应对GPU/ASIC并行破解而设计的，是目前密钥派生函数的黄金标准。
如何选择？——具体决策树
| 场景 | 推荐方案 | 理由 |
|---|---|---|
| 开发新应用 | Argon2id | 这是唯一正确的选择，不要用 PBKDF2。 |
| 必须兼容旧系统 | Argon2 (首选) 或 scrypt (备选) | Scrypt 也是内存硬函数，但设计不如 Argon2 新，Argon2 实现困难，scrypt 勉强可接受，PBKDF2 仅在无法实现上述两者时才考虑。 |
| 前端/浏览器环境 | Argon2 (通过WASM实现) 或 PBKDF2 (备选) | 虽然浏览器中 Argon2 的 WASM 性能不如原生，但安全性优势依然巨大，如果必须使用纯JS实现（如Web Crypto API原生支持），才退回到 PBKDF2，但记住这是有缺陷的次优解。 |
最佳实践参数建议（针对 Argon2id）
如果你决定使用 Argon2id，可以参考以下参数（适用于用户登录/解密密钥派生，非服务端/非高并发场景）：
- Salt：随机，长度16字节（128位）。
- Memory cost (内存开销)：64 MB 或 128 MB，根据目标设备性能调整，现代手机和电脑轻松支持。
- Time cost (迭代次数)：3 或 4，Argon2 的迭代次数很轻量，主要靠内存。
- Parallelism (并行度)：1 或 2，对于单线程的用户端应用，设为1通常最佳，避免多线程带来的复杂度，设为4也没问题。
- Output length (输出长度)：32 字节（256位），适用于 AES-256 等对称加密。
总结与最后判断
- QuickQ 是完全新开发的客户端加密应用：选择 Argon2id，这是对用户安全负责的唯一选择，增加的内存占用（64MB）在今天的硬件上完全可接受，带来的安全性提升是跨越式的。
- QuickQ 是浏览器插件或必须使用 Web Crypto API：尝试编译并使用 Argon2 的 WASM 版本，如果实在不行，可以退而求其次使用 scrypt（浏览器现在有原生支持），再次才是 PBKDF2。
不要因为“想简单点”或“旧习惯”而选择 PBKDF2，在密钥派生函数上，越新的、越麻烦的，通常就是越安全的。
版权声明：除非特别标注，否则均为本站原创文章，转载时请以链接形式注明文章出处。
