TLS 服务器证书在选择 RSA 密钥长度时，2048 位与 4096 位的取舍并非单纯比较强度。证书仅用于验证主机名并协商会话密钥，数据实际保护靠会话密钥强度与前向保密机制。NIST 建议 112 位安全强度足以支撑至 2030 年，而 2048 位 RSA 满足该基线。
证书与会话密钥的职责分离
TLS 协议中，证书私钥不直接加密传输数据，而是协助生成会话密钥。会话密钥强度由密码套件决定，现代浏览器与服务器协商的密码套件普遍支持前向保密（FS）。启用 FS 后，即使证书私钥日后泄露，也无法推导出历史会话密钥，已捕获的加密流量依然安全。Fastly CDN 默认在浏览器支持时启用 FS，用户亦可通过强制 TLS 1.3 或自定义配置保证仅使用 FS 密码套件。
NIST 基线与证书有效期的配合
NIST 以“安全比特”衡量算法防护等级，建议保护至 2030 年的数据使用至少 112 位强度，之后升至 128 位。2048 位 RSA 提供 112 位安全强度，恰好满足当前基线。考虑到 TLS 证书最大有效期为两年（即将缩短至一年），2048 位密钥在证书生命周期内完全覆盖 NIST 推荐窗口。原文未给出 4096 位 RSA 的具体安全比特数值，亦未提供更长密钥带来的性能开销量化数据。
运维决策的实用坐标
选择密钥长度时，应以会话密钥强度与前向保密部署情况为首要判据，而非单纯追求证书私钥位数。若已强制 TLS 1.3 并启用 FS，2048 位 RSA 在合规与性能间取得平衡；若环境仍需兼容不支持 FS 的旧协议，或面临长期离线解密威胁模型，才需评估 4096 位或迁移至椭圆曲线算法。原文未给出具体握手延迟或 CPU 消耗对比数值。
对网络工程师而言，核心在于确保密码套件支持前向保密并优先部署 TLS 1.3，而非盲目加长证书密钥。2048 位 RSA 在当前证书有效期与 NIST 基线下已足够，运维精力应投入到协议版本控制与密码套件排序上。
原文: APNIC Blog（2020-09-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog