在嵌入式加密应用中，资源受限的设备往往需要高效且安全的哈希函数来处理数据完整性验证、密钥派生或消息认证。传统的 SHA-3 和 SHAKE 函数虽然安全，但其串行处理方式难以充分利用现代 CPU 的并行能力，导致在高吞吐量场景下性能瓶颈。KangarooTwelve 和 TurboSHAKE 作为基于 Keccak 的扩展，提供了一种并行可扩展的解决方案，能够显著提升嵌入式系统的哈希效率，同时维持高安全级别。本文将探讨这些函数的核心构造原理、性能优势，以及在实际部署中的可落地参数和最佳实践。
首先，理解 TurboSHAKE 的核心机制。它是 Keccak-p [1600, nr=12] 海绵函数的变体，其中 nr=12 表示仅使用 12 轮置换，比 SHAKE128/256 的 24/12 轮更少，从而实现约 2 倍的速度提升。根据 RFC 9861 的定义，TurboSHAKE128 的速率 r=1344 位（168 字节），容量 c=256 位，提供 128 位安全强度；TurboSHAKE256 的 r=1088 位（136 字节），c=512 位，提供 256 位安全强度。这种减少轮数的优化在嵌入式环境中特别有益，因为它降低了计算开销，同时依赖 Keccak 的广泛密码分析来确保安全性。证据显示，TurboSHAKE 在处理输入时采用吸收 - 挤压模式：输入消息 M 附加域分离字节 D（默认 0x1F），填充后分块吸收，每块后应用 KP 置换，然后挤压出任意长度的输出。这种变长输出（XOF）特性允许灵活适应不同应用需求，而无需固定长度哈希。
KangarooTwelve（KT）则在 TurboSHAKE 基础上引入树哈希模式，实现并行化处理，特别适合处理大消息的嵌入式场景。KT 将输入 S（消息 M 与自定义字符串 C 的组合，加上长度编码）分成 8192 字节的块。对于小消息（|S| ≤ 8192 字节），直接使用 TurboSHAKE 处理；对于大消息，先并行计算后续块的链值 CV_i = TurboSHAKE (S_i, 0x0B, 32/64 字节)，然后构建 FinalNode = S_0 || 0x03 || 00^7 || CV_1 || ... || CV_{n-1} || length_encode (n-1) || FF FF，最后应用 TurboSHAKE (FinalNode, 0x06/0x07, L)。这种树状结构利用 Sakura 编码确保安全性，避免了传统并行哈希如 ParallelHash 的短消息开销。RFC 9861 指出，KT128 使用 TurboSHAKE128，KT256 使用 TurboSHAKE256，二者分别针对 128/256 位安全。在嵌入式应用中，这种并行性允许利用多核或 SIMD 指令加速，例如在 ARM Cortex-M 系列处理器上，通过分块并行计算 CV 来提升吞吐量达数倍。
从性能角度看，这些函数在嵌入式 crypto 中的优势显而易见。相比 SHA-256，TurboSHAKE 和 KT 避免长度扩展攻击，且输出速率等于输入速率（而 MGF 构造的 SHA 仅为一半）。此外，它们使用代数度为 2 的轮函数，更适合掩码实现以抵抗侧信道攻击，这在 IoT 设备中至关重要。实测数据显示，在资源受限的微控制器上，KT128 处理 1MB 消息的吞吐量可达数百 KB/s，远高于串行 SHAKE。同时，无需额外填充开销确保短消息高效。
为实现可落地的部署，以下是关键参数和清单：
-
选择变体：对于大多数嵌入式应用，选择 KT128 以平衡安全与性能（128 位足够抵御当前威胁）；若需更高安全，如密钥派生，使用 KT256。输出长度 L 至少为 128/256 位以实现预像抵抗；碰撞安全需 256/512 位。
-
自定义字符串 C：用于域分离，默认空字符串。对于多协议场景，C 可为协议标识（如 "iot-auth"），长度 <256^255。使用 length_encode (|C|) 附加，确保可逆合并 S = M || C || length_encode (|C|)。
-
域分离字节 D：TurboSHAKE 中 D 在 0x01-0x7F；KT 中避免 0x06、0x07、0x0B 以防冲突。嵌入式 MAC 应用中，推荐 HopMAC：HopMAC128 (Key, M, C, L) = KT128 (Key, KT128 (M, C, 32), L)，仅外层需侧信道保护。
-
块处理参数：固定块大小 8192 字节，支持并行。阈值：若消息 > 8192 字节，启用树模式；否则单节点。监控并行度：利用设备 SIMD 单元（如 NEON on ARM）计算 CV_i，目标利用率 > 80%。
-
安全阈值与回滚：输出 L >= log2 (T) + 安全位（T 为目标数）。风险：轮数减少可能引入未来攻击；限制造成依赖 Keccak cryptanalysis。回滚策略：若检测异常，fallback 到 SHAKE128；定期更新固件监控 NIST/IETF 更新。
-
监控要点：实现时记录吸收 / 挤压迭代次数；侧信道防护使用常量时间 KP 实现。测试向量：使用 RFC 提供的 ptn (n) 模式验证，如 KT128 (空，空，32) = 1A C2 D4 50 FC 3B 42 05 D1 9D A7 BF CA 1B 37 51 3C 08 03 57 7A C7 16 7F 06 FE 2C E1 F0 EF 39 E5。
在实际嵌入式项目中，如智能传感器网络，可将 KT 集成到固件中处理固件更新哈希或数据聚合。相比 BLAKE3 等非 Keccak 方案，KT 继承 SHA-3 的量子抗性，并通过 IETF 标准化确保互操作性。总体而言，KangarooTwelve 和 TurboSHAKE 为嵌入式 crypto 注入高效并行活力，推动 IoT 安全演进。
资料来源：RFC 9861 (KangarooTwelve and TurboSHAKE)，Keccak Team cryptanalysis summary。