物联网设备的爆发式增长对密码学实现提出了严苛的约束条件。当电池容量以毫安时计量、RAM 以千字节划分时，传统的 AES-256-GCM 往往显得过于臃肿。小分组密码（Small Block Ciphers）及其轻量级变体成为嵌入式系统的首选，但设计者在能量效率、内存 footprint 与安全边距之间面临的权衡远比桌面环境复杂。
三重约束下的设计空间
资源受限设备的密码学实现始终受限于一个铁三角：能量消耗、内存占用、安全强度（含侧信道鲁棒性）。任何一维的优化都可能以牺牲其他维度为代价。
能量与安全的反向张力体现在轮函数设计上。更简单的轮函数（如 64 位分组、4 位 S-box、精简的 XOR / 旋转操作）能够降低每分组的时钟周期数，从而减少动态能耗；但如果未能相应增加轮数，安全边距将被压缩。实测数据显示，针对 IoT 优化的轻量级密码相比早期方案（如 PRESENT）可节省约 5–10% 的能量，但这种收益通常来自高度结构化的轮函数和紧绷的安全边距。
内存约束迫使算法重构。许多 IoT 定向的分组密码将 ROM 控制在 1–4 KB、RAM 控制在 1 KB 以内，以适应 8/16 位 MCU。位切片（bit-sliced）或半字节（nibble-based）设计消除了大型 S-box 查找表，既节省 ROM，又降低了数据依赖型内存访问带来的信息泄露风险；代价是更多的布尔运算和可能增加的轮数。若 flash 资源极度紧张，应选择无大表的位切片 SPN 或 Feistel 结构；若能承受额外几 KB 开销，则 8 位 S-box 配合更复杂的扩散层可提供更强的密码分析抵抗力。
分组大小的系统性权衡常被忽视。采用 64 位分组而非 128 位可降低每分组能耗和面积，但生日边界问题随之加剧 —— 碰撞概率上升，需要更严格的 nonce / 序列号管理或更高层级的保护机制。这是系统层面的安全权衡，而非单纯的算法强度问题。
实测数据：Nordic Thingy:53 平台的算法对比
一项针对 Nordic Thingy:53（双核 ARM Cortex-M33，nRF5340 SoC）的实证研究为算法选择提供了量化依据。测试覆盖蓝牙 mesh 网络场景（低数据率）与批量数据传输场景（高吞吐），对比了 NIST 轻量级标准 ASCON、流密码 XChaCha20/Salsa20/Rabbit/Sosemanuk/HC-256 的能耗表现。
稀疏通信场景（10 秒上报间隔，2 节点）：所有算法的功耗收敛于 46–50 mW 的基线水平，密码学开销相对于射频空闲时间可忽略。ASCON32 以 39.2 mW 领先，Salsa20 紧随其后（39.9 mW）。此场景下 ASCON 的集成 AEAD 功能尤为珍贵 —— 无需单独的 MAC 计算即可同时保证机密性与完整性。
高频通信场景（1 秒间隔，10 节点）：算法差异显著放大。Sosemanuk 以 79.8 mW 取得最低功耗，Salsa20 为 80.6 mW，而 XChaCha20 高达 89.2 mW—— 差距达 11.8%。对于依赖电池供电的连续运行设备，这一差距意味着每次充电周期减少 7–9 小时续航。然而需注意，Sosemanuk 近期被证明存在快速相关攻击漏洞，其 128 位安全声称的实际边距仅约 28 位，长期工业部署需审慎评估。
批量传输场景（300 KB 固件更新）：速度 - 能耗关系发生逆转。XChaCha20、Salsa20 和 ASCON32 占据最优区域（吞吐 >16 KB/s，能耗 <0.75 µJ / 字节），而 HC-256 因 4 KB 内部状态导致缓存压力，成为明显的异常值 —— 完成相同传输耗时是 XChaCha20 的 5 倍以上，总能耗高出 5.4 倍。在此场景下，更快的算法即使瞬时功耗较高，也因缩短传输时间而胜出。
| 场景 / 算法 | 功耗 | 续航（1500mAh 电池） | 推荐 |
|---|---|---|---|
| 稀疏通信（10s 间隔）ASCON32 | 39.2 mW | 141.6 小时 | 最佳选择 |
| 高频通信（1s 间隔）Sosemanuk | 79.8 mW | 69.5 小时 | 需评估安全风险 |
| 批量传输 XChaCha20 | 11.5 mW | 482.6 小时 | 传输最快 |
侧信道防护的工程成本
物理可访问的 IoT 节点面临差分功耗分析（DPA）、电磁辐射分析和故障注入攻击的威胁。仅针对速度优化的软件实现（基于查表的 S-box、无保护的密钥调度）往往是侧信道攻击的高价值目标。
防护措施的代价不容忽视。掩码（masking）、乱序（shuffling）和冗余计算等对策会增加时钟周期数和代码体积，能耗可能因此增加数十个百分点。部分新型轻量级密码在设计阶段即考虑侧信道友好性（如最小化数据依赖状态转换的结构），但这类设计通常需要更多的门电路或更多轮数，与 "裸" 轻量级方案相比存在固有的效率折损。
工程决策应基于威胁模型：对于处于敌对物理环境的节点，侧信道硬化实现通常是值得能耗代价的；对于深埋于设备内部、难以物理接触的节点，则可接受较弱的侧信道防护，将节省的能量用于更强的算法而非更少轮数。
选型决策框架
基于上述实证数据，可构建以下决策流程：
-
固定安全目标：至少 128 位密钥、经过充分分析的基元、认证模式；避免使用 exotic 或极新的设计，除非确实需要其特性。
-
量化硬件预算：确定最大允许的 ROM、RAM 和门电路面积或代码体积，这将迅速排除具有多 KB 状态或大表的方案。
-
在目标硬件上测量能量：关注每条消息加密 / 认证的能耗，而非单纯的每分组周期数；在真实射频占空比下测试，因为密码学通常比通信消耗更少能量。
-
确定侧信道模型：若物理攻击现实可行，选择掩码友好结构的密码并预留额外的周期和代码用于防护；若不可行，使用更简单的恒定时间实现，将节省的能量用于更强的算法。
具体推荐：
- 需要 AEAD 功能：ASCON32 提供认证加密与竞争力的性能平衡
- 电池优化优先：ASCON32 或 Salsa20 在 mesh / 批量场景中表现均衡
- 固件更新场景：XChaCha20 最小化传输时间（300 KB 仅需 17.78 秒）
- 高频实时应用：Sosemanuk 在 mesh 网络中功耗最低，但需配套定期密钥轮换协议
资料来源
- Sorescu T.-G. 等，"Comparative Performance Analysis of Lightweight Cryptographic Algorithms on Resource-Constrained IoT Platforms", Sensors, 2025.
- Dobraunig C. 等，"Ascon v1.2: Lightweight Authenticated Encryption and Hashing", Journal of Cryptology, 2021.