SHA-512：当你需要比 SHA-256 更强的保障
什么是 SHA-512？
SHA-512 是 SHA-2 家族中输出最长的成员——512 位（64 字节）哈希值。和 SHA-256 同宗同源，都是 NSA 2001 年发布的 FIPS PUB 180-4 标准里的一员。
一句话概括：SHA-512 和 SHA-256 的核心算法几乎一样，区别在于内部运算用的是 64 位字而非 32 位字。
这个区别比听起来要深刻得多。我第一次在 64 位服务器上对比两个算法的性能时，发现 SHA-512 反而比 SHA-256 跑得快——当时确实愣了一下。直觉上，输出大一倍的算法应该更慢才对。后来读了底层实现才明白，64 位 CPU 处理 64 位字是原生操作，处理 32 位字反而要多一步截断。SHA-512 的 64 位内部状态跟 64 位 CPU 的寄存器宽度天生对路。
就像给一辆卡车装货——箱子尺寸和车厢宽度刚好匹配的时候，装货最快。SHA-512 的 64 位操作就是和 64 位 CPU “箱车合一”的状态。
工作原理
整体结构：还是 Merkle-Damgard
SHA-512 沿用了和 SHA-256 一样的 Merkle-Damgard 构造：消息先填充到 1024 位的整数倍（注意，不是 512 位——SHA-512 的分组大小是 1024 位，比 SHA-256 的 512 位分组翻了一倍），然后逐块送入压缩函数处理。
消息填充
填充规则和 SHA-256 一样，只是参数变了：
- 在消息末尾附加一个
1位 - 追加若干个
0位，直到消息长度模 1024 余 896 - 用一个 128 位的二进制数表示原始消息长度（以位为单位），追加到最后
和 SHA-256 对比一下：SHA-256 的填充目标是模 512 余 448，长度字段是 64 位。SHA-512 全部翻倍——1024、896、128 位。背后的数学逻辑一致，就是把 32 位世界的规则平移到了 64 位世界。
压缩函数：80 轮，64 位运算
这是 SHA-512 和 SHA-256 最本质的区别。填充后的消息按 1024 位一块处理，每块经过 80 轮压缩（SHA-256 是 64 轮）。
初始的 8 个 64 位工作变量来自前 8 个素数（2、3、5、7、11、13、17、19）平方根的小数部分的前 64 位。SHA-256 取的是这些平方根小数的前 32 位——同一个数学常量，精度的差异直接对应了算法位宽的不同。
每轮运算同样用 Ch、Maj、Σ0、Σ1 四种操作，但操作数从 32 位变成了 64 位：
Ch(x, y, z) = (x & y) ^ (~x & z)
Maj(x, y, z) = (x & y) ^ (x & z) ^ (y & z)
Σ0(x) = ROTR(x, 28) ^ ROTR(x, 34) ^ ROTR(x, 39)
Σ1(x) = ROTR(x, 14) ^ ROTR(x, 18) ^ ROTR(x, 41)
注意循环右移的位数也变了——SHA-256 的 Σ0 是 ROTR 2/13/22，Σ1 是 ROTR 6/11/25。SHA-512 把移位量都调大了，以适应更宽的 64 位操作数。
64 位 vs 32 位的性能悖论
说一个反直觉的事实：在 64 位 CPU 上，SHA-512 的单字节处理速度往往快于 SHA-256。
原因很简单。64 位 CPU 的一次指令可以直接操作 64 位数据。SHA-512 的每一步运算刚好填满一个 64 位寄存器。而 SHA-256 用 32 位运算，在 64 位 CPU 上每次操作完还要截断高 32 位——多了一个步骤。再加上 SHA-512 的分组是 1024 位，单块处理的数据量是 SHA-256 的两倍，单位开销被摊薄了。
我在一台 AMD EPYC 服务器上实测过，处理 1GB 的随机数据，SHA-512 比 SHA-256 快了大约 15%。当然，这个差距在 32 位系统上会反转——在 ARMv7 这类 32 位平台上跑 SHA-512，需要软件模拟 64 位运算，性能直接腰斩。
核心特性
| 特性 | 说明 |
|---|---|
| 输出长度 | 512 位（64 字节，128 个十六进制字符） |
| 内部状态 | 1024 位分组，8 个 64 位工作变量 |
| 轮数 | 80 轮 |
| 结构 | Merkle-Damgard 构造 |
| 抗碰撞强度 | 256 位（生日攻击需要 ≈ 2^256 次尝试） |
| 64 位优化 | 在 64 位 CPU 上性能优于 SHA-256 |
| 标准化 | FIPS PUB 180-4 |
注意：虽然输出是 512 位，但抗碰撞强度只有 256 位——这是生日攻击的数学上限。输出长度翻倍并不意味着安全性翻倍。SHA-512 的 512 位输出长度，实际提供的是 256 位的碰撞抗性和 512 位的原像抗性。
实际应用场景
1. Linux 密码存储：/etc/shadow 里的 $6$
你登录 Linux 系统输入密码时，系统怎么验证密码对不对？答案就在 /etc/shadow 文件里。如果你打开这个文件，会看到类似这样的条目：
user:$6$saltsaltsalt$hashedpassword...:19000:0:99999:7:::
开头的 $6$ 就是 SHA-512 的标识符。GNU C 库（glibc）的 crypt() 函数用 $6$ 前缀表示”用 SHA-512 做 5000 轮哈希”。具体的算法是 SHA-512 的一个变体——把密码和盐值反复哈希 5000 轮，故意把计算开销拉高，让暴力破解慢下来。
做个对比：$1$ 是 MD5，$5$ 是 SHA-256。$6$ 作为默认选项，正是因为 SHA-512 在 64 位服务器上的速度优势——5000 轮 SHA-512 的开销对正常登录几乎无感，但足以让攻击者的字典攻击举步维艰。
2. SHA-512/256：截断变体的精妙设计
SHA-512/256 是 SHA-512 的一个标准化截断变体：用 SHA-512 算出完整的 512 位哈希，然后只取前 256 位。听起来像是偷工减料，实际不然。
这个设计有两个精妙之处：
第一，它继承了 SHA-512 在 64 位 CPU 上的性能优势，但输出体积和 SHA-256 一样。对于只需要 256 位哈希的场景，SHA-512/256 可以做到比 SHA-256 更快。
第二，也是更关键的——初始化值不同。SHA-512/256 使用的初始向量（IV）是 SHA-512 初始向量经过特定变换得到的，和 SHA-256 的 IV 完全不同。这意味着，即使你拿到一个 SHA-512/256 的输出，也没法用标准的 SHA-256 做任何关联性分析。FIPS 180-4 把 SHA-512/256 和 SHA-512/224 定义为独立的算法，而不是简单的”算完截断”。
我之前在做一个数字签名项目时就用过 SHA-512/256——签名算法的椭圆曲线是 P-256，256 位的哈希刚好匹配曲线的安全级别。用 SHA-512 直接做 256 位截断当然也行，但 SHA-512/256 是经过标准委员会认证的独立变体，合规审计的时候少费很多口舌。
3. DNSSEC 和大型 PKI 体系
DNSSEC 在签名 DNS 记录时，推荐使用 SHA-512 作为哈希算法。DNS 根区这样的大规模部署中，512 位的抗原像攻击能力提供了更长的安全余量。虽然 256 位在目前技术下足够安全，但 DNS 基础设施的升级周期以十年计——你不能指望五年后全世界的解析器一起升级算法。所以这类场景更倾向于一步到位选 512 位。
4. 区块链和大文件验证
一些后起的区块链项目（非比特币）选择 SHA-512 而非 SHA-256 作为核心哈希。原因不是 SHA-256 不安全，而是 64 位原生运算在矿机硬件设计上更省硅面积。此外，对于动辄数 GB 的数据集进行完整性验证时，SHA-512 的 1024 位分组让它在处理大块连续数据时比 SHA-256 吞吐量更高。
常见误区
误区一：SHA-512 比 SHA-256 “安全两倍”
数字不是这么算的。输出长度翻倍，抗碰撞强度从 128 位提升到 256 位（生日攻击），这个确实翻倍了。但 128 位的安全性本身已经是”宇宙级”了——2^128 次操作的难度远超人类技术能力。多出来的 128 位安全余量，更像是买了额外的保险，而不是实际需要。除非量子计算在哈希碰撞上取得突破，否则 SHA-256 和 SHA-512 在实际攻击面下几乎没有差别。
误区二：SHA-512 总是比 SHA-256 慢
前面解释过了，在 64 位 CPU 上 SHA-512 通常更快。只有 32 位平台（老旧的 ARM 设备、IoT 微控制器）上 SHA-512 才会因为需要软件模拟 64 位运算而显著变慢。
误区三：SHA-512 和 SHA-384 是完全不同的算法
SHA-384 实际上就是 SHA-512 的截断——算完 SHA-512 取前 384 位，初始向量不同。两者共享完全相同的底层压缩函数，只是输出长度和 IV 不一样。
SHA-512 vs 其他哈希算法
| SHA-256 | SHA-512 | SHA-512/256 | SHA-3-512 | |
|---|---|---|---|---|
| 输出长度 | 256 位 | 512 位 | 256 位 | 512 位 |
| 内部运算 | 32 位 | 64 位 | 64 位 | 64 位 |
| 分组大小 | 512 位 | 1024 位 | 1024 位 | 1024 位 |
| 轮数 | 64 | 80 | 80 | 24 |
| 结构 | Merkle-Damgard | Merkle-Damgard | Merkle-Damgard | 海绵结构 |
| 抗长度扩展 | 弱 | 弱 | 弱 | 强 |
| 64 位性能 | 中 | 高 | 高 | 高 |
如果只存 256 位哈希但想要 64 位运算的性能——选 SHA-512/256。如果需要长度扩展攻击的天然免疫——选 SHA-3。如果在 32 位嵌入式系统上跑——选 SHA-256。没有绝对的”最好”，只有最适合你的场景。
常见问题
Q: Linux 的 $6$ 哈希到底安全不安全？
足够安全，但有上限。5000 轮 SHA-512 对于在线暴力破解来说是个有效的减速带。但如果攻击者拿到了 shadow 文件的离线副本，用 GPU 集群做字典攻击，单张 RTX 4090 一秒能算数亿次 SHA-512，5000 轮只是杯水车薪。更现代的做法是用 bcrypt、scrypt 或 Argon2——它们不光慢，还吃内存，让 GPU 并行变得昂贵。当然，改 /etc/shadow 的算法不是你能决定的，这取决于你的系统用的 PAM 模块和 libcrypt 版本。
Q: 为什么 SHA-512 的输出是 128 个十六进制字符？
512 位除以 4（每个十六进制字符表示 4 位）= 128 个字符。SHA-256 是 256 / 4 = 64 个字符。翻了一倍，看上去长了一截。
Q: SHA-512/256 和直接对 SHA-256 结果做 SHA-512(H) 的截断有什么区别？
SHA-512/256 是直接用 SHA-512 算完整输出然后截取前半部分——总共一次 80 轮的 SHA-512 计算。SHA-512(SHA-256(H)) 是先算 SHA-256 再算 SHA-512——两套压缩函数各跑一遍，计算量更大，而且没有标准化的认证。两者的输出值也完全不同，因为输入不一样。
Q: 什么时候应该选 SHA-512 而不是 SHA-256？
三个典型场景：（1）你在 64 位服务器上做大量哈希计算，且 SHA-512 性能更好的话；尽量实测一下，别盲信文档。（2）你需要和现有系统兼容——比如 Linux shadow 的 $6$ 格式、某些 DNSSEC 部署。（3）你需要单纯更强的原像抗性，且接受 128 字符的哈希长度带来的存储开销。
Q: SHA-512 有已知的攻击吗？
截至目前，SHA-512 没有任何已知的有效碰撞或原像攻击。它的安全余量很大——512 位的输出和 80 轮的压缩迭代为抵抗未来几十年的密码学攻击留出了充足空间。密码学界的共识是：SHA-2 家族（包括 SHA-512）在可见的未来内都是安全的，但长期来看迁移到 SHA-3 是明智的备份。