在配置 Shadowsocks 节点或自建代理时，用户总会在加密算法（Cipher）下拉菜单中看到诸如 chacha20-ietf-poly1305、aes-256-gcm、aes-128-gcm 等一系列高深莫测的技术缩写。许多人心中常常纠结：256 位加密一定比 128 位安全很多吗？ChaCha20 与 AES-GCM 谁在我的手机或电脑上跑得更快更省电？本篇技术硬核手记将为您彻底理清现代 AEAD 加密算法的性能与选型奥秘。
一、为什么必须全面淘汰老旧 Stream 加密、无条件选用 AEAD 算法？
在早期 Shadowsocks 版本中，广泛使用诸如 AES-256-CFB 或 RC4-MD5 等传统流加密（Stream Cipher）算法。现代密码学与网络安全攻防早已证明：单纯的流加密缺乏至关重要的“完整性校验机制”，攻击者可以通过向通信信道中注入特定篡改数据包并观察服务端响应（主动探测重放攻击），在数学上精准推断出该端口是否运行着代理服务。而 AEAD（关联数据的可认证加密）在提供机密性的同时强制集成强哈希身份认证标签，任何微小的篡改都会导致数据包被立即静默丢弃，彻底粉碎了主动探测攻击。
二、硬件加速是胜负手：AES-256-GCM 在 PC 与服务器端的绝对统治
对于现代 Windows/Mac 桌面电脑、主流云服务器以及中高端智能手机，其搭载的 Intel/AMD x86 处理器与近代旗舰 ARM 芯片内部，均硬件级集成了专用的“AES-NI 加密指令集”。这意味着 AES-256-GCM 或 AES-128-GCM 算法在运行时，底层计算几乎全数由专有硬件硅片电路毫秒内硬解完成，CPU 占用率无限接近于零，数据吞吐轻松飙过每秒数吉比特，性能极为强悍且极其省电。
三、纯软件纯算力奇迹：ChaCha20-IETF-Poly1305 在弱算力设备上的逆袭
然而，在广大的廉价低端软路由、老款电视盒子或早期的嵌入式 MIPS/ARM 硬件上，往往缺乏昂贵的 AES 硬件指令集支持。此时若强行运行 AES 算法，只能依靠主 CPU 纯软件逐字硬算，会导致软路由 CPU 瞬间飙至 100% 并伴随严重发热和限速。而著名密码学家 Daniel J. Bernstein 打造的 ChaCha20-Poly1305 算法专为软件极速优化设计，完全基于简单的位运算与加法，在缺乏硬件加速的设备上，其纯算力运行速度可达 AES 的数倍之多。
常见疑问解答
在电脑和现代 iPhone 手机上，chacha20 和 aes-256-gcm 应该选哪个？
强烈推荐优先选择 aes-128-gcm 或 aes-256-gcm。现代电脑 CPU 与手机 A 系列/高通骁龙芯片均拥有顶级的 AES-NI 硬件指令集，开启 AES 算法不仅速度最快，而且对电池能耗的控制最为极致。
aes-128-gcm 的安全性在翻墙加速场景中足够用吗？
绰绰有余。在当今人类已知的所有超级计算机算力极限下，破解 128 位 GCM 依然是天方夜谭；相较于 256 位，128 位在弱网络环境下的计算开销略小约 15%，完全称得上是兼顾极致性能与绝对安全的明智之选。
总结与购买前核验建议
密码学选型的核心法则是“让硬件物尽其用”。电脑旗舰选 AES 享受硬件指令狂飙，低端软路由选 ChaCha20 释放极致软解潜能，精准适配才能换来最丝滑的极速体验。