使用Java 8u20进行慢速AES GCM加密和解密

Question

我正在尝试使用AES/GCM/NoPadding加密和解密数据.我安装了JCE Unlimited Strength Policy Files并在下面运行了(简单的)基准测试.我使用OpenSSL做了同样的事情,并且能够在我的PC上实现超过1 GB/s的加密和解密.

使用下面的基准测试,我只能在同一台PC上使用Java 8进行3 MB/s的加密和解密.知道我做错了什么吗？

public static void main(String[] args) throws Exception {
    final byte[] data = new byte[64 * 1024];
    final byte[] encrypted = new byte[64 * 1024];
    final byte[] key = new byte[32];
    final byte[] iv = new byte[12];
    final Random random = new Random(1);
    random.nextBytes(data);
    random.nextBytes(key);
    random.nextBytes(iv);

    System.out.println("Benchmarking AES-256 GCM encryption for 10 seconds");
    long javaEncryptInputBytes = 0;
    long javaEncryptStartTime = System.currentTimeMillis();
    final Cipher javaAES256 = Cipher.getInstance("AES/GCM/NoPadding");
    byte[] tag = new byte[16];
    long encryptInitTime = 0L;
    long encryptUpdate1Time = 0L;
    long encryptDoFinalTime = 0L;
    while (System.currentTimeMillis() - javaEncryptStartTime < 10000) {
        random.nextBytes(iv);
        long n1 = System.nanoTime();
        javaAES256.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(key, "AES"), new GCMParameterSpec(16 * Byte.SIZE, iv));
        long n2 = System.nanoTime();
        javaAES256.update(data, 0, data.length, encrypted, 0);
        long n3 = System.nanoTime();
        javaAES256.doFinal(tag, 0);
        long n4 = System.nanoTime();
        javaEncryptInputBytes += data.length;

        encryptInitTime = n2 - n1;
        encryptUpdate1Time = n3 - n2;
        encryptDoFinalTime = n4 - n3;
    }
    long javaEncryptEndTime = System.currentTimeMillis();
    System.out.println("Time init (ns): "     + encryptInitTime);
    System.out.println("Time update (ns): "   + encryptUpdate1Time);
    System.out.println("Time do final (ns): " + encryptDoFinalTime);
    System.out.println("Java calculated at " + (javaEncryptInputBytes / 1024 / 1024 / ((javaEncryptEndTime - javaEncryptStartTime) / 1000)) + " MB/s");

    System.out.println("Benchmarking AES-256 GCM decryption for 10 seconds");
    long javaDecryptInputBytes = 0;
    long javaDecryptStartTime = System.currentTimeMillis();
    final GCMParameterSpec gcmParameterSpec = new GCMParameterSpec(16 * Byte.SIZE, iv);
    final SecretKeySpec keySpec = new SecretKeySpec(key, "AES");
    long decryptInitTime = 0L;
    long decryptUpdate1Time = 0L;
    long decryptUpdate2Time = 0L;
    long decryptDoFinalTime = 0L;
    while (System.currentTimeMillis() - javaDecryptStartTime < 10000) {
        long n1 = System.nanoTime();
        javaAES256.init(Cipher.DECRYPT_MODE, keySpec, gcmParameterSpec);
        long n2 = System.nanoTime();
        int offset = javaAES256.update(encrypted, 0, encrypted.length, data, 0);
        long n3 = System.nanoTime();
        javaAES256.update(tag, 0, tag.length, data, offset);
        long n4 = System.nanoTime();
        javaAES256.doFinal(data, offset);
        long n5 = System.nanoTime();
        javaDecryptInputBytes += data.length;

        decryptInitTime += n2 - n1;
        decryptUpdate1Time += n3 - n2;
        decryptUpdate2Time += n4 - n3;
        decryptDoFinalTime += n5 - n4;
    }
    long javaDecryptEndTime = System.currentTimeMillis();
    System.out.println("Time init (ns): " + decryptInitTime);
    System.out.println("Time update 1 (ns): " + decryptUpdate1Time);
    System.out.println("Time update 2 (ns): " + decryptUpdate2Time);
    System.out.println("Time do final (ns): " + decryptDoFinalTime);
    System.out.println("Total bytes processed: " + javaDecryptInputBytes);
    System.out.println("Java calculated at " + (javaDecryptInputBytes / 1024 / 1024 / ((javaDecryptEndTime - javaDecryptStartTime) / 1000)) + " MB/s");
}

编辑: 我把它作为一个有趣的练习,以改善这个简单的头脑基准.

我已经使用ServerVM测试了一些,删除了nanoTime调用并引入了预热,但正如我所料,这些都没有对基准测试结果有任何改进.它平坦,每秒3 兆字节.

Answer 1

除了微观基准测试之外,JDK 8中GCM实现的性能(至少高达1.8.0_25)已经瘫痪.

我可以通过更成熟的微基准来持续重现3MB/s(在Haswell i7笔记本电脑上).

从代码潜水开始,这似乎是由于天真的乘法器实现和GCM计算没有硬件加速.

相比之下,JDK 8中的AES(在ECB或CBC模式下)使用AES-NI加速内在并且(至少对于Java)非常快(在相同硬件上大约为1GB/s),但整体AES/GCM性能完全由破碎的GCM性能决定.

有计划实施硬件加速,并且已经有第三方提交以提高性能,但这些还没有发布到版本.

需要注意的是,JDK GCM实现还会在解密时缓冲整个明文,直到验证密文末尾的身份验证标记为止,这会使其与大型消息一起使用.

Bouncy Castle(在撰写本文时)具有更快的GCM实施(如果您正在编写不受软件专利法约束的开源软件,则可以使用OCB).

2015年7月更新 - 1.8.0_45和JDK 9

JDK 8+将获得改进的(并且是恒定的时间)Java实现(由RedHat的Florian Weimer提供) - 这已经落在JDK 9 EA版本中,但显然还没有在1.8.0_45版本中.JDK9(至少EA B72)也有GCM内在函数 - b72上的AES/GCM速度为18MB/s,没有启用内在函数,启用内在函数时为25MB/s,两者都令人失望 - 相比之下,最快(不是恒定时间)BC实现速度约为60MB/s,最慢(恒定时间,未完全优化)约为26MB/s.

2016年1月更新 - 1.8.0_72:

一些性能修复程序降级为JDK 1.8.0_60,同一基准测试的性能现在为18MB/s - 比原始性能提高了6倍,但仍然比BC实现慢得多.