Kryptografie založená na identitě SM9 (IBC)

Konvenční kryptografie s veřejným klíčem (RSA, SM2, ECC) odpovídá na otázku „je to opravdu Bobův klíč?“ certifikáty: hierarchie CA potvrzuje, že určitý náhodně vypadající blob klíče patří Bobovi. Kryptografie založená na identitě to obrací: samotné jméno je materiál klíče. Kdokoli, kdo zná Bobovu e-mailovou adresu, mu může šifrovat nebo ověřovat podpisy bez stahování čehokoli — žádný adresář certifikátů, žádná validace řetězce důvěry. Cenou je důvěryhodná třetí strana, která může odvodit každý soukromý klíč, a mnohem těžší matematika. SM9 je standardizovaná čínská realizace tohoto kompromisu.

Role	Co to je
Identita (ID)	Libovolný řetězec bajtů, např. bob@example.com, použitý přímo jako veřejný klíč. Musí být kanonický: přesný bajt po bajtu, žádné dva zápisy téže osoby.
KGC	Key Generation Centre: drží hlavní soukromý klíč, ověřuje, komu identita patří, a vydává odpovídající soukromý klíč uživatele.
Páry hlavních klíčů	Dva nezávislé páry: podepisování (tajný ks, veřejný Ppub-s = [ks]P2) a šifrování (tajný ke, veřejný Ppub-e = [ke]P1). Všimněte si záměrné asymetrie: jeden hlavní veřejný klíč žije v G2, druhý v G1.
Soukromý klíč uživatele	Bod na křivce odvozený z ID pomocí KGC. Podpisový klíč dsA žije v G1; dešifrovací klíč deB žije v G2.
hid	Jednobajtový identifikátor funkce mísený do každého odvození klíče, takže jedna identita dává kryptograficky nezávislé klíče pro podepisování, šifrování a výměnu klíčů.
H1, H2, KDF	Pomocné funkce založené na SM3 (GB/T 32905): mapování hash-to-integer a funkce pro odvození klíče.
Párování e	Párování R-ate e: G1 × G2 → GT nad 256bitovou křivkou BN definovanou níže. Algebraický motor celého schématu.

Alice chce poslat tajnou zprávu bob@example.com — případně dříve, než se Bob kdy zaregistroval u KGC:

Proč to funguje: díky bilinearitě e(C1, deB) = e([r(H1+ke)]P1, [ke/(H1+ke)]P2) = e(P1, P2)r·ke = w — přesně ta hodnota, kterou Alice zahrnula do KDF. Elegantní část je krok 6: šifrování nevyžaduje předchozí registraci. Alice může zprávu zapečetit dnes; Bob ji může otevřít až poté, co prokáže identitu KGC. Odložené generování klíčů je znakem IBE.

Alice podepisuje zprávu M svým podpisovým klíčem dsA:

Kdokoli, kdo zná identitu Alice, ji ověří bez jakéhokoli certifikátu:

Bilinearita opět uzavírá smyčku: u = e(P1,P2)l·ks a gh = e(P1,P2)ks·h, takže w′ = e(P1,P2)ks·(l+h) = e(P1,P2)ks·r = w.

Toto je rozhodnutí, na kterém při výběru SM9 skutečně záleží. Oba světy vám dávají šifrování s veřejným klíčem a podpisy; liší se v tom, kde leží důvěra:

Aspekt	PKI / certifikáty (svět SM2, RSA)	Založené na identitě (SM9)
Veřejný klíč bob@…	Blob 65+ bajtů uvnitř certifikátu, stažený z adresáře nebo od příjemce samotného	Samotný řetězec bob@example.com; ověřovatel z něj klíč vypočítá
Kořen důvěry	Hierarchie CA; každý řetězec musí být ověřen až ke kořeni	Jeden hlavní veřejný klíč KGC pro celou doménu
Šifrovat dříve, než příjemce má klíč?	Ne — nejprve potřebujete jeho platný certifikát	Ano — zašifrujte nyní; on se zaregistruje a dešifruje později
Soukromý klíč vygeneroval	Vlastní počítač nebo zařízení uživatele (často ho nikdy neopustí)	KGC centrálně, z identity
Úschova klíčů	Záměrně žádné	Vlastně: KGC může odvodit soukromý klíč každého uživatele
Odvolání	CRL / OCSP na certifikát	Žádný ekvivalent; běžná praxe vkládá platnost do ID (např. bob@example.com|2026), takže klíče expirují již svou konstrukcí
Cena na operaci	Prostá aritmetika ECC — rychlá	Bilineární párování — řády pomalejší než skalární násobení
Normy	X.509 / RFC 5280; SM2 podle GB/T 32918	GB/T 38635.1/.2-2020 (dříve GM/T 0044-2016)
Přirozené prostředí	Otevřený internet: TLS, podepisování kódu, obecná PKI	Uzavřené ekosystémy: messaging jedné banky, e-mail jednoho úřadu, identita zařízení/flotily — kde je přijatelný centrální úřad a šifrování bez registrace se vyplatí

Pravidlo palce: SM9 nabízí správu klíčů bez certifikátů za cenu úschovy klíčů a pomalejší matematiky. Pokud nemůžete přijmout třetí stranu, která umí číst vše nebo se vydávat za kohokoli, zůstaňte u certifikátů SM2; pokud je cílem šifrování bez registrace uvnitř jedné organizace, SM9 je přesně ten nástroj.

Sada parametrů z GB/T 38635.1-2020 (také v GM/T 0044.5-2017). Jsou to referenční hodnoty pouze pro čtení — autotest níže znovu ověří každou konstantu na této stránce proti nezávisle ověřeným hodnotám:

Položka	Hodnota
Křivka	Barretova–Naehrigova (BN) křivka E: y2 = x3 + b nad Fp, b = 05
Parametr křivky t	60000000 0058F98A
Prvočíslo pole p	B6400000 02A3A6F1 D603AB4F F58EC745 21F2934B 1A7AEEDB E56F9B27 E351457D
Řád grupy N	B6400000 02A3A6F1 D603AB4F F58EC744 49F2934B 18EA8BEE E56EE19C D69ECF25
Parametrizace	p = 36t4 + 36t3 + 24t2 + 6t + 1; N = 36t4 + 36t3 + 18t2 + 6t + 1
Kofaktor	1
Vnořovací stupeň k	12 (věž polí Fp → Fp2 → Fp4 → Fp12)
Párování	Párování R-ate e: G1 × G2 → GT, všechny tři grupy řádu N
Generátor G1 P1 (na E)	x = 93DE051D 62BF718F F5ED0704 487D01D6 E1E40869 09DC3280 E8C4E481 7C66DDDD y = 21FE8DDA 4F21E607 63106512 5C395BBC 1C1C00CB FA602435 0C464CD7 0A3EA616
Generátor G2 P2 (na kroucené křivce E′: y2 = x3 + 5·u nad Fp2, u2 = −2)	xc0 = 37227552 92130B08 D2AAB97F D34EC120 EE265948 D19C17AB F9B7213B AF82D65B xc1 = 85AEF3D0 78640C98 597B6027 B441A01F F1DD2C19 0F5E93C4 54806C11 D8806141 yc0 = A7CF28D5 19BE3DA6 5F317015 3D278FF2 47EFBA98 A71A0811 6215BBA5 C999A7C7 yc1 = 17509B09 2E845C12 66BA0D26 2CBEE6ED 0736A96F A347C8BD 856DC76B 84EBEB96 (prvky Fp2 zapsané c0 + c1·u)
Hash / KDF	H1, H2 a KDF jsou postaveny na SM3 (GB/T 32905-2016); hid je jednobajtový identifikátor funkce zvolený KGC

• SM9 (tato stránka) — disruptor správy klíčů: identity místo certifikátů, KGC místo hierarchie CA.
• SM3 — hash; H1/H2/KDF SM9 jsou na něm postavené. Otisky počítejte na stránce SM3.
• SM4 — blokovou šifru, která typicky šifruje hromadná data pod klíčem, který produkuje KDF SM9. Vyzkoušejte ji na stránce SM4.
• SM2 — protějšek ze světa certifikátů: stejné úlohy (podepisování, šifrování) s běžnou ECC a PKI za ním. Úplná kalkulačka na stránce SM2.

• „Identita je veřejný klíč, takže kdokoli může číst mou poštu.“ Ne — kdokoli může šifrovat pro identitu a ověřovat podpisy z ní; pouze držitel soukromého klíče vydaného KGC může dešifrovat nebo podepisovat. KGC před vydáním deB ověří, kdo Bob skutečně je.
• Ignorování úschovy klíčů. Kompromitovaný hlavní klíč KGC znamená, že útočník může tiše odvodit soukromé klíče každého uživatele — úplné dešifrování a úplné vydávání se za kohokoli v doméně. Je to záměrné (tak kryptografie založená na identitě funguje), ne chyba k záplatování. Zmírněte to provozně: HSM, prahové KGC rozdělené mezi subjekty, přísné auditní logy vydávání.
• Předpoklad, že řetězec identity je shovívavý. Hashuje se bajt po bajtu: Bob@Example.COM, bob@example.com a " bob@example.com" jsou tři různé veřejné klíče se třemi různými soukromými klíči. Před nasazením zmrazte jeden kanonický formát — a zvažte připojení platnosti kvůli odvolání.
• „256bitová křivka, tedy 256bitová bezpečnost.“ Kryptografie založená na párování se neškáluje jako prostá ECC: útoky pracují v obrovských polích F_p12/F_p6, kde platí algoritmy index-calculus (subexponenciální). Publikované analýzy zařazují 256bitové křivky BN zhruba do třídy 100–128 bitů bezpečnosti a výzkumníci navrhli větší parametry BN pro SM9 (např. „Searching BN Curves for SM9“, 2019). S SM9 zacházejte přibližně jako s AES-128 — solidní, ale ne 256bitová pevnost.
• Očekávání, že to bude v OpenSSL. OpenSSL implementuje SM2/SM3/SM4, ale SM9 nemá. Funkční open-source zásobníky zahrnují GmSSL a Bouncy Castle.

Je SM9 čínský vynález? Koncept ne: Shamir navrhl kryptografii založenou na identitě v roce 1984 a Boneh–Franklin (2001) postavili první praktické IBE na párování. SM9 (GM/T 0044-2016, pak GB/T 38635.1/.2-2020) je čínská národní realizace této linie.

Proč na této stránce není kalkulačka SM9? Na rozdíl od SM2/SM3/SM4 SM9 potřebuje bilineární párování: věž rozšíření pole F_p12, Millerovu smyčku a finální exponenciaci — několik tisíc řádků pečlivého kódu pro velká čísla. Je na plánu rodiny; do té doby tato stránka dokumentuje algoritmus a sourozenecké stránky počítají zbytek sady v prohlížeči.

Může SM9 nahradit SM2, SM3 a SM4? Ne — řeší jiné problémy. SM9 nahrazuje infrastrukturu certifikátů, ne primitiva: interně se spoléhá na SM3 pro hashování a odvození klíče a obalený hromadný klíč typicky řídí SM4. SM2 zůstává odpovědí, když je potřeba odpovědnost ve stylu certifikátů bez úschovy klíčů.

Co přesně je hid? Jednobajtový identifikátor funkce (zvolený a zveřejněný KGC), který se mísí do každého hashe H1. Protože podpisové klíče, šifrovací klíče a klíče výměny hashují identitu s různými hodnotami hid, jeden uniklý uživatelský klíč kompromituje jen tu jednu funkci.

Jak se odvolávají identity? Uvnitř SM9 není mechanismus CRL. Běžná praxe: vložit expiraci do samotné identity (bob@example.com|2026-Q4), takže se klíče musí periodicky znovu vydávat, a KGC prostě přestane vydávat pro odvolané identity.

Kde se SM9 skutečně používá? V regulovaných čínských odvětvích — bankovnictví, státní správa a průmyslová komunikace — typicky uvnitř uzavřených ekosystémů, kde je přijatelný jeden úřad a „zašifrovat na e-mailovou adresu dnes, uživatele zaregistrovat zítra“ stojí za cenu párování.