Κρυπτογράφηση / αποκρυπτογράφηση / υπογραφή SM2

Όλη η κρυπτογραφία ελλειπτικών καμπυλών βασίζεται σε ένα τέχνασμα: δεδομένου του σημείου βάσης G πάνω σε μια καμπύλη πάνω από πεπερασμένο σώμα πρώτου αριθμού και του πολλαπλάσιου P = d·G, ο υπολογισμός του d από το P σημαίνει επίλυση του προβλήματος διακριτού λογαρίθμου ελλειπτικής καμπύλης, για το οποίο δεν είναι γνωστός γρήγορος αλγόριθμος. Το ιδιωτικό κλειδί d είναι απλώς ένας αριθμός 256 bit· το δημόσιο κλειδί είναι το σημείο d·G. Το SM2 δεν είναι νέα αριθμητική καμπύλης — είναι συγκεκριμένος τρόπος υπογραφής (όπως το ECDSA) και κρυπτογράφησης (όπως ένα μικρό ECIES) πάνω σε μια συγκεκριμένη καμπύλη, με κατακερματισμό SM3 αντί για SHA.

Και οι δύο καμπύλες προσφέρουν την ίδια συγκεκριμένη ασφάλεια· καμία δεν έχει πρακτική επίθεση. Η επιλογή μεταξύ τους είναι κανονιστική και θέμα διαλειτουργικότητας, όχι ισχύος.

Πριν από τον κατακερματισμό, το SM2 ενσωματώνει την ταυτότητα του υπογράφοντος στο αποτύπωμα: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA), όπου ENTLa είναι το μήκος σε bit του ID, τα μεσαία τέσσερα πεδία καθορίζουν την ακριβή καμπύλη, και τα δύο τελευταία είναι το δημόσιο κλειδί του υπογράφοντος. Το μήνυμα κατακερματίζεται ως SM3(ZA ‖ M). Δύο συνέπειες: μια υπογραφή δεσμεύεται στη δηλωμένη ταυτότητα (χαρακτηριστικό), και ο επαληθευτής πρέπει να ενημερωθεί για το ID του υπογράφοντος και να χρησιμοποιήσει το ίδιο (κλασική παγίδα διαλειτουργικότητας). Σχεδόν όλο το οικοσύστημα συμφώνησε στο προεπιλεγμένο ID 16 ψηφίων 1234567812345678 — όχι από το κείμενο του προτύπου, αλλά από τα παραδείγματα παραρτήματος του GM/T 0003· το προεπιλεγμένο του OpenSSL ταιριάζει, όπως και αυτή η σελίδα.

Ένα κρυπτογράφημα SM2 έχει τρία μέρη: C1 = το εφήμερο σημείο kG (64 bytes, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 bytes, ακεραιότητα), C2 = M ⊕ KDF(x2 ‖ y2) (το μασκαρισμένο μήνυμα). Το κείμενο GM/T 0003 του 2012 τα συνένωνε C1 ‖ C2 ‖ C3· το πρότυπο GB/T 32918.4 του 2016 αναδιάταξε σε C1 ‖ C3 ‖ C2, και το OpenSSL 1.1.1+ το ακολούθησε. Τα παλαιά τραπεζικά και κυβερνητικά συστήματα μιλούν ακόμη την παλαιά σειρά — γι' αυτό η σελίδα έχει και τις δύο, συν τη μορφή ASN.1 (SEQUENCE των INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2) που εκπέμπουν ορισμένες βιβλιοθήκες. Όταν η αποκρυπτογράφηση αποτυγχάνει με το εργαλείο του άλλου μέρους, η σειρά bytes είναι το πρώτο που ελέγχεται.

• Επαναχρησιμοποίηση ή φειδωλή χρήση του k. Το k της υπογραφής και της κρυπτογράφησης πρέπει να είναι νέο και απρόβλεπτο σε κάθε πράξη. Ένα επαναλαμβανόμενο k σε δύο υπογραφές παραδίδει το ιδιωτικό κλειδί σε όποιον βλέπει και τις δύο. Η σελίδα αντλεί το k από το CSPRNG του προγράμματος περιήγησης· τα πεδία σταθερού k υπάρχουν μόνο για την αναπαραγωγή γνωστών διανυσμάτων.
• Αναντιστοιχία αναγνωριστικών χρήστη. Υπογραφή με το προεπιλεγμένο αναγνωριστικό και επαλήθευση με προσαρμοσμένο (ή αντιστρόφως) και κάθε έγκυρη υπογραφή αποτυγχάνει. Το αναγνωριστικό είναι μέρος των υπογεγραμμένων δεδομένων.
• Η παραδοχή ότι παντού ισχύει C1C3C2. Τα συστήματα της εποχής GM/T 0003, ορισμένες έξυπνες κάρτες και παλαιότερες εκδόσεις του GmSSL χρησιμοποιούν εξ ορισμού C1C2C3· πολλά εργαλεία προσθέτουν επίσης ένα byte 04 για μη συμπιεσμένο σημείο. Η σελίδα δέχεται όλα αυτά κατά την αποκρυπτογράφηση.
• Κρυπτογράφηση μαζικών δεδομένων με SM2. Κάθε κρυπτογράφημα φέρει 96 bytes επιβάρυνσης και κοστίζει δύο πολλαπλασιασμούς σημείων. Το SM2 χρησιμοποιείται σε ένα κλειδί, το SM4/AES στα δεδομένα.
• Αντιμετώπιση δημόσιου κλειδιού με πρόθεμα 04 ως 65 ωμών bytes κλειδιού. Το 04 είναι δείκτης κωδικοποίησης: το ίδιο το κλειδί είναι x ‖ y, 128 δεκαεξαδικά ψηφία. Η σελίδα δέχεται και τις δύο γραφές.

Είναι συμβατό με το OpenSSL / GmSSL; Ναι. Η έξοδος hex C1C3C2 ταιριάζει με το openssl pkeyutl -sm2encrypt για το ίδιο δημόσιο κλειδί, μήνυμα και k· οι υπογραφές DER ταιριάζουν με την έξοδο του openssl dgst -sm3 -sign byte προς byte (ορίζεται το αναγνωριστικό χρήστη με -pkeyopt sm2_userid:...). Οι εκτελέσεις με τυχαίο k βέβαια διαφέρουν — η σύγκριση γίνεται με αποκρυπτογράφηση/επαλήθευση, όχι με ισότητα.

Γιατί δεν υπάρχει εδώ ανταλλαγή κλειδιού SM2; Το GB/T 32918.3 ορίζει ένα διαδραστικό πρωτόκολλο ανταλλαγής κλειδιών με αυθεντικοποίηση· δεν έχει νόημα ως σελίδα υπολογιστή μίας σελίδας. Η υπογραφή και η κρυπτογράφηση καλύπτουν τις μη διαδραστικές χρήσεις.

Υπάρχει το SM2 στο WebCrypto; Όχι — κανένα πρόγραμμα περιήγησης δεν το υλοποιεί (το Chrome το παρέχει μόνο πίσω από μη τυποποιημένες σημαίες, αν καθόλου). Η σελίδα εκτελεί μια υλοποίηση JavaScript από την αρχή, με τα διανύσματα παραρτήματος του ίδιου του προτύπου συνδεδεμένα στο αυτοτεστ παραπάνω.

Μπορεί να χρησιμοποιηθεί ένα κλειδί PEM του OpenSSL; Εξαγωγή του ακατέργαστου hex αντί γι' αυτό: το openssl ec -in key.pem -text εμφανίζει το ιδιωτικό βαθμωτό μέγεθος και το δημόσιο σημείο. Η σελίδα δέχεται μόνο κλειδιά hex, εσκεμμένα — η μηχανική PEM/SEC1 ανήκει στη σελίδα RSA, όπου ταιριάζει.

Τι είναι λοιπόν το SM9; Διαφορετικό ζώο: κρυπτογραφία βασισμένη σε ταυτότητα, όπου οποιαδήποτε συμβολοσειρά (μια διεύθυνση email) είναι το δημόσιο κλειδί και ένα KGC εκδίδει τα ιδιωτικά κλειδιά. Βλ. τη σελίδα επισκόπησης SM9.