SM9 identitásalapú kriptográfia (IBC)

A hagyományos nyilvános kulcsú kriptográfia (RSA, SM2, ECC) tanúsítványokkal válaszol arra a kérdésre, hogy „ez valóban Bob kulcsa-e?”: egy CA-hierarchia igazolja, hogy egy véletlen-szerűnek látszó kulcsblob Bobhoz tartozik. Az identitásalapú kriptográfia ezt megfordítja: a név szolgál kulcsanyagként. Bárki, aki ismeri Bob e-mail-címét, titkosíthat neki vagy ellenőrizheti az aláírásait anélkül, hogy bármit lekérne — nincs tanúsítványkönyvtár, nincs bizalmi lánc validálás. Az ár egy megbízható harmadik fél, amely bármely privát kulcsot származtathat, és sokkal nehezebb matematika. Az SM9 ennek a cserének a szabványosított kínai megvalósítása.

Szerep	Jelentése
Identitás (ID)	Bármely bájtsorozat, pl. bob@example.com, közvetlenül nyilvános kulcsként. Kanonikusnak kell lennie: bájtra pontos, ugyanazon személynek nem lehet két írásmódja.
KGC	Kulcsgeneráló központ: a mesterprivát kulcsot tartja, ellenőrzi, kihez tartozik az identitás, és kiadja a hozzá tartozó felhasználói privát kulcsot.
Mesterkulcspárok	Két független pár: aláírás (titok ks, nyilvános Ppub-s = [ks]P2) és titkosítás (titok ke, nyilvános Ppub-e = [ke]P1). Figyelemre méltó a szándékos aszimmetria: az egyik mesternyilvános a G2-ben, a másik a G1-ben él.
Felhasználói privát kulcs	Pont a görbén, az azonosítóból a KGC által származtatva. Az dsA aláírókulcs a G1-ben él; a deB visszafejtőkulcs a G2-ben.
hid	Egybájtos függvényazonosító, amely minden kulcsszármaztatásba bekeveredik, így egy identitás aláíráshoz, titkosításhoz és kulcscseréhez kriptográfiailag független kulcsokat ad.
H1, H2, KDF	SM3-alapú segédfüggvények (GB/T 32905): kivonat-egész leképezések és a kulcsszármaztató függvény.
Párosítás e	Az R-ate bilineáris párosítás e: G1 × G2 → GT az alább definiált 256 bites BN-görbe felett. A teljes séma algebrai motorja.

Alice titkot szeretne küldeni a bob@example.com címnek — esetleg még mielőtt Bob bármikor regisztrált volna a KGC-nél:

Miért működik: a bilinearitás miatt e(C1, deB) = e([r(H1+ke)]P1, [ke/(H1+ke)]P2) = e(P1, P2)r·ke = w — pontosan az az érték, amelyet Alice a KDF-be vont. A szép rész a 6. lépés: a titkosításhoz nincs szükség előzetes regisztrációra. Alice ma lezárhat egy üzenetet; Bob csak akkor nyithatja meg, miután igazolta identitását a KGC előtt. A halasztott kulcsgenerálás az IBE aláírása.

Alice aláírja az M üzenetet az aláíró kulcsával, a dsA-val:

Bárki, aki ismeri Alice identitását, tanúsítvány nélkül ellenőrizheti:

Ismét a bilinearitás zárja a kört: u = e(P1,P2)l·ks és gh = e(P1,P2)ks·h, így w′ = e(P1,P2)ks·(l+h) = e(P1,P2)ks·r = w.

Ez az a döntés, amely az SM9 kiválasztásakor valóban számít. Mindkét világ nyilvános kulcsú titkosítást és aláírásokat ad; abban különböznek, hol van a bizalom:

Szempont	PKI / tanúsítványok (SM2, RSA-világ)	Identitásalapú (SM9)
bob@… nyilvános kulcsa	65+ bájtos blob egy tanúsítványban, könyvtárból vagy a címzettől lekérve	A bob@example.com sztring; az ellenőrző ebből számítja ki a kulcsot
Bizalmi gyökér	CA-hierarchia; minden láncnak egy gyökérig validálnia kell	Egyetlen KGC-mesterkulcs az egész tartományra
Titkosítás még mielőtt a címzettnek van kulcsa?	Nem — először érvényes tanúsítvány kell neki	Igen — most titkosítható; a címzett később regisztrál, és visszafejt
A privát kulcsot előállítja	A felhasználó gépe vagy eszköze (gyakran el sem hagyja)	A KGC, központilag, az identitásból
Kulcsletét	Tervezés szerint nincs	Eredendő: a KGC minden felhasználó privát kulcsát származtathatja
Visszavonás	CRL-ek / OCSP tanúsítványonként	Nincs megfelelője; a szokásos gyakorlat érvényességi ablakot ágyaz az ID-ba (pl. bob@example.com|2026), így a kulcsok szerkezetileg lejárnak
Költség műveletenként	Sima ECC-aritmetika — gyors	Bilineáris párosítás — nagyságrendekkel lassabb, mint egy skalármultiplikáció
Szabványok	X.509 / RFC 5280; SM2 a GB/T 32918 alatt	GB/T 38635,1/.2-2020 (korábban GM/T 0044-2016)
Természetes élőhely	Nyílt internet: TLS, kódaláírás, általános PKI	Zárt ökoszisztémák: egy bank üzenetküldése, egy hatóság e-mailje, eszköz- és flottaazonosítás — ahol központi hatóság elfogadható, és a regisztráció nélküli titkosítás megtérül

Hüvelykujj-szabály: az SM9 tanúsítványmentes kulcskezelést nyújt a kulcsletét és a lassabb matematika árán. Ha nem fogadható el egy harmadik fél, amely mindent elolvashat vagy bárkit hamisíthat, célszerű az SM2 tanúsítványoknál maradni; ha egy szervezeten belül regisztráció nélküli titkosítás a cél, az SM9 pontosan ez az eszköz.

A GB/T 38635,1-2020 paraméterkészlete (megtalálható a GM/T 0044,5-2017-ben is). Ezek csak olvasható referenciaértékek — az alábbi önellenőrzés az oldal minden konstansát független, ellenőrzött értékekkel veti össze:

Tétel	Érték
Görbe	Barreto–Naehrig (BN) görbe E: y2 = x3 + b az Fp felett, b = 05
Görbeparaméter t	60000000 0058F98A
Mezőprím p	B6400000 02A3A6F1 D603AB4F F58EC745 21F2934B 1A7AEEDB E56F9B27 E351457D
Csoportrend N	B6400000 02A3A6F1 D603AB4F F58EC744 49F2934B 18EA8BEE E56EE19C D69ECF25
Paraméterezés	p = 36t4 + 36t3 + 24t2 + 6t + 1; N = 36t4 + 36t3 + 18t2 + 6t + 1
Kofaktor	1
Beágyazási fok k	12 (mezőtorony Fp → Fp2 → Fp4 → Fp12)
Párosítás	R-ate párosítás e: G1 × G2 → GT, mindhárom csoport rendje N
G1 generátor P1 (E-n)	x = 93DE051D 62BF718F F5ED0704 487D01D6 E1E40869 09DC3280 E8C4E481 7C66DDDD y = 21FE8DDA 4F21E607 63106512 5C395BBC 1C1C00CB FA602435 0C464CD7 0A3EA616
G2 generátor P2 (az E′ csavarási görbén: y2 = x3 + 5·u az Fp2 felett, u2 = −2)	xc0 = 37227552 92130B08 D2AAB97F D34EC120 EE265948 D19C17AB F9B7213B AF82D65B xc1 = 85AEF3D0 78640C98 597B6027 B441A01F F1DD2C19 0F5E93C4 54806C11 D8806141 yc0 = A7CF28D5 19BE3DA6 5F317015 3D278FF2 47EFBA98 A71A0811 6215BBA5 C999A7C7 yc1 = 17509B09 2E845C12 66BA0D26 2CBEE6ED 0736A96F A347C8BD 856DC76B 84EBEB96 (Fp2 elemek c0 + c1·u alakban írva)
Kivonat / KDF	H1, H2 és a KDF az SM3-ra (GB/T 32905-2016) épül; a hid egybájtos függvényazonosító, amelyet a KGC választ

• SM9 (ez az oldal) — a kulcskezelés megzavarója: identitások tanúsítványok helyett, KGC a CA-hierarchia helyett.
• SM3 — a kivonat; az SM9 H1/H2/KDF-je erre épül. Kivonatok számítása az SM3-oldalon.
• SM4 — a blokk-rejtjelező, amely általában a nagy adatmennyiséget titkosítja az SM9 KDF által előállított kulcs alatt. Az SM4-oldalon kipróbálható.
• SM2 — a tanúsítványvilág megfelelője: ugyanazok a feladatok (aláírás, titkosítás) közönséges ECC-vel és mögötte PKI-val. Teljes számológép az SM2-oldalon.

• "Az identitás a nyilvános kulcs, tehát bárki elolvashatja a leveleket." Nem — bárki titkosíthat az identitásnak, és ellenőrizheti az onnan érkező aláírásokat; csak a KGC által kiadott privát kulcs birtokosa fejthet vissza vagy írhat alá. A KGC ellenőrzi, ki Bob valójában, mielőtt kiadja a deB-t.
• A kulcsletétkezelés figyelmen kívül hagyása. Egy kompromittált KGC mesterkulcs azt jelenti, hogy a támadó csendben származtathatja minden felhasználó privát kulcsát — teljes visszafejtés és teljes megszemélyesítés a teljes tartományon. Ez így van tervezve (az identitásalapú kriptográfia ilyen működésű), nem javítandó hiba. Működési szinten enyhíthető: HSM, entitások között megosztott küszöb-KGC, szigorú kiadási naplózás.
• Feltételezés, hogy az identitás-sztring megbocsátó. Bájtra pontosan kivonatolódik: a Bob@Example.COM, a bob@example.com és a " bob@example.com" három különböző nyilvános kulcs, három különböző privát kulccsal. Bevezetés előtt rögzítsen egy kanonikus formátumot — és fontolja meg érvényességi ablak hozzáfűzését a visszavonáshoz.
• "256 bites görbe, tehát 256 bites biztonság." A párosítás-alapú kriptográfia nem skálázódik úgy, mint a sima ECC: a támadások a hatalmas F_p12/F_p6 mezőkben működnek, ahol az index-kalkulus (szubexponenciális) algoritmusok alkalmazhatók. Közzétett elemzések a 256 bites BN-görbéket nagyjából a ~100–128 bites biztonsági osztályba sorolják, a kutatók pedig nagyobb BN-paramétereket javasoltak SM9-hez (pl. „Searching BN Curves for SM9”, 2019). Az SM9-et nagyjából AES-128 osztályúnak kezeljük — szilárd, de nem 256 bites erősségű.
• OpenSSL-ben várni. Az OpenSSL implementálja az SM2/SM3/SM4-et, de SM9-et nem. Működő nyílt forráskódú verem a GmSSL és a Bouncy Castle.

Kínai találmány-e az SM9? A koncepció nem az: Shamir 1984-ben javasolta az identitásalapú kriptográfiát, Boneh–Franklin (2001) pedig az első gyakorlati párosítás-alapú IBE-t építette. Az SM9 (GM/T 0044-2016, majd GB/T 38635,1/.2-2020) Kína nemzeti szabványos megvalósítása ennek a vonalnak.

Miért nincs SM9-számológép ezen az oldalon? Az SM2/SM3/SM4-gyel ellentétben az SM9 bilineáris párosítást igényel: F_p12 bővítettmező-tornyot, Miller-ciklust és végső kitevősítést — több ezer sornyi gondos nagy-szám kódot. A család ütemtervében szerepel; addig ez az oldal dokumentálja az algoritmust, a testvéroldalak pedig a csomag többi részét böngészőben számolják.

Lecserélheti-e az SM9 az SM2-t, SM3-at és SM4-et? Nem — más problémákat oldanak meg. Az SM9 a tanúsítványinfrastruktúrát helyettesíti, nem a primitíveket: belsőleg az SM3-ra támaszkodik kivonatoláshoz és kulcsszármaztatáshoz, a becsomagolt nagy kulcs pedig jellemzően SM4-et hajt. Az SM2 marad a válasz, ha tanúsítvány-jellegű elszámoltathatóságra van szükség kulcsletét nélkül.

Mi pontosan a hid? Egybájtos függvényazonosító (a KGC választja és teszi közzé), amely minden H1-kivonatba bekeveredik. Mivel az aláírási, titkosítási és kulcscsere-kulcsok az identitást különböző hid-értékekkel kivonatolják, egy kiszivárgott felhasználói kulcs csak az adott függvényt kompromittálja.

Hogyan vonják vissza az identitásokat? Az SM9-en belül nincs CRL-mechanizmus. Szokásos gyakorlat: a lejárat magába az identitásba ágyazása (bob@example.com|2026-Q4), hogy a kulcsokat rendszeresen újra kelljen kiadni, a KGC pedig egyszerűen nem ad ki újabbat a visszavont identitásokra.

Hol használják tényleg az SM9-et? Szabályozott kínai ágazatokban — bank, kormányzat és ipari üzenetküldés — jellemzően zárt ökoszisztémákban, ahol egy hatóság elfogadható, és az „titkosíts egy e-mail-címnek ma, regisztráld a felhasználót holnap” megéri a párosítás költségét.