SM2 Enkripsi / Dekripsi / Tanda Tangan

Semua kriptografi kurva elips bertumpu pada satu trik: diberi titik dasar G pada kurva di atas medan bilangan prima besar dan kelipatan P = d·G, menghitung d dari P berarti menyelesaikan masalah logaritma diskret kurva elips, yang tidak diketahui algoritma cepatnya. Kunci privat d hanyalah bilangan 256-bit; kunci publik adalah titik d·G. SM2 bukan aritmetika kurva baru — ia adalah cara tertentu untuk menandatangani (seperti ECDSA) dan mengenkripsi (seperti ECIES mini) pada satu kurva tertentu, dengan hash SM3 alih-alih SHA.

Kedua kurva menawarkan keamanan konkret yang sama; tidak ada yang memiliki serangan praktis. Pilihan di antara keduanya bersifat regulasi dan interoperabilitas, bukan kekuatan.

Sebelum hashing, SM2 memasukkan identitas penandatangan ke dalam digest: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA), dengan ENTLa adalah panjang bit dari ID, empat bidang di tengah mengunci kurva yang tepat, dan dua bidang terakhir adalah kunci publik penandatangan. Pesan di-hash sebagai SM3(ZA ‖ M). Dua konsekuensi: tanda tangan terikat pada identitas yang diklaim (suatu fitur), dan pemverifikasi harus diberi tahu ID penandatangan dan menggunakan yang sama (jebakan interop klasik). Hampir seluruh ekosistem menetap pada default 16 digit 1234567812345678 — bukan dari teks standar, melainkan dari contoh lampiran GM/T 0003; default OpenSSL cocok dengannya, dan demikian juga halaman ini.

Ciphertext SM2 memiliki tiga bagian: C1 = titik sementara kG (64 byte, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 byte, integritas), C2 = M ⊕ KDF(x2 ‖ y2) (pesan yang di-mask). Teks GM/T 0003 tahun 2012 menggabungkannya sebagai C1 ‖ C2 ‖ C3; standar GB/T 32918.4 tahun 2016 mengurutkan ulang menjadi C1 ‖ C3 ‖ C2, dan OpenSSL 1.1.1+ mengikutinya. Sistem perbankan dan pemerintahan lama masih menggunakan urutan lama — itulah sebabnya halaman ini menyediakan keduanya, plus bentuk ASN.1 (SEQUENCE dari INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2) yang dikeluarkan beberapa pustaka. Ketika dekripsi gagal dengan alat pihak lain, urutan byte adalah hal pertama yang diperiksa.

• Menggunakan ulang atau menghemat k. Nonce k dalam penandatanganan maupun enkripsi harus baru dan tidak dapat diprediksi untuk setiap operasi. Satu k yang berulang di dua tanda tangan memberikan kunci privat kepada siapa pun yang melihat keduanya. Halaman ini mengambil k dari CSPRNG peramban; kotak k tetap hanya ada untuk mereproduksi vektor yang sudah diketahui.
• ID pengguna yang tidak cocok. Tanda tangani dengan ID bawaan, verifikasi dengan ID kustom (atau sebaliknya) dan setiap tanda tangan yang valid akan gagal. ID adalah bagian dari data yang ditandatangani.
• Mengasumsikan C1C3C2 di mana-mana. Sistem era GM/T 0003, beberapa kartu pintar, dan build GmSSL yang lebih lama secara bawaan menggunakan C1C2C3; beberapa alat juga menambahkan byte titik tanpa kompresi 04 di depan. Halaman ini menerima semua ini saat dekripsi.
• Mengenkripsi data besar dengan SM2. Setiap ciphertext membawa 96 byte overhead dan memerlukan dua perkalian titik. Gunakan SM2 pada kunci, SM4/AES pada data.
• Memperlakukan kunci publik berawalan 04 sebagai 65 byte kunci mentah. 04 adalah penanda pengodean: kuncinya sendiri adalah x ‖ y, 128 digit hex. Halaman ini menerima kedua ejaan ini.

Apakah ini kompatibel dengan OpenSSL / GmSSL? Ya. Output hex C1C3C2 cocok dengan openssl pkeyutl -sm2encrypt untuk kunci publik, pesan, dan k yang sama; tanda tangan DER cocok dengan keluaran openssl dgst -sm3 -sign byte demi byte (atur ID pengguna dengan -pkeyopt sm2_userid:...). Eksekusi dengan k acak tentu berbeda — bandingkan dengan dekripsi/verifikasi, bukan dengan kesamaan.

Mengapa tidak ada pertukaran kunci SM2 di sini? GB/T 32918.3 mendefinisikan protokol pertukaran kunci terautentikasi interaktif; itu tidak masuk akal sebagai kalkulator satu halaman. Tanda tangan dan enkripsi mencakup penggunaan non-interaktif.

Apakah SM2 ada di WebCrypto? Tidak — tidak ada peramban yang mengimplementasikannya (Chrome hanya menyediakannya di balik flag non-standar, jika memang ada). Halaman ini menjalankan implementasi JavaScript dari awal, dengan vektor lampiran standar itu sendiri dihubungkan ke self-test di atas.

Bisakah kunci PEM dari OpenSSL digunakan? Ekspor hex mentahnya sebagai gantinya: openssl ec -in key.pem -text mencetak skalar privat dan titik publik. Halaman ini hanya menerima kunci hex, dengan sengaja — mesin PEM/SEC1 berada di halaman RSA tempat seharusnya.

Lalu apa SM9? Hewan yang berbeda: kriptografi berbasis identitas, di mana string apa pun (alamat surel) adalah kunci publik dan KGC menerbitkan kunci privat. Lihat halaman ikhtisar SM9.