SM2 Cifra / Decifra / Firma

Tutta la crittografia a curve ellittiche si basa su un unico trucco: dato il punto base G su una curva su un grande campo primo e il multiplo P = d·G, calcolare d a partire da P significa risolvere il problema del logaritmo discreto sulla curva ellittica, per il quale non si conosce alcun algoritmo veloce. La chiave privata d è solo un numero a 256 bit; la chiave pubblica è il punto d·G. SM2 non è una nuova aritmetica di curva — è un modo specifico di firmare (come ECDSA) e cifrare (come un ECIES in miniatura) su una curva specifica, con hash SM3 invece di SHA.

Entrambe le curve offrono la stessa sicurezza concreta; nessuna ha un attacco pratico. La scelta tra le due è normativa e di interoperabilità, non di robustezza.

Prima dell'hash, SM2 fonde l'identità del firmatario nel digest: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA), dove ENTLa è la lunghezza in bit dell'ID, i quattro campi centrali fissano la curva esatta, e gli ultimi due sono la chiave pubblica del firmatario. Il messaggio viene sottoposto ad hash come SM3(ZA ‖ M). Due conseguenze: una firma è vincolata all'identità dichiarata (una caratteristica), e il verificatore deve conoscere l'ID del firmatario e usare lo stesso (un classico problema di interoperabilità). Quasi tutto l'ecosistema si è assestato sul predefinito di 16 cifre 1234567812345678 — non dal testo dello standard, ma dagli esempi dell'appendice di GM/T 0003; il default di OpenSSL coincide, e così questa pagina.

Un ciphertext SM2 ha tre parti: C1 = il punto effimero kG (64 byte, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 byte, integrità), C2 = M ⊕ KDF(x2 ‖ y2) (il messaggio mascherato). Il testo del 2012 GM/T 0003 li concatenava C1 ‖ C2 ‖ C3; lo standard GB/T 32918.4 del 2016 li ha riordinati in C1 ‖ C3 ‖ C2, e OpenSSL 1.1.1+ l'ha seguito. I vecchi sistemi bancari e governativi parlano ancora l'ordine precedente — per questo questa pagina ha entrambi, più la forma ASN.1 (SEQUENCE di INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2) che alcune librerie emettono. Quando la decifratura fallisce con lo strumento dell'altra parte, l'ordine dei byte è la prima cosa da controllare.

• Riusare o risparmiare sul k. Il nonce k nella firma e nella cifratura deve essere nuovo e imprevedibile per ogni operazione. Un k ripetuto in due firme consegna la chiave privata a chiunque veda entrambe. Questa pagina estrae k dal CSPRNG del browser; i campi del k fisso esistono solo per riprodurre vettori noti.
• ID utente non corrispondenti. Firmi con l'ID predefinito e verifichi con uno personalizzato (o viceversa) e ogni firma valida fallisce. L'ID fa parte dei dati firmati.
• Presumere C1C3C2 ovunque. I sistemi dell'epoca GM/T 0003, alcune smart card e le vecchie build di GmSSL usano C1C2C3 per impostazione predefinita; diversi strumenti antepongono anche un byte 04 di punto non compresso. Questa pagina accetta tutti questi formati in decifratura.
• Cifrare dati di grandi dimensioni con SM2. Ogni ciphertext porta 96 byte di sovraccarico e costa due moltiplicazioni di punti. Usi SM2 su una chiave, SM4/AES sui dati.
• Trattare una chiave pubblica con prefisso 04 come 65 byte grezzi di chiave. Il 04 è un marcatore di codifica: la chiave è x ‖ y, 128 cifre esadecimali. Questa pagina accetta entrambe le grafie.

È compatibile con OpenSSL / GmSSL? Sì. L'output esadecimale C1C3C2 corrisponde a openssl pkeyutl -sm2encrypt per la stessa chiave pubblica, lo stesso messaggio e lo stesso k; le firme DER corrispondono byte per byte all'output di openssl dgst -sm3 -sign (imposti l'ID utente con -pkeyopt sm2_userid:...). Le esecuzioni con k casuale ovviamente differiscono — confronti decifrando/verificando, non per uguaglianza.

Perché qui non c'è lo scambio di chiavi SM2? La GB/T 32918.3 definisce un protocollo interattivo di scambio di chiavi autenticato; non ha senso come calcolatrice di una pagina. Firma e cifratura coprono gli usi non interattivi.

SM2 è in WebCrypto? No — nessun browser lo implementa (Chrome lo include solo dietro flag non standard, se affatto). Questa pagina esegue un'implementazione JavaScript scritta da zero, con i vettori dell'appendice dello standard stesso collegati all'autotest qui sopra.

Posso usare una chiave PEM di OpenSSL? Esporti invece il valore esadecimale grezzo: openssl ec -in key.pem -text stampa lo scalare privato e il punto pubblico. Questa pagina accetta solo chiavi esadecimali, di proposito — la parte PEM/SEC1 sta nella pagina RSA, dove deve stare.

Allora che cos'è SM9? Un animale diverso: la crittografia basata sull'identità, dove qualsiasi stringa (un indirizzo e-mail) è la chiave pubblica e un KGC emette le chiavi private. Veda la pagina di panoramica SM9.