SM9 identiteitsgebaseerde cryptografie (IBC)

Conventionele publieke-sleutelcryptografie (RSA, SM2, ECC) beantwoordt de vraag "is dit werkelijk Bobs sleutel?" met certificaten: een CA-hiërarchie bevestigt dat een bepaald willekeurig ogend sleutelblok bij Bob hoort. Identiteitsgebaseerde cryptografie keert dat om: de naam zelf is het sleutelmateriaal. Iedereen die Bobs e-mailadres kent, kan naar hem coderen of zijn handtekeningen verifiëren zonder iets op te halen — geen certificaatdirectory, geen validatie van de vertrouwensketen. De prijs is een vertrouwde derde partij die elke privésleutel kan afleiden, en veel zwaardere wiskunde. SM9 is de gestandaardiseerde Chinese invulling van die afweging.

Rol	Wat het is
Identiteit (ID)	Elke bytereeks, bijvoorbeeld bob@example.com, direct gebruikt als publieke sleutel. Ze moet canoniek zijn: byte voor byte, geen twee schrijfwijzen van dezelfde persoon.
KGC	Key Generation Centre: bewaart de hoofdprivésleutel, verifieert van wie een identiteit is, en geeft de bijbehorende privésleutel van de gebruiker uit.
Hoofdsleutelparen	Twee onafhankelijke paren: ondertekenen (geheim ks, publiek Ppub-s = [ks]P2) en coderen (geheim ke, publiek Ppub-e = [ke]P1). Let op de bewuste asymmetrie: de ene publieke hoofdsleutel leeft in G2, de andere in G1.
Privésleutel van de gebruiker	Een punt op de kromme, door de KGC uit de ID afgeleid. De ondertekensleutel dsA leeft in G1; de decodeersleutel deB leeft in G2.
hid	Een functie-identificatie van één byte die in elke sleutelafleiding wordt gemengd, zodat één identiteit cryptografisch onafhankelijke sleutels oplevert voor ondertekenen, coderen en sleuteluitwisseling.
H1, H2, KDF	Op SM3 gebaseerde hulpfuncties (GB/T 32905): hash-naar-geheel-getal-afbeeldingen en de sleutelafleidingsfunctie.
Pairing e	De R-ate-bilineaire pairing e: G1 × G2 → GT over de BN-kromme van 256 bits hieronder gedefinieerd. De algebraïsche motor van het hele schema.

Alice wil een geheim sturen naar bob@example.com — mogelijk voordat Bob zich ooit bij de KGC heeft ingeschreven:

Waarom het werkt: door bilineariteit geldt e(C1, deB) = e([r(H1+ke)]P1, [ke/(H1+ke)]P2) = e(P1, P2)r·ke = w — precies de waarde die Alice in de KDF heeft gevouwen. Het elegante deel is stap 6: coderen vereist geen voorafgaande inschrijving. Alice kan vandaag een bericht versturen; Bob kan het pas openen nadat hij zijn identiteit tegenover de KGC heeft bewezen. Uitgestelde sleutelgeneratie is het kenmerk van IBE.

Alice ondertekent een bericht M met haar ondertekensleutel dsA:

Iedereen die Alice's identiteit kent, verifieert de handtekening zonder enig certificaat:

Opnieuw sluit bilineariteit de lus: u = e(P1,P2)l·ks en gh = e(P1,P2)ks·h, dus w′ = e(P1,P2)ks·(l+h) = e(P1,P2)ks·r = w.

Dit is de beslissing die er bij het kiezen van SM9 echt toe doet. Beide werelden bieden publieke-sleutelcodering en handtekeningen; ze verschillen in waar het vertrouwen zit:

Kenmerk	PKI / certificaten (SM2, RSA-wereld)	Identiteitsgebaseerd (SM9)
Publieke sleutel van bob@…	Een blob van 65+ bytes in een certificaat, opgehaald uit een directory of van de ontvanger zelf	De tekenreeks bob@example.com zelf; de verifier berekent de sleutel eruit
Vertrouwensbasis	Een CA-hiërarchie; elke keten moet tot een root worden gevalideerd	Eén publieke hoofdsleutel van de KGC voor het hele domein
Coderen voordat de ontvanger een sleutel heeft?	Nee — u hebt eerst zijn geldige certificaat nodig	Ja — codeer nu; hij schrijft zich later in en decodeert dan
Privésleutel gegenereerd door	De eigen machine of het apparaat van de gebruiker (verlaat die vaak nooit)	De KGC, centraal, vanuit de identiteit
Sleutel-escrow	Ontworpen zonder	Inherent: de KGC kan de privésleutel van elke gebruiker afleiden
Intrekking	CRL's / OCSP per certificaat	Geen equivalent; gebruikelijke praktijk bouwt geldigheidsvensters in de ID (bijv. bob@example.com|2026), zodat sleutels per constructie verlopen
Kosten per bewerking	Gewone ECC-rekenkunde — snel	Een bilineaire pairing — ordes van grootte trager dan een scalaire vermenigvuldiging
Standaarden	X.509 / RFC 5280; SM2 onder GB/T 32918	GB/T 38635.1/.2-2020 (voorheen GM/T 0044-2016)
Natuurlijke habitat	Open internet: TLS, codeondertekening, algemene PKI	Gesloten ecosystemen: de berichtendienst van één bank, de e-mail van één instantie, apparaat-/vlootidentiteit — waar een centrale autoriteit acceptabel is en registratieloze codering loont

Vuistregel: SM9 levert certificaatloos sleutelbeheer, tegen de prijs van sleutel-escrow en trager rekenwerk. Kunt u geen derde partij accepteren die alles kan lezen of iedereen kan vervalsen, blijf dan bij SM2-certificaten; als registratieloze codering binnen één organisatie het doel is, is SM9 precies het juiste hulpmiddel.

De parameterset uit GB/T 38635.1-2020 (ook in GM/T 0044.5-2017). Dit zijn alleen-lezen referentiewaarden — de zelftest hieronder controleert elke constante op deze pagina opnieuw tegen onafhankelijk geverifieerde waarden:

Onderdeel	Waarde
Kromme	Barreto–Naehrig (BN)-kromme E: y2 = x3 + b over Fp, b = 05
Kromme-parameter t	60000000 0058F98A
Veldpriemgetal p	B6400000 02A3A6F1 D603AB4F F58EC745 21F2934B 1A7AEEDB E56F9B27 E351457D
Groepsorde N	B6400000 02A3A6F1 D603AB4F F58EC744 49F2934B 18EA8BEE E56EE19C D69ECF25
Parametrisering	p = 36t4 + 36t3 + 24t2 + 6t + 1; N = 36t4 + 36t3 + 18t2 + 6t + 1
Cofactor	1
Inbeddingsgraad k	12 (veldtoren Fp → Fp2 → Fp4 → Fp12)
Pairing	R-ate-pairing e: G1 × G2 → GT, alle drie groepen van orde N
G1-generator P1 (op E)	x = 93DE051D 62BF718F F5ED0704 487D01D6 E1E40869 09DC3280 E8C4E481 7C66DDDD y = 21FE8DDA 4F21E607 63106512 5C395BBC 1C1C00CB FA602435 0C464CD7 0A3EA616
G2-generator P2 (op de twist E′: y2 = x3 + 5·u over Fp2, u2 = −2)	xc0 = 37227552 92130B08 D2AAB97F D34EC120 EE265948 D19C17AB F9B7213B AF82D65B xc1 = 85AEF3D0 78640C98 597B6027 B441A01F F1DD2C19 0F5E93C4 54806C11 D8806141 yc0 = A7CF28D5 19BE3DA6 5F317015 3D278FF2 47EFBA98 A71A0811 6215BBA5 C999A7C7 yc1 = 17509B09 2E845C12 66BA0D26 2CBEE6ED 0736A96F A347C8BD 856DC76B 84EBEB96 (Fp2-elementen geschreven als c0 + c1·u)
Hash / KDF	H1, H2 en de KDF zijn gebouwd op SM3 (GB/T 32905-2016); hid is een functie-identificatie van één byte, gekozen door de KGC

• SM9 (deze pagina) — de verstoorder van sleutelbeheer: identiteiten in plaats van certificaten, KGC in plaats van een CA-hiërarchie.
• SM3 — de hash; de H1/H2/KDF van SM9 zijn erop gebouwd. Bereken digests op de SM3-pagina.
• SM4 — het blokcijfer dat doorgaans de bulkgegevens versleutelt onder de sleutel die de KDF van SM9 oplevert. Probeer het op de SM4-pagina.
• SM2 — de tegenhanger in de certificatenwereld: dezelfde taken (ondertekenen, coderen) met gewone ECC en een PKI erachter. Volledige rekenmachine op de SM2-pagina.

• "De identiteit is de publieke sleutel, dus iedereen kan mijn e-mail ontsleutelen." Nee — iedereen kan naar de identiteit coderen en handtekeningen ervan verifiëren; alleen de houder van de door de KGC uitgegeven privésleutel kan decoderen of ondertekenen. De KGC controleert wie Bob werkelijk is voordat hij deB uitgeeft.
• Sleutel-escrow negeren. Als de hoofdsleutel van de KGC gecompromitteerd is, kan de aanvaller stilzwijgend de privésleutel van elke gebruiker afleiden — totale decodering en totale nabootsing voor het domein. Dit is by design (zo werkt identiteitsgebaseerde cryptografie), geen fout om te patchen. Beperk het operationeel: HSM, een drempel-KGC verdeeld over entiteiten, strikte auditlogboeken van uitgiften.
• Aannemen dat de identiteitstekst vergevingsgezind is. Hij wordt byte voor byte gehasht: Bob@Example.COM, bob@example.com en " bob@example.com" zijn drie verschillende publieke sleutels met drie verschillende privésleutels. Leg vóór de uitrol één canonieke vorm vast — en overweeg een geldigheidsvenster toe te voegen voor intrekking.
• "Kromme van 256 bits, dus 256 bits beveiliging." Cryptografie op basis van pairings schaalt niet zoals gewone ECC: aanvallen werken in de enorme velden F_p12/F_p6, waar index-calculus-algoritmen (subexponentieel) gelden. Gepubliceerde analyses plaatsen BN-kromme van 256 bits rond de ~100–128-bits beveiligingsklasse, en onderzoekers hebben grotere BN-parameters voor SM9 voorgesteld (bijv. "Searching BN Curves for SM9", 2019). Beschouw SM9 als ongeveer AES-128-klasse — solide, maar geen vesting van 256 bits.
• Verwachten dat het in OpenSSL zit. OpenSSL implementeert SM2/SM3/SM4, maar heeft geen SM9. Werkende open-sourcestacks zijn onder meer GmSSL en Bouncy Castle.

Is SM9 een Chinese uitvinding? Het concept niet: Shamir stelde identiteitsgebaseerde cryptografie in 1984 voor, en Boneh–Franklin (2001) bouwde de eerste praktische IBE op basis van pairings. SM9 (GM/T 0044-2016, daarna GB/T 38635.1/.2-2020) is de nationale-standaardinvulling van die lijn in China.

Waarom is er geen SM9-rekenmachine op deze pagina? Anders dan SM2/SM3/SM4 heeft SM9 een bilineaire pairing nodig: een F_p12-uitbreidingsveldtoren, een Miller-lus en een eindexponentiatie — enkele duizenden regels zorgvuldige grote-getallencode. Het staat op de routekaart van de familie; tot die tijd documenteert deze pagina het algoritme, en de zusterpagina's berekenen de rest van de suite in de browser.

Kan SM9 SM2, SM3 en SM4 vervangen? Nee — ze lossen verschillende problemen op. SM9 vervangt de certificaatinfrastructuur, niet de primitieven: intern vertrouwt het op SM3 voor hashing en sleutelafleiding, en de omhulde bulksleutel stuurt doorgaans SM4 aan. SM2 blijft het antwoord wanneer certificaatachtige verantwoording zonder sleutel-escrow vereist is.

Wat is hid precies? Een functie-identificatie van één byte (gekozen en gepubliceerd door de KGC) die in elke H1-hash wordt gemengd. Omdat ondertekensleutels, coderingssleutels en sleuteluitwisselingssleutels de identiteit met verschillende hid-waarden hashen, compromitteert één gelekte gebruikerssleutel alleen die ene functie.

Hoe worden identiteiten ingetrokken? Er is geen CRL-mechanisme in SM9. De gebruikelijke praktijk: bouw de vervaldatum in de identiteit zelf (bob@example.com|2026-Q4) zodat sleutels periodiek opnieuw moeten worden uitgegeven, en laat de KGC simpelweg stoppen met uitgeven voor ingetrokken identiteiten.

Waar wordt SM9 eigenlijk gebruikt? In gereguleerde Chinese sectoren — bankieren, overheid en industriële berichtenuitwisseling — doorgaans binnen gesloten ecosystemen waarin één autoriteit acceptabel is en "vandaag coderen naar een e-mailadres, morgen de gebruiker inschrijven" de pairing-kosten waard is.