SM2 szyfrowanie / deszyfrowanie / podpis

Cała kryptografia krzywych eliptycznych opiera się na jednej sztuczce: mając punkt bazowy G na krzywej nad dużym polem pierwszym i wielokrotność P = d·G, obliczenie d z P oznacza rozwiązanie problemu logarytmu dyskretnego na krzywej eliptycznej, dla którego nie znano szybkiego algorytmu. Klucz prywatny d to po prostu 256-bitowa liczba; klucz publiczny to punkt d·G. SM2 nie wprowadza nowej arytmetyki krzywej — to konkretny sposób podpisywania (jak ECDSA) i szyfrowania (jak miniaturowe ECIES) na jednej konkretnej krzywej, z haszowaniem SM3 zamiast SHA.

Obie krzywe oferują tę samą konkretną siłę; żadna nie ma praktycznego ataku. Wybór między nimi wynika z przepisów i interoperacyjności, a nie z siły.

Przed haszowaniem SM2 wplata tożsamość podpisującego w skrót: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA), gdzie ENTLa to długość ID w bitach, środkowe cztery pola przypinają dokładną krzywą, a dwa ostatnie to klucz publiczny podpisującego. Wiadomość haszuje się jako SM3(ZA ‖ M). Dwie konsekwencje: podpis jest związany z deklarowaną tożsamością (cecha), a weryfikator musi znać ID podpisującego i użyć tego samego (klasyczna pułapka interoperacyjności). Niemal cały ekosystem przyjął 16-cyfrowy domyślny 1234567812345678 — nie z tekstu standardu, ale z przykładów w dodatku GM/T 0003; domyślna wartość OpenSSL się z tym zgadza, tak samo jak ta strona.

Szyfrogram SM2 ma trzy części: C1 = efemeryczny punkt kG (64 bajty, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 bajty, integralność), C2 = M ⊕ KDF(x2 ‖ y2) (zamaskowana wiadomość). Tekst GM/T 0003 z 2012 roku łączył je jako C1 ‖ C2 ‖ C3; standard GB/T 32918.4 z 2016 roku zmienił kolejność na C1 ‖ C3 ‖ C2, a OpenSSL 1.1.1+ poszedł za nim. Stare systemy bankowe i rządowe nadal mówią w starej kolejności — dlatego ta strona obsługuje obie, plus postać ASN.1 (SEQUENCE z INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2), którą emitują niektóre biblioteki. Gdy deszyfrowanie zawodzi przy narzędziu drugiej strony, kolejność bajtów jest pierwszą rzeczą do sprawdzenia.

• Ponowne użycie lub oszczędzanie na k. Nonce k zarówno w podpisywaniu, jak i szyfrowaniu musi być świeże i nieprzewidywalne przy każdej operacji. Jedno powtórzone k w dwóch podpisach oddaje klucz prywatny każdemu, kto widzi oba. Ta strona losuje k z CSPRNG przeglądarki; pola stałego k istnieją wyłącznie po to, by odtwarzać znane wektory.
• Niezgodne identyfikatory użytkownika. Podpisz z domyślnym identyfikatorem, weryfikuj z własnym (lub odwrotnie), a każdy poprawny podpis zawiedzie. Identyfikator jest częścią podpisywanych danych.
• Zakładanie C1C3C2 wszędzie. Systemy z ery GM/T 0003, niektóre karty chipowe i starsze wersje GmSSL domyślnie używają C1C2C3; kilka narzędzi dodaje też bajt 04 oznaczający nieskompresowany punkt. Ta strona akceptuje wszystkie te warianty przy deszyfrowaniu.
• Szyfrowanie dużych danych przez SM2. Każdy szyfrogram niesie 96 bajtów narzutu i kosztuje dwa mnożenia punktów. Używaj SM2 na klucz, a SM4/AES na dane.
• Traktowanie klucza publicznego z prefiksem 04 jako 65 surowych bajtów klucza. Bajt 04 to znacznik kodowania: sam klucz to x ‖ y, 128 cyfr szesnastkowych. Ta strona akceptuje obie postacie.

Czy to jest zgodne z OpenSSL / GmSSL? Tak. Szesnastkowe wyjście C1C3C2 zgadza się z openssl pkeyutl -sm2encrypt dla tego samego klucza publicznego, wiadomości i k; podpisy DER zgadzają się bajt po bajcie z wyjściem openssl dgst -sm3 -sign (ID użytkownika ustawia się przez -pkeyopt sm2_userid:...). Przebiegi z losowym k oczywiście się różnią — porównuj przez deszyfrowanie lub weryfikację, a nie równość.

Dlaczego tu nie ma wymiany kluczy SM2? GB/T 32918.3 definiuje interaktywny, uwierzytelniony protokół uzgadniania klucza; nie ma sensu jako jednostronicowy kalkulator. Podpis i szyfrowanie obejmują zastosowania nieinteraktywne.

Czy SM2 jest w WebCrypto? Nie — żadna przeglądarka go nie implementuje (Chrome dostarcza go co najwyżej za niestandardowymi flagami). Ta strona działa na implementacji w JavaScript pisanej od zera, z wektorami z dodatku standardu podłączonymi do samotestu powyżej.

Czy mogę użyć klucza PEM z OpenSSL? Zamiast tego eksportuj surowy hex: openssl ec -in key.pem -text wypisuje skalar prywatny i punkt publiczny. Ta strona przyjmuje wyłącznie klucze hex, celowo — mechanika PEM/SEC1 znajduje się na stronie RSA, gdzie jej miejsce.

Czym jest więc SM9? Innym zwierzęciem: kryptografia oparta na tożsamości, w której dowolny ciąg (np. adres e-mail) jest kluczem publicznym, a KGC wystawia klucze prywatne. Zob. stronę przeglądu SM9.