SM2 Cifrar / Decifrar / Assinar

Toda a criptografia de curva elíptica assenta num truque: dado o ponto base G numa curva sobre um primo grande e o múltiplo P = d·G, calcular d a partir de P significa resolver o problema do logaritmo discreto em curvas elípticas, para o qual não se conhece nenhum algoritmo rápido. A chave privada d é apenas um número de 256 bits; a chave pública é o ponto d·G. O SM2 não é uma nova aritmética de curva — é uma forma específica de assinar (como o ECDSA) e cifrar (como um ECIES em miniatura) numa curva específica, com hash SM3 em vez de SHA.

As duas curvas oferecem a mesma segurança concreta; nenhuma tem um ataque prático. A escolha entre elas é regulamentar e de interoperabilidade, não de força.

Antes de calcular o hash, o SM2 incorpora a identidade do signatário no resumo: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA), em que ENTLa é o comprimento em bits do ID, os quatro campos do meio fixam a curva exata, e os dois últimos são a chave pública do signatário. A mensagem é submetida a hash como SM3(ZA ‖ M). Duas consequências: uma assinatura fica vinculada à identidade declarada (uma funcionalidade), e o verificador tem de ser informado do ID do signatário e usar o mesmo (uma armadilha clássica de interoperabilidade). Quase todo o ecossistema se fixou no ID predefinido de 16 dígitos 1234567812345678 — não pelo texto da norma, mas pelos exemplos do anexo da GM/T 0003; o predefinido do OpenSSL coincide, e também esta página.

Um texto cifrado SM2 tem três partes: C1 = o ponto efémero kG (64 bytes, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 bytes, integridade), C2 = M ⊕ KDF(x2 ‖ y2) (a mensagem mascarada). O texto de 2012 GM/T 0003 concatenava-os C1 ‖ C2 ‖ C3; a norma GB/T 32918.4 de 2016 reordenou para C1 ‖ C3 ‖ C2, e o OpenSSL 1.1.1+ seguiu. Sistemas bancários e governamentais antigos ainda falam a ordem antiga — por isso esta página tem ambas, mais a forma ASN.1 (SEQUENCE de INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2) que algumas bibliotecas emitem. Quando a decifragem falha com a ferramenta da outra parte, a ordem dos bytes é a primeira coisa a verificar.

• Reutilizar ou poupar em k. O nonce k, tanto na assinatura como na cifragem, tem de ser novo e imprevisível em cada operação. Um k repetido em duas assinaturas entrega a chave privada a quem vir as duas. Esta página tira o k do CSPRNG do navegador; as caixas de k fixo existem apenas para reproduzir vetores conhecidos.
• IDs de utilizador diferentes. Assinar com o ID predefinido e verificar com um personalizado (ou o contrário) faz falhar toda a assinatura válida. O ID faz parte dos dados assinados.
• Presumir C1C3C2 em toda a parte. Sistemas da era GM/T 0003, alguns cartões inteligentes e builds antigos do GmSSL usam C1C2C3 por omissão; várias ferramentas também acrescentam um byte 04 de ponto não comprimido. Esta página aceita todos estes na decifragem.
• Cifrar dados volumosos com SM2. Cada texto cifrado transporta 96 bytes de sobrecarga e custa duas multiplicações de ponto. Use o SM2 numa chave, SM4/AES nos dados.
• Tratar uma chave pública com prefixo 04 como 65 bytes brutos de chave. O 04 é um marcador de codificação: a chave em si é x ‖ y, 128 dígitos hexadecimais. Esta página aceita ambas as grafias.

Isto é compatível com OpenSSL / GmSSL? Sim. A saída hexadecimal C1C3C2 coincide com openssl pkeyutl -sm2encrypt para a mesma chave pública, mensagem e k; as assinaturas DER coincidem com a saída de openssl dgst -sm3 -sign byte a byte (defina o ID de utilizador com -pkeyopt sm2_userid:...). As execuções com k aleatório naturalmente diferem — compare por decifragem/verificação, não por igualdade.

Porque é que não há aqui troca de chaves SM2? A GB/T 32918.3 define um protocolo interativo de troca de chaves autenticada; não faz sentido como calculadora de uma só página. Assinar e cifrar cobrem as utilizações não interativas.

O SM2 está no WebCrypto? Não — nenhum navegador o implementa (o Chrome só o inclui atrás de flags não padronizadas, se é que inclui). Esta página corre uma implementação JavaScript escrita de raiz, com os vetores do próprio anexo da norma ligados ao autoteste acima.

Posso usar uma chave PEM do OpenSSL? Exporte antes o hexadecimal bruto: openssl ec -in key.pem -text imprime o escalar privado e o ponto público. Esta página aceita apenas chaves em hexadecimal, de propósito — a maquinaria PEM/SEC1 vive na página RSA, onde pertence.

Então o que é o SM9? Um animal diferente: criptografia baseada na identidade, onde qualquer cadeia (um endereço de email) é a chave pública e um KGC emite as chaves privadas. Veja a página de visão geral do SM9.