SM2 шифрование / расшифровка / подпись

Вся криптография на эллиптических кривых держится на одном приёме: при базовой точке G на кривой над большим простым полем и кратной точке P = d·G вычислить d по P означает решить задачу дискретного логарифмирования на эллиптической кривой, для которой не известно быстрого алгоритма. Закрытый ключ d — просто 256-битное число; открытый ключ — точка d·G. SM2 — не новая арифметика кривых; это конкретный способ подписи (как ECDSA) и шифрования (как миниатюрный ECIES) на одной конкретной кривой с хешированием через SM3 вместо SHA.

Обе кривые дают одинаковую конкретную стойкость; ни у одной нет практической атаки. Выбор между ними определяется регуляторикой и совместимостью, а не стойкостью.

Перед хешированием SM2 вплетает идентичность подписанта в дайджест: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA), где ENTLa — битовая длина ID, четыре средних поля закрепляют точную кривую, а последние два — открытый ключ подписанта. Сообщение хешируется как SM3(ZA ‖ M). Два следствия: подпись привязана к заявленной личности (это достоинство), а проверяющий должен знать идентификатор подписанта и использовать тот же (классическая ловушка совместимости). Почти вся экосистема остановилась на 16-значном значении по умолчанию 1234567812345678 — не из текста стандарта, а из примеров в приложении GM/T 0003; значение по умолчанию OpenSSL совпадает с ним, и с ним совпадает эта страница.

Шифртекст SM2 имеет три части: C1 = эфемерная точка kG (64 байта, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 байта, целостность), C2 = M ⊕ KDF(x2 ‖ y2) (замаскированное сообщение). Текст GM/T 0003 2012 года конкатенировал их C1 ‖ C2 ‖ C3; стандарт GB/T 32918.4 2016 года переупорядочил в C1 ‖ C3 ‖ C2, и OpenSSL 1.1.1+ последовал ему. Старые банковские и государственные системы всё ещё говорят на старом порядке — поэтому на этой странице есть оба, плюс форма ASN.1 (SEQUENCE из INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2), которую выдают некоторые библиотеки. Когда расшифровка не удаётся с инструментом другой стороны, первое, что нужно проверить, — порядок байтов.

• Повторное использование k или экономия на нём. Nonce k и при подписи, и при шифровании должен быть новым и непредсказуемым для каждой операции. Один повторённый k в двух подписях отдаёт закрытый ключ любому, кто видит обе. Эта страница берёт k из CSPRNG браузера; поля фиксированного k существуют только для воспроизведения известных векторов.
• Несовпадающие идентификаторы пользователей. Подпишите со значением по умолчанию, а проверяйте с пользовательским (или наоборот) — и каждая верная подпись не пройдёт. Идентификатор входит в подписываемые данные.
• Предположение о C1C3C2 повсюду. Системы эпохи GM/T 0003, некоторые смарт-карты и старые сборки GmSSL по умолчанию используют C1C2C3; некоторые инструменты также добавляют байт 04 некомпрессированной точки. Эта страница принимает всё это при расшифровке.
• Шифрование больших объёмов данных SM2. Каждый шифртекст несёт 96 байт накладных расходов и стоит двух умножений точки. Используйте SM2 для ключа, SM4/AES для данных.
• Восприятие открытого ключа с префиксом 04 как 65 сырых байт ключа. 04 — маркер кодирования: сам ключ — x ‖ y, 128 hex-цифр. Эта страница принимает оба написания.

Совместимо ли это с OpenSSL / GmSSL? Да. Hex-вывод C1C3C2 совпадает с openssl pkeyutl -sm2encrypt для того же открытого ключа, сообщения и k; подписи DER совпадают с выводом openssl dgst -sm3 -sign байт в байт (задайте идентификатор пользователя через -pkeyopt sm2_userid:...). Запуски со случайным k, разумеется, различаются — сравнивайте расшифровкой/проверкой, а не равенством.

Почему здесь нет обмена ключами SM2? GB/T 32918.3 определяет интерактивный аутентифицированный протокол обмена ключами; как однострочный калькулятор он не имеет смысла. Подпись и шифрование покрывают неинтерактивные сценарии.

Есть ли SM2 в WebCrypto? Нет — ни один браузер его не реализует (Chrome включает его только за нестандартными флагами, если вообще). Эта страница работает на реализации на JavaScript «с нуля», с приложенными к самопроверке выше собственными векторами приложения стандарта.

Можно ли использовать PEM-ключ из OpenSSL? Экспортируйте сырой hex: openssl ec -in key.pem -text печатает закрытый скаляр и открытую точку. Эта страница принимает только hex-ключи намеренно — механика PEM/SEC1 живёт на странице RSA, где ей место.

Тогда что такое SM9? Другое животное: криптография на основе идентичности, где любая строка (адрес электронной почты) и есть открытый ключ, а KGC выдаёт закрытые ключи. См. обзор SM9.