SM2 Şifrele / Çöz / İmzala

Tüm eliptik eğri kriptografisi tek bir numaraya dayanır: büyük bir asal alan üzerindeki bir eğrinin taban noktası G ve çarpım P = d·G verildiğinde, P'den d'yi hesaplamak eliptik eğri ayrık logaritma problemini çözmek demektir; bunun için bilinen hızlı bir algoritma yoktur. Özel anahtar d yalnızca 256 bitlik bir sayıdır; genel anahtar d·G noktasıdır. SM2 yeni bir eğri aritmetiği değildir — belirli bir eğri üzerinde imzalamanın (ECDSA gibi) ve şifrelemenin (minyatür bir ECIES gibi) belirli bir yoludur; SHA yerine SM3 ile karmalar.

İki eğri de aynı somut güvenliği sunar; hiçbirine pratik bir saldırı yoktur. Aralarındaki seçim güç değil, düzenleyici ve birlikte çalışabilirlik ile ilgilidir.

Karmalamadan önce SM2, imzalayanın kimliğini özete katar: ZA = SM3(ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA); burada ENTLa kimliğin bit uzunluğudur, ortadaki dört alan tam eğriyi sabitler ve son ikisi imzalayanın genel anahtarıdır. İleti SM3(ZA ‖ M) olarak karmalanır. İki sonucu vardır: bir imza iddia edilen kimliğe bağlanır (bir özellik) ve doğrulayıcıya imzalayanın kimliği söylenmeli ve aynısı kullanılmalıdır (klasik bir birlikte çalışabilirlik tuzağı). Neredeyse tüm ekosistem 16 basamaklı varsayılan 1234567812345678 üzerinde uzlaştı — standart metninden değil, GM/T 0003'ün ek örneklerinden; OpenSSL'in varsayılanı bununla eşleşir, bu sayfa da öyle.

Bir SM2 şifreli metni üç parçadan oluşur: C1 = geçici nokta kG (64 bayt, x‖y), C3 = SM3(x2 ‖ M ‖ y2) (32 bayt, bütünlük), C2 = M ⊕ KDF(x2 ‖ y2) (maskelenmiş ileti). 2012 GM/T 0003 metni bunları C1 ‖ C2 ‖ C3 olarak birleştirdi; 2016 GB/T 32918.4 standardı C1 ‖ C3 ‖ C2 olarak yeniden sıraladı ve OpenSSL 1.1.1+ bunu izledi. Eski bankacılık ve devlet sistemleri hâlâ eski sırayı konuşur — bu yüzden bu sayfada her ikisi de var, üstelik bazı kütüphanelerin ürettiği ASN.1 biçimi de (INTEGER x1, INTEGER y1, OCTET STRING C3, OCTET STRING C2 dizisi). Şifre çözme diğer tarafın aracıyla başarısız olduğunda, ilk denetlenecek şey bayt sırasıdır.

• k'yi yeniden kullanmak ya da kısmak. Hem imzalamada hem şifrelemede nonce k, her işlem için yeni ve öngörülemez olmalıdır. İki imza arasında tekrarlanan tek bir k, her ikisini görebilen herkese özel anahtarı verir. Bu sayfa k'yi tarayıcının CSPRNG'sinden çeker; sabit-k kutuları yalnızca bilinen vektörleri yeniden üretmek için vardır.
• Uyuşmayan kullanıcı kimlikleri. Varsayılan kimlikle imzalayıp özel bir kimlikle doğrularsanız (ya da tersi) her geçerli imza başarısız olur. Kimlik imzalanan verinin bir parçasıdır.
• Her yerde C1C3C2 varsaymak. GM/T 0003 dönemi sistemleri, bazı akıllı kartlar ve eski GmSSL derlemeleri varsayılan olarak C1C2C3 kullanır; birkaç araç da sıkıştırılmamış bir nokta 04 baytı ekler. Bu sayfa şifre çözmede bunların hepsini kabul eder.
• SM2 ile toplu veri şifrelemek. Her şifreli metin 96 bayt ek yük taşır ve iki nokta çarpımına mal olur. Bir anahtar için SM2, veri için SM4/AES kullanın.
• 04 önekli bir genel anahtarı 65 çıplak anahtar baytı saymak. 04 bir kodlama işaretçisidir: anahtarın kendisi x ‖ y, 128 onaltılık basamaktır. Bu sayfa her iki yazımı da kabul eder.

OpenSSL / GmSSL ile uyumlu mu? Evet. C1C3C2 onaltılık çıktısı, aynı genel anahtar, ileti ve k için openssl pkeyutl -sm2encrypt ile eşleşir; DER imzaları openssl dgst -sm3 -sign çıktısıyla bayt bayt eşleşir (kullanıcı kimliğini -pkeyopt sm2_userid:... ile ayarlayın). Rastgele k çalıştırmaları elbette farklıdır — eşitlikle değil, şifre çözerek ya da doğrulayarak karşılaştırın.

Neden burada SM2 anahtar değişimi yok? GB/T 32918.3 etkileşimli, kimliği doğrulanmış bir anahtar değişim protokolü tanımlar; tek sayfalık bir hesap makinesi olarak bir anlamı yoktur. İmzalama ve şifreleme etkileşimsiz kullanımları kapsar.

SM2, WebCrypto'da var mı? Hayır — hiçbir tarayıcı onu uygulamaz (Chrome onu, varsa, yalnızca standart dışı bayraklar arkasında sunar). Bu sayfa sıfırdan yazılmış bir JavaScript uygulaması çalıştırır; standardın kendi ek vektörleri yukarıdaki öz-teste bağlıdır.

OpenSSL'den bir PEM anahtarı kullanabilir miyim? Bunun yerine ham onaltılığı dışa aktarın: openssl ec -in key.pem -text özel skaleri ve genel noktayı yazdırır. Bu sayfa bilerek yalnızca onaltılık anahtarları kabul eder — PEM/SEC1 mekanizması, ait olduğu RSA sayfasında bulunur.

Peki SM9 nedir? Farklı bir hayvan: kimlik tabanlı kriptografi; burada herhangi bir dizgi (bir e-posta adresi) açık anahtardır ve bir KGC özel anahtarları verir. SM9 genel bakış sayfasına bakın.