国密SM2算法

忘是亡心i 2022-02-17 02:09 340阅读 0赞

目录  
1 前言  
2 基础参数  
3 密钥对生成  
4 签名算法  
4.1 预处理1  
4.2 预处理2  
4.3 生成签名  
4.4 签名验证  
4.5 签名验证原理  
5 参考资料  
1 前言  
比原链的智能合约支持国密算法的函数。SM2是国密标准的椭圆曲线加密算法，遵循以下SM2国家标准：

GB/T 32918.1-2016  
GB/T 32918.2-2016  
GB/T 32918.3-2016  
GB/T 32918.4-2016  
GB/T 32918.5-2017  
GB/T 35275-2017  
GB/T 35276-2017  
椭圆曲线算法那公钥密码所基于的曲线性质：椭圆曲线多倍点运算构成一个单向函数。在多倍点运算中，已知多倍点与基点，求解倍数的问题称为椭圆曲线离散对数问题。对于一般椭圆曲线的离散对数问题，目前只存在指数级计算复杂度的求解方法。与大数分解问题及有限域上离散对数问题相比，椭圆曲线离散对数问题的求解难度要大得多。因此，在相同安全程度要求下，椭圆曲线密码较其他公钥密码所需的秘钥规模要小得多。

数字签名算法由一个签名者对数据产生数字签名，并由一个验证者验证签名的可靠性。每个签名者都有一个公钥和一个私钥，其中私钥用于产生签名，验证者用签名者的公钥验证签名。在签名的生成过程之前，要用密码杂凑算法对 ZA Z\_AZ   
A  
      
  和待签消息 M MM 进行压缩；在验证过程之前，要用密码杂凑算法对 ZA Z\_AZ   
A  
      
  和待签消息 M MM 进行同样的压缩。

2 基础参数  
SM2的曲线方程为 y2=x3+ax+b \\displaystyle y^2 = x^3 + ax + by   
2  
 =x   
3  
 +ax+b ，其中：

a aa：0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFC  
b bb：0x28E9FA9E9D9F5E344D5A9E4BCF6509A7F39789F515AB8F92DDBCBD414D940E93  
p pp：0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFF  
私钥长度：32字节。

公钥长度：SM2非压缩公钥格式字节串长度为65字节，压缩格式长度为33字节，若公钥y坐标最后一位为0，则首字节为0x02，否则为0x03。非压缩格式公钥首字节为0x04。

签名长度：64字节。

3 密钥对生成  
SM2密钥生成是指生成SM2算法的密钥对的过程，该密钥对包括私钥和与之对应的公钥。

输入：无  
输出：  
k：SM2PrivateKey，SM2私钥  
Q：SM2PublicKey，SM2公钥  
用随机数发生器产生整数 d∈\[1,n−2\] \\displaystyle d\\in\[1,n-2\]d∈\[1,n−2\] ；  
G GG 为基点，计算点 P=(xP,yP)=\[d\]G \\displaystyle P=(x\_P,y\_P)=\[d\]GP=(x   
P  
      
 ,y   
P  
      
 )=\[d\]G 。  
则私钥是d dd，公钥为P PP。

4 签名算法  
4.1 预处理1  
预处理1是指使用签名方的用户身份标识和签名方公钥，通过运算得到Z值的过程。Z值用于预处理2。

输入：  
ID：字符串，用户身份标识  
Q：SM2PublicKey，用户的公钥  
输出：  
Z：字节串，预处理1的输出  
计算公式：Z=SM3(ENTL∣∣ID∣∣a∣∣b∣∣xG∣∣yG∣∣xA∣∣yA) Z=SM3(ENTL||ID||a||b||x\_G||y\_G||x\_A||y\_A)Z=SM3(ENTL∣∣ID∣∣a∣∣b∣∣x   
G  
      
 ∣∣y   
G  
      
 ∣∣x   
A  
      
 ∣∣y   
A  
      
 )  
参数说明：  
ENTL ENTLENTL：为由2个字节标识的ID的比特长度；  
ID IDID：为用户身份标识。无特殊约定的情况下，用户身份标识ID的长度为16字节，其默认值从左至右依次为：0x31,0x32,0x33,0x34,0x35,0x36,0x37,0x38,0x31,0x32,0x33,0x34,0x35,0x36,0x37,0x38。  
a,b a,ba,b：为系统曲线参数；  
xG, yG \\displaystyle x\_G,\\ y\_Gx   
G  
      
 , y   
G  
      
  为基点；  
xA, yA \\displaystyle x\_A,\\ y\_Ax   
A  
      
 , y   
A  
      
  为用户的公钥。  
4.2 预处理2  
预处理2是指使用Z值和待签名消息，通过SM3运算得到杂凑值H的过程。杂凑值H用于SM2数字签名。

输入：  
Z：字节串，预处理2的输入  
M：字节串，待签名消息  
输出：  
H：字节串，杂凑值  
计算公式：H=SM3(Z∣∣M) \\displaystyle H=SM3(Z||M)H=SM3(Z∣∣M)  
4.3 生成签名  
SM2签名是指使用预处理2的结果和签名者的私钥，通过签名计算得到签名结果的过程。

输入：  
d：SM2PrivateKey，签名者私钥  
H：字节串，预处理2的结果  
输出：  
sign：SM2Signature，签名值  
设待签名的消息为M，为了获取消息M的数字签名 (r,s) (r,s)(r,s)，作为签名者的用户A应实现以下运算步骤：

置 M¯¯¯¯=ZA∣∣M \\displaystyle \\overline\{M\}=Z\_A||M   
M  
 =Z   
A  
      
 ∣∣M ;  
计算 e=Hv(M¯¯¯¯) \\displaystyle e=H\_v(\\overline\{M\})e=H   
v  
      
 (   
M  
 ) ，将 e ee 的数据类型转化为整数；  
用随机数发生器产生随机数 k∈\[1,n−1\] \\displaystyle k\\in\[1,n-1\]k∈\[1,n−1\] ；  
计算椭圆曲线点 (x1,y1)=\[k\]G \\displaystyle (x\_1,y\_1)=\[k\]G(x   
1  
      
 ,y   
1  
      
 )=\[k\]G ，将 x1 \\displaystyle x\_1x   
1  
      
  的数据类型转化为整数；  
计算 r=(e+x1)mod n \\displaystyle r=(e+x\_1) mod \\ nr=(e+x   
1  
      
 )mod n ,若 r=0 r = 0r=0 或 r+k=n r + k = nr+k=n 则返回第3步；  
计算 s=((1+dA)−1⋅(k−r⋅dA))mod n \\displaystyle s=((1+d\_A)^\{-1\}\\cdot (k-r \\cdot d\_A)) mod\\ ns=((1+d   
A  
      
 )   
−1  
 ⋅(k−r⋅d   
A  
      
 ))mod n ,若 s=0 s=0s=0 则返回第3步；  
将 r,s r, sr,s 转化为字节串。  
消息M的签名为(r,s) (r, s)(r,s)。

4.4 签名验证  
SM2签名验证是指使用预处理2的结果、签名值和签名者的公钥，通过验签计算确定签名是否通过验证的过程。

输入：  
H：字节串，预处理2的结果  
sign：SM2Signature，签名值  
Q：PublicKey，签名者的公钥  
输出：为真表示验证通过，为假表示验证不通过。  
为了检验收到的消息 M及其数字签名(r,s) (r, s)(r,s)，作为验证者的用户B应实现以下运算步骤：

检验 r∈\[1,n−1\] \\displaystyle r\\in\[1,n-1\]r∈\[1,n−1\] 是否成立，若不成立则验证不通过；  
检验 s∈\[1,n−1\] \\displaystyle s\\in\[1,n-1\]s∈\[1,n−1\] 是否成立，若不成立则验证不通过；  
置 M¯¯¯¯=ZA∣∣M \\displaystyle \\overline\{M\}=Z\_A||M   
M  
 =Z   
A  
      
 ∣∣M ;  
计算 e=Hv(M¯¯¯¯) \\displaystyle e=H\_v(\\overline\{M\})e=H   
v  
      
 (   
M  
 ) ，将e ee的数据类型转化为整数；  
将 r,s r,sr,s 的数据类型转化为整数，计算 t=(r+s)mod n \\displaystyle t=(r+s) mod \\ nt=(r+s)mod n ，若 t=0 t=0t=0，则验证不通过；  
计算椭圆曲线点 (x1,y1)=\[s\]G+\[t\]PA \\displaystyle (x\_1,y\_1)=\[s\]G+\[t\]P\_A(x   
1  
      
 ,y   
1  
      
 )=\[s\]G+\[t\]P   
A  
      
  ；  
将 x1 \\displaystyle x\_1x   
1  
      
  的数据类型转化为整数，计算 R=(e+x1)mod n \\displaystyle R=(e+x\_1) mod \\ nR=(e+x   
1  
      
 )mod n ，检验 R=r R=rR=r 是否成立，若成立则验证通过；否则验证不通过。  
4.5 签名验证原理  
\[s\]G+\[t\]PA=sG+(r+s)PA=sG+(r+s)dAG=sG+sdAG+rdAG=(1+dA)sG+rdAG=(1+dA)(1+dA)−1(k−rdA)G+rdAG=(k−rdA)G+rdAG=kG−rdAG+rdAG=kG=(x1,y1) \\displaystyle\\begin\{aligned\}\[s\]G+\[t\]P\_A&=sG+(r+s)P\_A\\\\&=sG+(r+s)d\_AG\\\\&=sG+s d\_AG+rd\_AG\\\\&=(1+d\_A)sG+rd\_AG\\\\&=(1+d\_A)(1+d\_A)^\{-1\}(k-rd\_A)G+rd\_AG\\\\&=(k-rd\_A)G+rd\_AG\\\\&=kG-rd\_AG+rd\_AG\\\\&=kG\\\\&=(x\_1,y\_1)\\end\{aligned\}  
\[s\]G+\[t\]P   
A  
      
   
      
    
=sG+(r+s)P   
A  
      
   
=sG+(r+s)d   
A  
      
 G  
=sG+sd   
A  
      
 G+rd   
A  
      
 G  
=(1+d   
A  
      
 )sG+rd   
A  
      
 G  
=(1+d   
A  
      
 )(1+d   
A  
      
 )   
−1  
 (k−rd   
A  
      
 )G+rd   
A  
      
 G  
=(k−rd   
A  
      
 )G+rd   
A  
      
 G  
=kG−rd   
A  
      
 G+rd   
A  
      
 G  
=kG  
=(x   
1  
      
 ,y   
1  
      
 )

5 参考资料  
SM2国密标准文档：有关国密SM2算法的在线文档。