SM 國密演算法踩坑指南

樓下小黑哥發表於2021-12-07

演算法

各位，好久不見~

最近接手網聯的國密改造專案，由於對國密演算法比較陌生，前期碰到了一系列國密演算法加解密的問題。

所以這次總結一下，分享這個過程遇到的問題，希望幫到大家。

國密

什麼是國密演算法？

國密就是一個口頭上簡稱，官方名稱是國家商用密碼，使用拼音縮寫 SM，它是用於商用的、不涉及國家祕密的密碼技術。

那說起密碼技術，大家一定很熟悉 MD5，AES，RSA 等演算法，這些都是通用國際標準演算法。

而國密其實就是這些國際演算法國產化的代替方案，與國際演算法對應關係如下：

這次國密改造專案使用的就是 SM2 國密演算法。

SM2演算法

SM2 國密演算法是一種非對稱加密演算法，基於 ECC（橢圓加密演算法）， SM2 演算法對標我們常用的國際演算法 RSA。

但是 SM2 演算法由於基於 ECC，簽名速度與祕鑰速度都快於 RSA。另外 SM2 採用 ECC 256 位，安全強度比 RSA 2048 位更高，且運算速度同樣也高於 ESA。

熟悉 RSA 演算法同學應該知道，非對稱加密演算法，會有一對公私鑰。

私鑰可以用於加簽，公鑰可以用於驗籤。
公鑰可以用於加密，私鑰可以用於解密

同樣 SM2 演算法也有一對公私鑰，它們的長度遠遠小於 RSA 公私鑰。

SM2 私鑰，一個大於等於 1 且小於 n-1的整數(n 為 sm2 演算法的階)，長度為 256 位，即 32 個位元組，通常會用 16 進製表示。

SM2 私鑰：B17EACC0BB629AB92C591287F2FA4589D10CD1E13BD4BDFDC9589A940F937C7C

SM2 公鑰，SM2 橢圓曲線上的一個點，由橫座標與縱座標兩個分量構成，每個長度分量長度為 256 位，通常也用 16 進製表示。

SM2 公鑰一般有兩種表示方法：

X|Y，即 X與 Y兩個分量拼接在一起，總共 64 個位元組。

- 04|X|Y，有些給出公鑰與上面格式一樣，只不過前面增加 04，代表非壓縮，整個公鑰長度變成 65 位元組。

分開展示，公鑰 X，公鑰 Y

公鑰 X|Y：53B97D723AA4CEAC97A13B8C50AA53D40DE36960CFC3A3D7929FD54F39F824ED5A4A27AF871AD62C25C75C9D75C75A0907C565A78B805E9502E616C4E77F3B42
公鑰 X:53B97D723AA4CEAC97A13B8C50AA53D40DE36960CFC3A3D7929FD54F39F824ED
公鑰 Y:5A4A27AF871AD62C25C75C9D75C75A0907C565A78B805E9502E616C4E77F3B42

SM2 演算法與 RSA 演算法一樣，可以用於數字簽名，也可以用於加密場景，下面我們來看下數字簽名場景下 SM2 演算法原理。

SM2 數字簽名演算法

SM2 簽名演算法還是比較複雜，這裡只擷取數字簽名的生成、驗證演算法原理。

詳細文件可以搜尋：『GB/T32918.2—2016 資訊保安技術 SM2橢圓曲線公鑰密碼演算法第2部分:數字簽名演算法』

sm2 加簽

數字簽名生成演算法，即加簽流程：

加簽流程圖如下：

sm2 驗籤

數字簽名驗證演算法，即驗籤流程：

驗籤流程圖：

SM2 簽名資料

上面加簽流程我們可以看到，SM2 加簽之後產生的簽名為（R,S），這一點與 RSA演算法不同，RSA 演算法加簽之後簽名就是一個值。

SM2 簽名一般有兩種資料格式，國標(GM/T 0009-2012 SM2 密碼演算法使用規範)規定簽名資料格式，使用** ASN.1** 格式定義，具體格式如下：

通常使用硬體加密機加簽產生的數字數字簽名將會使用這種格式。

SM2 數字簽名另外一種方式就比較簡單，格式為R|S，即直接將兩者拼接在一起表示。

通常使用軟體加密產生數字簽名將會使用這種資料格式。

SM2 公鑰加密演算法

SM2 加密演算法也是比較複雜，這裡只擷取加密、解密原理

詳細文件可以搜尋：『GB/T 32918.4—2016 資訊保安技術 SM2橢圓曲線公鑰密碼演算法第4部分:公鑰加密演算法』

sm2 加密演算法

SM2解密演算法

SM2 加密資料

SM2 加密資料將會產生三個值:

C1 為隨機產生的公鑰
C2 為密文，與明文長度等長
C3 為 SM3 演算法對明文數計算得到訊息摘要，長度固定為 256 位

SM2 加密資料一般有兩種資料格式，國標(GM/T 0009-2012 SM2 密碼演算法使用規範)規定加密資料格式，使用 ASN.1格式定義，具體格式如下：

通常使用硬體加密機加簽產生的加密資料將會使用這種格式。

SM2 加密資料另外一種方式就比較簡單，格式為 C1|C3|C2，即直接將三者拼接在一起表示。

通常使用軟體加密產生數字簽名將會使用這種資料格式。

這裡需要注意一點，有些加密資料格式也會使用 C1|C2|C3，加解密之間需要注意格式。

SM2 相關問題

SM2 合規上通常需要使用硬體加密機，這種方案直接呼叫廠商的提供加密介面就好了，安全又比較簡單。

但是這個方案需要採購相關硬體，成本比較高。

SM2 演算法也可以使用軟加密的方案，底層主要依賴 Bouncy Castle 庫。

軟加密的方案在於開箱即用，開發成本較低。

軟體加密方案，Bouncy Castle 庫封裝的工具類，已經大大降低國密開發的難度。

如果不想開發可以直接使用 HuTool 工具類：

https://hutool.cn/docs/#/crypto/國密演算法工具-SmUtil?id=介紹

如果想自己封裝的話，可以參考下面文章

https://blog.csdn.net/pridas/article/details/86118774

https://github.com/xjfuuu/SM2_SM3_SM4Encrypt

不同的加密方案，加簽、加密輸出的結果格式不同。如果直接拿硬體加密方案生成加密結果，然後直接使用軟體加密方案去解密，就會導致解密失敗。

SM2 演算法聯調測試的時候，這一點比較頭疼，下面講下這次國密改造中碰到一些問題。

SM2 公私鑰讀取

SM2 如果用到數字簽名，也用到加密的話，這個情況下我們就需要向 CA 機構，例如 CFCA，申請國密雙證照。

CFCA 申請結果如下：

SM2 雙證照，分為簽名證照，加密證照。我們申請獲取兩個證照需要給到對手方，同樣對手方也需要把他們雙證照給我們。

這個過程簽名需要使用自身簽名證照對應的私鑰，驗籤使用對手方簽名證照包含的公鑰。

加密使用對手方的加密證照包含的公鑰，解密需要使用自身加密證照的對應的私鑰。

這個流程比 RSA 單證照的情況複雜了很多。

我們拿到數字證照之後，如果需要從裡面提取公鑰，擴在下面的網站線上解析。

https://www.gmssl.cn/gmssl/index.jsp

下圖選中就是證照中包含的公鑰

SM2 數字簽名問題

SM2 國標規定的加簽資料格式使用 ASN.1,所以部分硬體廠商加簽輸出格式就是這種。

但是如果我們使用 BC 庫加簽輸出格式直接使用 R|S。

如果是這種情況，我們就需要在明文 R|S 與 ASN.1 之間做相互的轉換。

最新版本的 BC 庫，已經提供轉換的換方式。

        <dependency>
            <groupId>org.bouncycastle</groupId>
            <artifactId>bcprov-jdk15to18</artifactId>
            <version>1.69</version>
        </dependency>

可以使用下面的方式，輸出簽名結果為 ASN.1 格式

new SM2Signer(StandardDSAEncoding.INSTANCE, new SM3Digest());

也可以使用下面這種方式嗎，輸出簽名結果為 R|S

        // 前面輸出 R|S
        new SM2Signer(PlainDSAEncoding.INSTANCE, new SM3Digest());

如果是低版本，只能通過自己寫程式碼轉換了。程式碼就不貼了，參考下面這篇文章：

https://blog.csdn.net/pridas/article/details/86118774

SM2 加密問題

SM2 加密結果，國標規定使用 ASN.1 格式，所以部分硬體廠商加密結果使用這種格式。

但是 BC 庫加密的結果是 C1|C3|C2,所以我們需要做一層轉換。

轉換程式碼如下：

將ASN1格式轉成c1c3c2

    /**
     * 將ASN1格式轉成c1c3c2
     *
     * @param asn1
     * @return
     * @throws IOException
     */
    public static byte[] changeAsn1ToC1C3C2(byte[] asn1) throws IOException {
        ASN1InputStream aIn = new ASN1InputStream(asn1);
        ASN1Sequence seq = (ASN1Sequence) aIn.readObject();
        BigInteger x = ASN1Integer.getInstance(seq.getObjectAt(0)).getValue();
        BigInteger y = ASN1Integer.getInstance(seq.getObjectAt(1)).getValue();
        byte[] c3 = ASN1OctetString.getInstance(seq.getObjectAt(2)).getOctets();
        byte[] c2 = ASN1OctetString.getInstance(seq.getObjectAt(3)).getOctets();
        // 不壓縮

        ECPoint c1Point =  GMNamedCurves.getByName("sm2p256v1").getCurve().createPoint(x, y);
        byte[] c1 = c1Point.getEncoded(false);
        return ArrayUtil.addAll(c1, c3, c2);
    }

將 c1c3c2格式轉成ASN1

private static final int C1_LEN = 65;
    private static final int C3_LEN = 32;

    /**
     * 將c1c3c2轉成標準的ASN1格式
     *
     * @param c1c3c2
     * @return
     * @throws IOException
     */
    public static byte[] changeC1C3C2ToAsn1(byte[] c1c3c2) throws IOException {
        byte[] c1 = Arrays.copyOfRange(c1c3c2, 0, C1_LEN);
        byte[] c3 = Arrays.copyOfRange(c1c3c2, C1_LEN, C1_LEN + C3_LEN);
        byte[] c2 = Arrays.copyOfRange(c1c3c2, C1_LEN + C3_LEN, c1c3c2.length);
        byte[] c1X = Arrays.copyOfRange(c1, 1, 33);
        byte[] c1Y = Arrays.copyOfRange(c1, 33, 65);

        BigInteger r = new BigInteger(1, c1X);
        BigInteger s = new BigInteger(1, c1Y);

        ASN1Integer x = new ASN1Integer(r);
        ASN1Integer y = new ASN1Integer(s);
        DEROctetString derDig = new DEROctetString(c3);
        DEROctetString derEnc = new DEROctetString(c2);
        ASN1EncodableVector v = new ASN1EncodableVector();
        v.add(x);
        v.add(y);
        v.add(derDig);
        v.add(derEnc);
        DERSequence seq = new DERSequence(v);
        return seq.getEncoded(ASN1Encoding.DER);
    }

這裡需要注意一下，低版本的 BC 庫加密結果是 C1|C2|C3，這就很坑了，現在很多都是 C1|C3|C2,這就又需要做轉換。

轉換程式碼參考這篇文章：

https://blog.csdn.net/pridas/article/details/86118774