sm9（密码技术大起底(三)）

上一篇文章《等保2.0下，密码技术大起底（二）》中，介绍了对称加密算法及其应用方案，对称加密算法速度快效率高，但是密钥管理难度大，大部分方案都需要结合非对称加密算法进行密钥管理，今天我们主要了解一下非对称加密算法及其应用方案。

1

非对称加密算法介绍

基本概念

我们再回顾一下密码技术的体系结构模型：

在这个体系模型中，如果加密密钥和解密密钥完全相同，这类加密算法就称为对称加密算法；如果加密密钥和解密密钥完全不同，这类加密算法就称为非对称加密算法，非对称加密算法也就是我们常说的公钥密码算法（Public Key Encryption）。

对称加密算法快速高效，可以很方便的针对大量数据进行加密和解密，因为算法公开，所以对称加解密算法的核心安全要素就是密钥，对称加密算法在实际使用时最大难题就是密钥的分发问题。非对称加密算法刚好完美的解决了对称加密算法密钥的生成和分发问题，所以几乎所有对称加密算法的应用方案都要使用到非对称加密算法。

公钥密码算法的基本元素是2个密钥：公钥和私钥。公钥对外公开，私钥则需要保密。使用公钥加密的数据，私钥可以解密；私钥加密的数据，公钥可以解密；根据公钥很难计算出私钥，只要保密好私钥，就可以保证通信的安全。

公钥密码算法的数学本质是单向陷门函数，包含两个明显特征：单向性和陷门。单向性也称不可逆性，即对于一个函数y=f(x)，若已知x要计算出y很容易，但是已知y要计算出x=f ^(-1) (y)则很困难。单向函数的命名就是源于其只有一个方向能够计算，哈希摘要函数就属于单向函数，比如MD5算法。所谓陷门，也称为后门。对于单向函数，若存在一个z使得知道z则可以很容易地计算出x=f ^(-1) (y)，而不知道z则无法计算出x=f ^(-1) (y)，则称函数y=f(x)为单向陷门函数，而z称为陷门。而哈希摘要函数只是单向函数，没有陷门，根据哈希值完全无法逆向计算出原始数据。

我们提到对称加密算法的应用方案几乎都涉及了非对称加密算法，今天咱们就来梳理一下对称加密和非对称加密的历史渊源。

1976年，美国政府颁布数据加密标准DES，这是经典的对称加密算法，也代表对称加密算法进入成熟期，对称加密算法遇到的密钥难题也被大家认识到，很多科学家早已经开始研究密钥生成分发问题。就在这一年，Whitfield Diffie和Martin Hellman发表论文《密码学的新动向》，提出了一个奇妙的密钥交换协议，也就是大名鼎鼎的Diffie-Hellman密钥交换算法，简称为DH算法。DH算法让双方在完全没有对方任何预先信息的条件下通过不安全信道建立起一个密钥，这个密钥一般作为“对称加密”的密钥使用，所以是一种建立密钥的方法，而不是加密方法，正是这个算法开创了公钥密码学的新时代。

我们先来欣赏一下两位大师的帅照，左边那位就是Hellman，而右边那位就是Diffie。

1977年，Ron Rivest，AdiShamir和Leonard Adleman这三个人真正提出了一个公钥加密/数字签名算法，也就是众所周知的经典算法——RSA算法。RSA算法的提出，标志着公钥密码学开始走向实际应用。

Whitfield Diffie和Martin Hellman因为DH算法及相关研究，被美国计算机协会（ACM）授予2015年的图灵奖。说实话，这个奖“比以往时候来得更晚一些”。作为对比，Rivest、Shamir和Adleman在2002年就因RSA算法而得到了图灵奖。

公钥密码算法和哈希算法、对称加密算法等一起，奠定了完整的现代密码技术体系，现在所有成熟的加密技术方案都离不开这几种算法。

典型算法

目前常见的典型非对称加密算法包括DH、RSA、ECC（Elliptic Curve Cryptography）、IBC（Identity-Based Cryptography）等。

我们的国密算法家族中也包含有2种非对称加密算法，分别是基于ECC的SM2和基于IBC的SM9。

DH算法简介

DH算法是非对称加密的开山鼻祖，开创了基于非对称算法进行密钥交换的思想，DH算法的作用是交换密钥，而不是加密，所以DH算法也称为密钥交换算法。

DH算法的有效性依赖于计算离散对数的难度，其中的数学原理如下：计算以一个素数为模的指数相对容易，但计算离散对数却很困难。对于大的素数，计算出离散对数几乎是不可能的。本文不对其中的数学原理进行过多的分析，简单说，就是单方向计算比较简单，反过来计算难度很大。

假设用户Alice希望与用户Bob建立一个安全连接，使用DH算法进行加密密钥交换的步骤如下表所示：

密钥交换过程说明如下：

1. 用户Alice通过随机数函数产生一个一次性的私有密钥A，计算出公开密钥a，发送给用户Bob。

2. 用户Bob同样通过随机数函数产生一个私有密钥B，使用同样的参数p和q计算出公开密钥b，发送给用户Alice作为响应。计算公式中的参数p和q都需要双方提前知道，或者用户Alice把p和q包含在第一个报文中发送给用户Bob。

3. 用户Alice利用接收到的Bob的公开密钥b计算出秘钥K，用户Bob利用接收到的用户Alice的公开密钥a也可以计算出秘钥K——这相当于A和B交换了秘钥K。

DH算法非常的简洁轻便，主要优点为：

1. 使用一次性密钥，避免了密钥暴露和遭受攻击的机会。

2. 除对全局参数的约定外，密钥交换不需要事先存在的基础结构。

DH算法在简洁的同时，也不可避免存在一些不足：

1. 公开的参数和公钥无法提供任何身份信息。

2. 容易遭受DoS攻击，DH算法对计算资源消耗较多，如果攻击者频繁进行密钥交换，受攻击者将花费大量的计算资源。

3. 没办法防止重放攻击。

4. 容易遭受中间人的攻击。

RSA算法简介

RSA算法诞生较早，很长一段时间内都是最受欢迎的公钥密码算法，在公钥密码算法中占据着主导地位，并得到了广泛的应用。RSA算法复杂度随着密钥长度的增加而增加，算法安全性也随之增加，计算量成指数级上升。目前，RSA 768即公钥私钥的长度为768位，已经被破解，应避免使用；RSA 1024虽然未被破解，但已被证明不够安全，不推荐使用；现在推荐使用RSA2048（及以上）。

RSA 算法的有效性依赖于计算大素数因式分解的难度：给定两个素数p、q 很容易相乘得到n，而对n进行因式分解却相对困难。

RSA的加密过程表示如下：

RSA加密是对明文的E次方后除以N后求余数的过程。从上式可知，知道E和N就可以进行RSA加密了，所以说E和N的组合就是公钥，我们用（E,N）来表示公钥。E和N不并不是随便选择的数字，它们都是经过严格的数学计算得出的，本文不再详述这些数学原理的细节。

RSA的解密过程表示如下：

RSA的解密过程和加密过程是一样的，对密文进行D次方后除以N的余数就是明文，知道D和N就能进行解密密文了，所以D和N的组合就是私钥，我们用(D,N)来表示私钥。

利用RSA算法进行加密通信的过程如下：

1. 用户Alice利用数学方法，生成公钥（E,N）和私钥（D,N）。

2. 用户Alice把公钥（E,N）发送给Bob。

3. 用户Bob使用公钥加密明文数据，回传给用户Alice。

4. 用户Alice使用私钥（D,N）解密密文，得到明文。

RSA算法和DH算法的主要区别：

1. DH算法的公钥、私钥一般使用随机数，一次一密；RSA算法的公钥、私钥一般保存在数字证书里，长期使用。

2. DH算法主要利用公钥、私钥用于生成统一的加密密钥；RSA算法则是利用公钥、私钥直接对数据进行加密，因为加密速度比对称加密算法慢很多，所以一般仅用于加密密钥。

3. DH算法仅用于密钥交换，RSA算法因为使用证书，不仅可以进行密钥交换，也可以用于数字签名。

RSA算法的数学原理相对简单，易于在工程上实现，目前应用最为广泛。RSA算法是基于数字证书的公钥密码，数字证书一般由可信的权威机构CA（Certification Authority）为每个用户签发公钥证书。CA拥有用户的身份和公钥后，CA需要验证用户的有效性和合法性，如果验证通过，CA为其颁发证书，而这个证书包含CA的私钥对用户公钥和身份等信息的签名。如果想要验证用户的公钥，需通过CA的公钥验证用户的证书。

ECC/SM2算法简介

椭圆曲线密码ECC（Elliptic Curve Cryptography）算法是基于椭圆曲线数学的一种公钥密码的算法，其安全性依赖于椭圆曲线离散对数问题的困难性。

1985年， Miller和Koblitz分别独立提出了椭圆曲线密码ECC。和RSA算法相比，ECC算法的数学理论比较复杂，单位安全强度相对更高。ECC算法的破译或求解难度是完全指数级的，而RSA算法的破解难度是亚指数级的。ECC算法中，256比特的ECC公钥密码的安全强度比2048比特的RSA公钥密码强度还要强。

2012年，我国国家密码管理局发布基于ECC的国密标准算法SM2。

ECC算法的有效性依赖椭圆曲线的离散对数难题：给定椭圆曲线Ep（a,b）上的一个点G，并选取一个整数k，求解椭圆曲线上的另一个点K=kG很容易；反过来，在椭圆曲线上给定两个点K和G，若使K=kG，求整数k是一个难题。其中椭圆曲线上的2个点（G，K）合起来为公钥，点G和大整数k合起来（G，k）成为私钥。注意，这里涉及一些数学上的转换算法，椭圆曲线本身是连续无限的实数点，经过数学转换变为有限域里面的离散的点，有兴趣的读者可以查看相关的数学知识，本文不再详述。

利用椭圆曲线进行加密通信的过程如下：

1. 用户Alice利用数学方法，在椭圆曲线Ep（a,b）上选择一个点G，生成公钥（G，K）和私钥（G，k），其中椭圆曲线Ep（a,b）为公共参数。

3. 用户Alice将Ep(a,b)和公钥（K，G）传给用户Bob。

4. 用户Bob接到信息后，将待传输的明文编码映射到Ep(a,b)上一点M（编码方法很多，这里不作讨论），并产生一个随机整数r。

5. 用户Bob计算得到2个点：C1=M+rK，C2=rG。

6. 用户Bob将C1、C2传给用户Alice。

7. 用户Alice接到信息后，计算C1-kC2，结果就是点M。因为C1-kC2 = M+rK-k(rG) = M+rK-r(kG) = M。再对点M进行解码就可以得到明文。

ECC算法和RSA算法都需要使用数字证书保存其使用的公钥和私钥。

ECC算法对比RSA算法，因为使用的数学原理不同，具有明显的优势，主要区别是：

1. ECC算法抗攻击性强，使用256位长度的密钥，比2048位密钥的RSA算法还要安全。

2. ECC算法占用CPU和内存更少，效率更好，加解密速度更快。

3. ECC算法网络消耗更低。

IBC/SM9算法简介

IBC（Identity-Based Cryptography）是基于标识的密码，由Shamir（RSA密码创始人之一）在1984年的论文中首次提出，与RSA、ECC相比特性鲜明：公钥是用户的身份标识，不是随机数；私钥通过绑定身份标识与系统主密钥（master key）生成。RSA与ECC/SM2公钥密码是基于数字证书的公钥密码，IBC/SM9是基于标识的无证书的公钥密码。

2016年，国家密码管理局于发布IBC国密标准算法即SM9。

IBC作为PKI体系的发展和补充，既保证了签名的安全特性，又满足了各种应用更灵活的安全需求。在基于标识的密码系统中，每个实体具有一个标识，该标识可以是任何有意义的字符串。由于标识本身就是实体的公钥，这类系统就不再依赖证书，在某种程度上简化了PKI的应用。

在IBC中，可信第三方是密钥生成中心KGC（Key Generation Center），类似于PKI中的CA，一旦用户的身份标识确定，KGC仅仅只需要验证该用户是否拥有该身份标识。如果验证成功，则KGC为用户创建其私钥，这个私钥是根据用户身份标识和KGC的根私钥生成的。

IBC密码的应用比传统公钥密码的应用在某种程度上更加简单，但是IBC密码的设计与计算却比其他公钥密码复杂得多。在IBC算法中，除了RSA和ECC中所具有的运算外，还增加了复杂的双线性对(bilinear)计算。因此，IBC密码算法运行速度远远慢于RSA和ECC。

目前，IBC安全性模型已经获得国际密码学界的证明，基于标识的密码技术在过去几年中得到快速发展，随着应用的逐渐广泛，相应算法的标准化工作也在逐步展开。IEEE P1363.3的基于标识的密码技术工作组正在进行相关算法的标准化工作。

2007年，国家密码局组织了国家标识密码体系IBC标准规范( Identity-Based Cryptograph)的编写和评审工作。由五位院士和来自党政军、科研院所的密码专家组成了评审组，对该标准规范在安全性、可靠性、实用性和创新性等方面进行了多次严格审查， 2007年12月16日，国家IBC标准正式通过了评审。专家们一致认定，该标准拥有独立知识产权，属于国内首创，达到了国际领先水平，并已逐步开始应用在智能密钥、加密邮件、网络安全设备等产品中。2017年11月，我国SM9标识签名算法成为ISO/IEC国际标准。2019年4月，SM9标识加密算法和密钥交换协议被ISO/IEC接受，两个项目正式立项并开展标准化工作。SM9将成为中国第一个完整非对称密码算法体系国际标准。

应用场景

密钥协商

非对称加密算法具有严密的数学依据，安全性很高，但是和对称加密算法对比性能很差。对称加密算法虽然性能很好，但是密钥的管理是个大难题。所以，非对称加密算法最常用的应用场景就是密钥协商，即只用来协商加密密钥，真正对数据的加解密工作还是由对称加密算法来完成。

数字签名

非对称加密算法中引入了证书作为私钥载体，证书一般由第三方权威机构CA颁发，具有法律效应，所以非对称加密算法可以用来做数字签名。一般使用私钥对数据进行签名，这些数据可能是具有法律效应的文件，可能是厂商发布的软件包，或者其他需要标识身份的数据。

2

非对称加密算法应用方案

公钥基础设施PKI

公钥基础设施PKI，英文全称为Public Key Infrastructure。非对称加密算法的核心是公钥/私钥，公钥/私钥一般都存储在数字证书里。PKI就是对数字证书的一套完整的、标准的管理方案，有了PKI的支持，非对称加密算法才能真正落地生根，形成可用的解决方案。PKI的主要功能包括证书申请、证书签发、证书更新、证书作废、证书发放/获取、证书状态查询等。

PKI 是基于公钥算法和技术，为网上通信提供安全服务的基础设施，是创建、颁发、管理、注销公钥证书所涉及到的所有软件、硬件的集合体。其核心元素是数字证书，核心执行者是 CA 认证机构。

一个PKI体系架构由终端实体、认证机构、注册机构和证书/CRL存储库四部分共同组成，如下图所示：

终端实体是PKI产品或服务的最终使用者，可以是个人、组织、设备（如路由器、交换机、计算机）中运行的进程。

认证机构CA（Certificate Authority）是PKI的信任基础，是一个用于签发并管理数字证书的可信实体。其作用包括：发放证书、规定证书的有效期和通过发布CRL确保必要时可以废除证书。

注册机构RA（Registration Authority）是CA的延伸，可作为CA的一部分，也可以独立。RA功能包括个人身份审核、CRL管理、密钥对产生和密钥对备份等。PKI国际标准推荐由一个独立的RA来完成注册管理的任务，这样可以增强应用系统的安全性。

证书/CRL（Certificate Revocation List）存储库负责证书和CRL的存储、管理、查询等。CRL即证书废除列表，由于实体名称的改变、私钥泄漏或业务中止等原因，需要存在一种方法将现行的证书撤消，即撤消公开密钥及相关的实体身份信息的绑定关系。在PKI中，任何一个证书被废除以后，CA就要发布CRL来声明该证书是无效的，并列出所有被废除的证书的序列号。CRL提供了一种检验证书有效性的方式。

PKI系统一般由多个社会上获得认可的权威组织共同构成，这种系统管理发布的证书具有法律效应。除了这些权威机构组成的PKI系统，也可以自己搭建专属于自己机构使用的私有PKI系统。私有的PKI系统主要负责企业内部使用的证书管理，仅针对单个企业运行使用。

密钥协商方案

因特网密钥交换协议（IKE），英文全称Internet Key Exchange，在RFC2409中定义，是一种标准的用于交换和管理在VPN中加密密钥的协商方案，也可以在其他需要协商交互密钥的地方使用，比如SNMP V3、RIPv2、OSPFv2等。本文主要以IPSec VPN为例讲IKE的应用方案。

IPSec VPN中，IKE方案一般支持多种认证方式：基于预共享密钥，基于数字证书，基于数字信封。

在预共享密钥认证中，认证字作为一个输入来产生密钥，通信双方采用共享的密钥对报文进行Hash计算，判断双方的计算结果是否相同。如果相同，则认证通过；否则认证失败。在数字证书认证中，通信双方使用CA证书进行数字证书合法性验证，双方各有自己的公钥（网络上传输）和私钥（自己持有）。发送方对原始报文进行Hash计算，并用自己的私钥对报文计算结果进行加密，生成数字签名。接收方使用发送方的公钥对数字签名进行解密，并对报文进行Hash计算，判断计算结果与解密后的结果是否相同。如果相同，则认证通过；否则认证失败。在数字信封认证中，发送方首先随机产生一个对称密钥，使用接收方的公钥对此对称密钥进行加密（被公钥加密的对称密钥称为数字信封），发送方用对称密钥加密报文，同时用自己的私钥生成数字签名。接收方用自己的私钥解密数字信封得到对称密钥，再用对称密钥解密报文，同时根据发送方的公钥对数字签名进行解密，验证发送方的数字签名是否正确。如果正确，则认证通过；否则认证失败。

安全关联（Security Association，简称SA）是两个IPSec实体（主机、安全网关）之间经过协商建立起来的一种协定，内容包括认证加密协议（AH或ESP）、运行模式（传输模式或隧道模式）、验证算法、加密算法、加密密钥、密钥生存期、抗重放窗口、计数器等，从而决定了保护什么、如何保护以及谁来保护。简单地讲SA就是通信双方关于数据如何加解密的一套约定策略。

IKE的主要任务就是建立通信双方的SA。

采用IKEv1协商SA主要分为两个阶段：第一阶段，通信双方协商和建立IKE协议本身使用的安全通道，即建立一个IKE SA；第二阶段，利用第一阶段已通过认证和安全保护的安全通道，建立一对用于数据安全传输的IPSec SA。

IKE虽然名为"密钥交换"，但事实上在任何时候，两台通信主机之间都不会交换真正的密钥，它们之间交换的只是基于DH算法生成共享密钥所需要的基本材料信息。DH交换过程和数据可以是公开的，也可以受保护。在彼此交换过基本"材料"后，两端主机可以各自生成出完全一样的共享"主密钥"，保护紧接其后的通信过程，包括认证和数据加密传输。

除了IPSec VPN中基于DH算法的密钥协商方案，SSL中基于RSA算法的密钥协商方式也是一种经典的非对称加密算法应用方案。具体过程如下：

数字签名方案

数字签名也是非对称加密算法的典型应用场景。数字签名方案必须满足3个具体要求：

身份认证：接收者通过签名能够核实发送者的身份。数据完整性：接收者通过签名能核实数据是否被篡改。不可否认：发送者事后不能抵赖自己的签名。

用户A使用数字签名向用户B传输一份文件的过程如下所示：

首先，文件经过单向散列函数MD5的处理得到一份128位的摘要（无论文件多大，经过单向散列函数MD5的处理，生成的摘要都是128位），这份摘要相当于该文件的"指纹"，能够唯一地识别文件。注意：只要文件发生一丁点改动，经过单向散列函数处理后得到的摘要都会大不一样，文件和文件的摘要具有很强的对应关系。

然后，用户A使用自己的私钥对这份摘要进行加密，得到一份加密的摘要。

最后，用户A把文件、加密的摘要和公钥打包一起发给用户B，传输的过程中并没有对文件进行加密处理。

用户B将收到的文件使用同样的单向散列函数处理，得出一份128位的摘要。

然后，用户B使用A提供的公钥对收到的"加密的摘要"进行解密，得到另一份128位摘要，这份摘要是通过原始文件得到的，可以认为代表真正的文件。

最后，将两份摘要进行比较。如果两份摘要相等，说明文件经过用户A签名之后，在传输的过程中没有被更改；若不相等，说明文件在传输过程中被更改了。

因为该摘要是使用私钥加密的数据，所以，网络上即使有截获这些数据的破坏者，也不可能篡改后使用用户A的私钥重新加密。所以上面的过程，可以保证数据的完整性。

但是这个过程缺少身份认证，也不能防抵赖，为什么这么说呢？

因为任何个人都可以制作一套公钥私钥证书，都可以按照这个方案签名传输数据。如果没有权威机构背书，私有证书无法提供身份认证信息。比如，利用JDK或OpenSSL，你可以轻易制作一个自签名的证书，写上任何公司甚至政府机关的名称。所以，用户C也可以构造一个名为用户A的私有证书，仿冒A给B发送数据和签名，这种情况下用户B完全无法分辨，上述的一切过程完全正确。

为了确认身份，就需要引入权威CA机构，对身份进行认证，把人或机构与证书绑定。引入CA机构后，用户A的证书就可以确认其身份（该证书已经过CA签名），也可以防止其抵赖否认。示例如下：

首先，用户A向证书颁发机构提交个人信息，申请证书。通过CA审核后，CA生成用户A的证书，证书中包括了A的公钥和私钥还有CA的数字签名。证书颁发机构CA本身拥有一对密钥，这是对CA所颁发的证书进行数字签名和保密的基础，绝不能泄露。

用户A收到的证书中包括了带有CA数字签名的，专属A的公钥和私钥，CA的数字签名确保了别人不能伪造用户A的公钥和私钥。

同时，用户B也必须信任给用户A颁发证书的第三方认证机构CA，即用户B拥有CA颁发的"CA公钥"。

通信时，用户A向用户B发送的数据包中的"加密的摘要"上有用户A的数字签名，“A公钥”上有认证机构CA的数字签名。用户B收到数据包之后，先要验证收到的 “A公钥” 是否认证机构颁发的带有CA签名的公钥。用户B并不信任用户A，但是用户B信任第三方认证机构CA。所以，用户B先使用证书颁发机构颁发的“CA公钥"验证收到的"A公钥"。

验证通过后，用户B便相信收到的 "A公钥"确实来自真实的用户A。随后再使用 "A公钥" 对 "加密的摘要"进行解密，进行上文提到的对比操作，以判断文件是否更改。这种情况下，用户A也无法否认自己发出去的数据和签名。

3

密码技术小结

非对称加密算法是指加密密钥和解密密钥不同的加密算法，具有安全性高、无需传输密钥、加密效率低的特点，一般用于密钥协商交换和数字签名等领域。不同的非对称加密算法，其安全强度差异很大，ECC算法是安全强度较高的算法，256位密钥的安全性比2048位密钥的RSA算法强度还要高。

非对称加密算法是现代密码学最重要的发明和进展，通过引入权威认证机构搭建PKI体系，非对称加密算法可以满足身份认证和不可抵赖的安全要求，极大的促进了密码技术在各行各业的应用。

哈希算法、对称加密算法和非对称加密算法共同奠定了完整的现代密码技术体系，现在所有成熟的加密技术方案都离不开这几种算法，它们可以从各个维度保证数据的安全存储、安全传输和安全使用。

密码技术是安全的基石，不管是信息安全（Information Security）、网络安全（Network Security），还是最近几年新出现的网络空间安全（Cyber Security），都离不开密码技术的支持。

一般认为网络安全包括5大要素，都需要采用不同的密码技术做支撑：

最后，我们再回顾一下等保2.0中和密码技术相关的防护要求：