SM2算法概述：我眼中的国密扛把子
聊到非对称加密，很多人第一反应是RSA。但在我这几年做国产化改造的项目经验里，SM2才是真正需要认真对待的角色。说白了，SM2就是中国自己的椭圆曲线公钥密码算法标准，2010年发布，2016年正式成为国家标准（GB/T 32918系列）。
我最早接触SM2是在一个政府涉密系统迁移项目里。当时客户明确要求：所有核心业务签名和加密必须用国密算法，不能再用RSA。嗯，从那时起我就开始系统地研究SM2的底层逻辑了。
为什么需要SM2？——中国密码标准的背景
你想想看，密码算法这东西，背后是国家安全和产业自主权。以前我们大量使用RSA、ECC这些国际算法，但在某些涉密和关键基础设施领域，监管部门要求必须用自主可控的商用密码算法。
- 国家意志：SM2属于《商用密码管理条例》规定的强制或优先使用算法
- 合规要求：等保2.0、密评（商用密码应用安全性评估）明确要求国密改造
- 产业生态：国内CA机构、VPN设备、加密芯片已全面支持SM2
核心认知：SM2不是RSA的替代品，而是基于椭圆曲线密码（ECC）的全新体系。它同时具备签名和加密能力，但签名和加密要使用不同的密钥对——这正是本课程《SM2非对称密钥边界签名与加密权限隔离教程》要讲透的核心。
SM2 vs RSA vs ECC：一张表看懂差异
我个人习惯，拿到一个新算法，先跟熟悉的做横向对比。下面这张表是我刚研究SM2时整理的，现在看起来依然有用：
| 对比维度 | SM2（国密） | RSA（国际） | ECC（国际，如secp256k1） |
|---|---|---|---|
| 算法基础 | 椭圆曲线离散对数（ECDLP） | 大整数分解（RSA问题） | 椭圆曲线离散对数（ECDLP） |
| 推荐密钥长度 | 256位 | 2048位 | 256位 |
| 签名效率 | 高（私钥运算快） | 中（私钥运算慢） | 高 |
| 加密效率 | 高（集成KDF+对称加密） | 低（直接对大块数据操作慢） | 中（常结合ECIES混合加密） |
| 签名+加密是否共用密钥 | 不能！必须隔离 | 可以共用（但不推荐） | 严格来说应隔离 |
| 标准成熟度 | 高（GB/T 32918正式发布） | 非常高（PKCS#1等） | 高（SECG/NIST标准） |
我曾经踩过坑：在一个早期项目里，我用SM2的签名密钥对去执行加密操作，结果解密出来的数据怎么都对不上。后来一查标准原文，SM2的签名和加密使用不同的椭圆曲线参数表和推导公式。密钥乱用不是性能问题，而是功能性问题——解密会直接失败。
SM2背后的数学逻辑：为什么椭圆曲线更强？
说白了，RSA靠的是“大数分解很难”，而SM2/ECC靠的是“椭圆曲线上找离散对数更难”。同样的安全强度（比如256位SM2 vs 2048位RSA），SM2的密钥更短、运算更快、存储开销更小。
我在做嵌入式密码模块选型时，这个差异非常明显。RSA 2048位密钥对大概需要512字节存储，而SM2 256位密钥对只要64字节。硬件加速器实现的SM2签名，吞吐量能比RSA高一个数量级。
本课程要解决的核心问题
很多研发同学会问：既然SM2基于ECC，那它跟比特币用的secp256k1有什么区别？答案是曲线参数和实现细节差异很大。更关键的是——SM2在设计层面就强制要求签名和加密的密钥分离，这一点跟我们常见的“同一把密钥既签名又加密”的RSA习惯完全不同。
一个常见的误解：有人以为可以像RSA那样，用同一个SM2密钥对既做签名又做加密。我在多个项目评审时都得反复解释——SM2算法标准里，签名与加密的密钥产生流程、派生函数、数据格式都不一样。混用会导致安全漏洞，甚至无法通过密评。
接下来这张SVG图，是我梳理的本章知识框架，帮你看清SM2在整个非对称密码体系里的位置：
我的实战经验
我记得有次做金融系统的国密改造，对方CTO坚持说“把RSA的证书直接换成SM2证书就行，别的不用改”。我当场打开SM2的标准文档，翻到第5节密钥生成部分，指着“签名密钥与加密密钥不应相同”的原文给他看。后来他回去跟团队核对，发现如果真按原方案上线，签名验证和加密解密都会乱套。
这也正是我制作这个教程的初衷。SM2不是简单换个曲线参数那么简单，它的权限隔离模型、密钥派生机制、密文格式，每一项都值得你花时间吃透。