4. 密钥生成与管理：SM2密钥对生成、私钥存储（HSM/文件/PKCS#12）
谈到国密SDK对接，密钥管理是绕不开的硬骨头。SM2密钥对的生成和私钥存储，看似基础，但我在几个金融项目里都见过这里出问题——要么私钥明文落在磁盘上，要么HSM配置不当导致签名失败。嗯，咱们一步步拆开讲。
4.1 SM2密钥对生成：椭圆曲线上的“双胞胎”
SM2密钥对本质上就是一对整数点，遵循国家密码管理局定义的sm2p256v1椭圆曲线。公钥可以从私钥通过倍点运算算出，反过来不行——这是椭圆曲线离散对数难题的核心。
我习惯把密钥对生成分成两步：
- 获取安全随机数：私钥是一个256位随机整数，必须由合格的随机数发生器（熵源）产生。项目上遇到过用C语言rand()生成私钥的案例——那等于没锁门。
- 计算公钥：私钥k乘以基点G，得到公钥点K = kG。这个过程可以用现成库完成。
关键点：SM2私钥的二进制长度固定32字节，但公钥有两种表示——未压缩（04开头 + x坐标32字节 + y坐标32字节）和压缩（02/03开头 + x坐标32字节）。金融系统里一般用未压缩格式，兼容性更好。
4.2 私钥存储三剑客：HSM、文件、PKCS#12
私钥一旦泄露，整个安全体系就垮了。我见过三种主流存储方式，各有适用场景。下表帮你快速对比：
| 存储方式 | 安全等级 | 性能 | 成本 | 典型场景 |
|---|---|---|---|---|
| 硬件安全模块(HSM) | 最高（私钥不出设备） | 高（专用芯片加速） | 高 | 核心签名服务、支付网关 |
| 文件（PEM/DER） | 低（依赖访问控制） | 中 | 低 | 开发测试、低安全环境 |
| PKCS#12（带密码加密） | 中（密码保护+加密） | 中 | 低 | 证书分发、移动端/桌面端 |
4.3 实战：用GmSSL生成SM2密钥对并导出
我参与过的项目中，GmSSL是使用最广的开源国密库。下面是一个生成SM2密钥对并导出私钥到PKCS#12的代码片段，你直接套用就行：
# 生成SM2私钥（PEM格式，加密存储）
gmssl genpkey -algorithm SM2 -out sm2_private.pem -pkeyopt ec_paramgen_curve:sm2p256v1
# 从私钥导出公钥
gmssl pkey -in sm2_private.pem -pubout -out sm2_public.pem
# 将私钥打包为PKCS#12（需要设置导出密码）
gmssl pkcs12 -export -inkey sm2_private.pem -out sm2.p12实际部署时，我建议：
- 生产环境：直接让HSM内部生成密钥对，私钥永不离开HSM。GmSSL通过PKCS#11接口操作HSM。
- 测试环境：文件存储OK，但记得设置文件权限为600，并定期轮换。
- 证书分发：PKCS#12是最佳选择，密码强度要求至少16位混合字符。
我曾经踩过的坑：有一次把PKCS#12密码写死在配置文件里，且未加密存储。结果审计时直接被列为高危漏洞。切记——密码必须由密钥管理系统分发，或者通过环境变量/密钥管理服务(KMS)注入。
4.4 HSM对接：不能忽视的细节
HSM是金融系统的标配。我跟几家主流HSM厂商（如江南天安、三未信安）都做过集成，发现几个共性要点：
- 密钥属性：SM2密钥对必须标记为
CKA_SIGN+CKA_DECRYPT，且CKA_EXTRACTABLE设为FALSE。 - 会话管理：每次签名操作前后要创建/销毁会话，不能复用长期会话——防止并发冲突。
- 备份恢复：HSM支持密钥备份到加密文件（wrap/unwrap），但备份密钥必须同样存储在另一台HSM或安全区域。
我见过一个项目，因为没设置CKA_EXTRACTABLE为FALSE，运维人员误操作把私钥导出到了日志文件——幸好及时发现。所以这条一定不能省。
4.5 密钥生命周期管理思维导图
4.6 避坑指南：我亲历的3个教训
- 随机数熵不足：某个早期项目用Docker容器内的
/dev/urandom，但容器刚启动时熵池为空，导致生成了可预测私钥。后来我强制要求使用/dev/random或硬件的TRNG（真随机数发生器）。 - 文件权限疏忽：私钥PEM文件如果被web应用用户可读，很容易被SSRF或路径遍历漏洞窃取。我现在的标准是：私钥文件owner设为专用服务账户，权限400（仅owner读）。
- PKCS#12密码轮换缺失：证书有效期2年，但PKCS#12密码一旦设定就没人动。其实应该像管理一样定期轮换。
个人习惯：我会在每个密钥生成后立即计算其哈希（SHA256），并记录在审计日志中。这样后续排查时可以快速确认密钥是否被篡改。
好了，密钥生成与存储的核心就这些。实际项目里，你还需要考虑备份策略和灾难恢复——HSM的密钥备份一般通过加密的C_WrapKey导出到安全文件，而文件存储的私钥则需要用GPG加密后再归档。嗯，这些属于组织管理层面，咱们后面章节再细聊。