2、SM2算法原理：椭圆曲线基础、密钥对生成、签名与验签核心流程、性能热点标注

2.1 椭圆曲线基础：为什么偏偏是它？

SM2基于椭圆曲线密码体制，也就是ECC。你可能会问，那么多数学结构，为什么选椭圆曲线？说白了，它在同样的安全强度下，**密钥长度比RSA短得多**。

SM2使用的是**素数域上的Weierstrass曲线**。标准方程是：

y² = x³ + ax + b  (mod p)

其中，a、b是系数，p是素数。国密标准SM2推荐了一条特定曲线，参数是固定的。我刚开始搞椭圆曲线时，总觉得这堆数很抽象，但后来发现，你只需要记住三个核心概念：

• 基点G：椭圆曲线上的一个公共点，所有人共用。
• 阶n：基点G的阶，表示$[n]G = O$（无穷远点）。n很大，保证了安全性。
• 余因子h：通常取1，简化计算。

真正重要的是理解“标量乘法”。SM2里几乎所有的计算，落到最底层都是$[k]P$，也就是把点P跟自己加k次。嗯，这里要注意，这个“加法”不是坐标相加，是曲线上的几何加法。

2.2 密钥对生成：就是这么简单直接

SM2的密钥对生成，在算法层面**极其简单**，但实现时却藏着不少优化点。

1. 随机数生成：生成一个随机数d，范围在$[1, n-2]$。注意，n是上面说的阶。
2. 计算公钥：$P = [d]G$。d是私钥，P是公钥。

怎么算？就是标量乘法$[d]G$。你想想看，d是一个256位的随机数，凭空硬算256次点加，性能肯定灾难。所以这里就成为第一个性能热点。

我建议团队在写SM2的密钥生成时，直接上**Window-Non-Adjacent-Form (wNAF)**算法。我之前做一款单片机的国密适配，没加wNAF，生成一对密钥用了1.2秒，优化后降到320毫秒。这个差距，就是是否理解椭圆曲线计算本质的差距。

2.3 签名与验签：核心流程与避坑指南

SM2的签名验签流程，很多人觉得复杂，其实拆解开来就几步。

签名过程（用户A要签消息M）

我个人习惯把SM2签名简化为“2次变换+1次标量乘”：

1. 预处理：Z_A = H_{256}(ENTLA || ID_A || a || b || x_G || y_G || x_A || y_A)，然后M' = Z_A || M。
2. 算哈希：e = H_{256}(M')。
3. 生成随机数：k，范围$[1, n-1]$。
4. 算椭圆曲线点：$(x_1, y_1) = [k]G$。
5. 算部分签名：r = (e + x_1) mod n。如果r等于0或$r + k = n$，就要重试。
6. 算最终签名：s = ( (1 + d_A)^{-1} * (k - r * d_A) ) mod n。如果s等于0，也要重试。

最终签名值是(r, s)，长度为2 * 256 = 512位。

验签过程（用户B收到消息M'和签名(r, s)）

验签就是验证签名是否真由用户A生成：

1. 初步校验：检查r和s是否都在$[1, n-1]$。不满足直接判无效。
2. 算哈希：e' = H_{256}(Z_A || M')。
3. 算参数：t = (r + s) mod n。如果t等于0，判无效。
4. 算椭圆曲线点：$(x_1', y_1') = [s]G + [t]P_A$。这是个综合计算。
5. 验算：$R = (e' + x_1') mod n$。如果R等于r，验签通过；否则不通过。

你看，签名流中有一次标量乘，验签流中有两次标量乘（还是综合了倍点和加点的）。这个计算量，直接决定了SDK的吞吐量。

2.4 性能热点标注：算力砸在哪？

我们直接上总结表。这是我梳理SM2底层时，列出的硬算瓶颈：