📚 课程目录第2章密码学与身份认证基础

2. 密码学与身份认证基础

在HSM设备身份与证书管理工程中，密码学原语不是抽象理论，而是HSM内部实际执行的操作对象。理解对称加密、非对称加密、哈希、数字签名、MAC与PKI之间的关系，是判断“哪些密钥必须进HSM、哪些操作必须由HSM完成、证书链如何被信任”的基础。本节从HSM视角梳理这些概念，并给出它们在设备身份体系中的位置。

一、核心原理：六类密码学构件在HSM中的分工

HSM本质上是一个受保护的密码运算与密钥生命周期容器。它对外提供接口，对内隔离密钥。六类构件的关系可以这样理解：

对称加密：同一密钥用于加密和解密，速度快，适合大数据量保护。HSM中常用于保护会话密钥、存储加密密钥（如AES-KWP）。
非对称加密：公钥加密、私钥解密，或私钥签名、公钥验签。HSM重点保护私钥，公钥可导出。
哈希：把任意长度数据映射为固定长度摘要，用于完整性校验和签名前处理。HSM常执行SHA-256/SM3等。
数字签名：私钥对哈希值签名，公钥验签，提供不可否认性。HSM中签名私钥不可导出。
MAC：基于对称密钥的消息认证码，提供完整性与来源认证，但不提供不可否认性。
PKI：以CA、证书、CRL/OCSP、信任链为核心，把公钥与设备身份绑定，HSM是CA私钥和终端私钥的安全载体。

核心判断：需要长期保护、不可导出、用于身份证明的密钥，必须由HSM生成并驻留HSM；仅用于批量数据加密的会话密钥，可由HSM生成后以密文形式导出使用。

二、方法流程：从设备身份到信任链的密码学路径

以一台HSM设备加入PKI体系为例，典型流程如下：

设备内部HSM生成非对称密钥对（如SM2或RSA），私钥永不导出，公钥导出。
设备生成证书签名请求（CSR），CSR中包含公钥和设备标识，并用私钥签名，证明持有私钥。
CA验证设备身份后签发设备证书，证书把公钥与设备身份绑定。
设备与对端通信时，使用私钥完成签名或密钥协商，对端用证书公钥验签。
对端通过信任链验证证书：设备证书→中间CA→根CA，并检查CRL/OCSP吊销状态。
会话数据使用对称密钥加密，对称密钥由非对称密钥协商或由HSM封装传输。

这条路径中，非对称密钥解决“身份与密钥分发”，对称密钥解决“效率”，哈希解决“完整性”，签名解决“不可否认”，MAC解决“对称场景下的完整性”，PKI解决“公钥信任”。

三、案例场景：设备证书签发与双向认证

假设某厂商生产一批HSM设备，需要接入云端管理平台。设备出厂前，产线HSM生成设备密钥对，私钥写入设备HSM内部，公钥导出并生成CSR。CA审核后签发设备证书，证书写入设备。设备上线时与平台进行双向TLS认证：

设备侧：
  1. HSM生成SM2密钥对，私钥句柄=0x01，不可导出
  2. 导出公钥，构造CSR，用私钥签名
  3. 收到CA证书链，写入设备证书存储区
  4. 与平台握手时，调用HSM完成签名运算

平台侧：
  1. 收到设备证书，验证证书链至根CA
  2. 检查CRL/OCSP，确认未吊销
  3. 用设备证书公钥验证握手签名
  4. 协商出对称会话密钥，后续数据用AES-GCM加密

这个场景中，HSM承担了私钥生成、签名、解密、对称密钥封装等关键操作；PKI承担了身份绑定和信任传递；哈希和MAC保证了握手报文和会话数据的完整性。

四、误区与复盘：常见理解偏差

误区1：把MAC当数字签名用。MAC使用对称密钥，双方都能生成，无法向第三方证明“只有某一方签过”。需要不可否认性时必须用数字签名。
误区2：认为哈希能提供身份认证。哈希只保证数据未被篡改，不绑定身份。必须配合签名或MAC才能认证来源。
误区3：把证书当密钥。证书只包含公钥和身份信息，私钥始终在HSM内。证书可公开，私钥不可导出。
误区4：忽略吊销检查。证书在有效期内也可能被吊销，必须检查CRL或OCSP，否则信任链验证不完整。

构件	密钥类型	HSM中的关键操作	典型用途	是否提供不可否认性
对称加密	对称密钥	生成、加密、解密、封装	会话数据、存储加密	否
非对称加密	公钥/私钥	密钥对生成、私钥解密	密钥协商、密钥传输	否
哈希	无密钥	摘要计算	完整性校验、签名预处理	否
数字签名	私钥/公钥	私钥签名、公钥验签	设备身份认证、固件签名	是
MAC	对称密钥	生成、验证	报文完整性、会话认证	否
PKI	证书/CA私钥	CA私钥保护、证书签发	公钥信任、身份绑定	依赖签名

复盘来看，HSM设备身份与证书管理的核心不是“用了哪种算法”，而是“密钥在哪里、谁能调用、信任如何建立”。对称加密和非对称加密解决数据保护与密钥分发，哈希和MAC解决完整性，数字签名解决不可否认，PKI解决公钥信任。HSM把私钥和CA密钥锁在安全边界内，使这些密码学构件从理论变成可审计、可管控的工程能力。