4. SM2非对称加密算法：椭圆曲线上的密码艺术

SM2算法，说白了就是咱们国家自己的椭圆曲线密码体系。我在做等保合规项目时，经常遇到客户问：“SM2和RSA到底差在哪？”嗯，今天咱们就把SM2的底裤扒干净——从数学原理到代码实现，一条龙讲透。

核心认知：SM2基于椭圆曲线离散对数难题（ECDLP），256位密钥的安全强度相当于3072位RSA。密钥更短，性能更好，这是它最大的优势。

4.1 椭圆曲线原理：一条曲线撑起的安全体系

椭圆曲线不是椭圆，而是一条方程：y² = x³ + ax + b。SM2用的是国家密码管理局指定的标准曲线参数，我习惯叫它“国密曲线”。

为什么这条曲线能用来加密？因为曲线上点的加法运算构成一个群。两个点相加得到第三个点，这个过程很难逆向推导。你想想看，给你一个点G，让你算nG很容易；但给你nG和G，让你反推n——这就是椭圆曲线离散对数问题，目前没有多项式时间解法。

SM2曲线的具体参数（我直接贴出来，项目里经常要用）：

p = 0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFF
a = 0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFC
b = 0x28E9FA9E9D9F5E344D5A9E4BCF6509A7F39789F515AB8F92DDBCBD414D940E93
Gx = 0x32C4AE2C1F1981195F9904466A39C9948FE30BBFF2660BE1715A4589334C74C7
Gy = 0xBC3736A2F4F6779C59BDCEE36B692153D0A9877CC62A474002DF32E52139F0A0
n = 0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFF7203DF6B21C6052B53BBF40939D54123

我的经验：这些参数千万别自己手敲，直接从国密标准文档复制。我曾经见过有人把Gx敲错一位，结果整个密钥对都不对，排查了整整一下午。

4.2 密钥对生成：从私钥到公钥的映射

密钥对生成流程其实很简单：

  1. 生成私钥：在[1, n-1]范围内随机选一个大整数d
  2. 计算公钥：P = d * G（椭圆曲线上的标量乘法）
  3. 输出：私钥d（256位），公钥P（两个256位坐标，共512位）

这里有个坑——随机数生成器必须用密码学安全的。我见过有人用Python的random.randint()生成私钥，结果被攻击者用统计方法猜出来了。记住，一定要用secrets模块或者os.urandom。

import secrets
from gmssl import sm2

# 生成SM2密钥对
private_key = secrets.token_hex(32)  # 32字节 = 256位
sm2_crypt = sm2.CryptSM2(private_key=private_key)
public_key = sm2_crypt._kg(int(private_key, 16), sm2_crypt.ecc_table['g'])

print(f"私钥: {private_key}")
print(f"公钥: {public_key}")

注意：私钥必须妥善保管，泄露等于把资产拱手送人。公钥可以公开，但不要用公钥反推私钥——椭圆曲线离散对数问题保证这不可行。

4.3 SM2加密与解密流程

SM2加密不是直接用公钥加密数据，而是用“混合加密”策略。我刚开始学的时候也困惑过，为什么不能像RSA那样直接加密？因为椭圆曲线点运算太慢了，加密长数据不现实。

加密流程分三步：

  1. 生成临时密钥对：随机生成临时私钥k，计算临时公钥R = k * G
  2. 派生共享密钥：用临时私钥k和接收方公钥P计算共享点S = k * P，再用KDF派生对称密钥
  3. 加密数据：用对称密钥加密明文，输出密文C和哈希值

解密就是逆向操作：用接收方私钥d和临时公钥R计算共享点S = d * R，派生对称密钥，解密得到明文。

# SM2加密示例
plaintext = "国密算法实战"
ciphertext = sm2_crypt.encrypt(plaintext.encode())
print(f"密文: {ciphertext.hex()}")

# SM2解密示例
decrypted = sm2_crypt.decrypt(ciphertext)
print(f"解密结果: {decrypted.decode()}")

避坑指南：我曾经在项目中遇到解密失败的问题，排查后发现是KDF的输入参数顺序错了。SM2标准对KDF的输入有严格规定——Z坐标在前，X坐标在后，千万别搞反。

4.4 SM2数字签名与验签

数字签名是SM2最常用的功能。我做过一个电子合同系统，签名验签是核心流程。SM2签名算法基于Schnorr签名变体，比ECDSA更简洁。

签名流程：

  1. 计算消息哈希值e = H(M)
  2. 生成随机数k，计算椭圆曲线点(x1, y1) = k * G
  3. 计算r = (e + x1) mod n，如果r=0或r+k=n则重新生成k
  4. 计算s = ((1 + d)⁻¹ * (k - r * d)) mod n，如果s=0则重新生成k
  5. 输出签名(r, s)

验签流程：

  1. 检查r, s是否在[1, n-1]范围内
  2. 计算t = (r + s) mod n，如果t=0则验签失败
  3. 计算椭圆曲线点(x1, y1) = s * G + t * P
  4. 计算R = (e + x1) mod n，如果R == r则验签通过
# SM2签名示例
message = "这是一份重要合同"
signature = sm2_crypt.sign(message.encode(), private_key)
print(f"签名: r={signature[0]}, s={signature[1]}")

# SM2验签示例
is_valid = sm2_crypt.verify(signature, message.encode(), public_key)
print(f"验签结果: {'通过' if is_valid else '失败'}")

安全警告：签名时使用的随机数k绝对不能重复使用！如果两次签名用了相同的k，攻击者可以直接算出私钥。2010年索尼PS3就是因为这个漏洞被破解的，损失惨重。

4.5 SM2知识体系总览

下面这张图把SM2的核心知识点串起来了，我建议你保存下来当速查表：

SM2非对称加密算法知识体系 SM2 椭圆曲线密码 密钥对生成 加密与解密 数字签名与验签 私钥 d ∈ [1, n-1] 公钥 P = d * G 临时密钥对 (k, R) 共享点 S = k * P KDF派生对称密钥 消息哈希 e = H(M) 签名 (r, s) 验签 R == r ? 核心安全假设：椭圆曲线离散对数问题（ECDLP） 已知G和nG，求n在计算上不可行。256位SM2 ≈ 3072位RSA安全强度

4.6 Python实现SM2完整示例

最后，我贴一个完整的SM2工具类。这个代码我在多个项目里复用过，你直接拿去用就行：

from gmssl import sm2, func
import secrets

class SM2Tool:
    def __init__(self):
        self.private_key = secrets.token_hex(32)
        self.sm2_crypt = sm2.CryptSM2(
            private_key=self.private_key
        )
        self.public_key = self.sm2_crypt._kg(
            int(self.private_key, 16),
            self.sm2_crypt.ecc_table['g']
        )

    def encrypt(self, data: bytes) -> bytes:
        """SM2加密"""
        return self.sm2_crypt.encrypt(data)

    def decrypt(self, ciphertext: bytes) -> bytes:
        """SM2解密"""
        return self.sm2_crypt.decrypt(ciphertext)

    def sign(self, message: bytes) -> tuple:
        """SM2签名"""
        return self.sm2_crypt.sign(message, self.private_key)

    def verify(self, signature: tuple, message: bytes) -> bool:
        """SM2验签"""
        return self.sm2_crypt.verify(signature, message, self.public_key)

# 使用示例
tool = SM2Tool()
data = b"国密算法实战"
encrypted = tool.encrypt(data)
decrypted = tool.decrypt(encrypted)
print(f"加密解密测试: {'通过' if decrypted == data else '失败'}")

msg = b"重要消息"
sig = tool.sign(msg)
valid = tool.verify(sig, msg)
print(f"签名验签测试: {'通过' if valid else '失败'}")

我的建议：生产环境中不要直接用gmssl库的底层接口，建议封装一层。这样哪天换库或者升级版本，只需要改内部实现，对外接口不变。我在一个金融项目中就是这么做的，后来从gmssl 1.x升级到2.x，只改了一个文件。

好了，SM2的核心内容就这些。椭圆曲线密码学其实没那么神秘，理解了点加法和标量乘法，剩下的就是标准流程。记住我强调的几个坑——随机数质量、KDF参数顺序、签名k不重复——你在项目里基本不会出大问题。

← 上一章 📖 返回目录 下一章 →