1. SM2算法概述：国密标准背景、椭圆曲线密码原理与对比分析

各位同学，咱们今天正式开讲《SM2与TEE结合的安全方案设计》的第一章。说实话，每次讲SM2，我都会想起几年前第一次在项目中落地国密算法时的场景——那时候文档不全，踩了不少坑。今天我把这些经验揉碎了讲给你听，希望能帮你少走弯路。

1.1 国密标准背景：为什么要有自己的密码算法？

先聊聊背景。你可能会问：国际上已经有RSA、ECC这些成熟的公钥密码算法了，为什么中国还要搞一套自己的SM2？

原因其实很直接。密码算法是信息安全的基石，如果完全依赖国外的算法标准，一旦出现地缘政治风险或算法后门，整个国家的金融、政务、通信系统都可能面临威胁。我参与过几个政府级的安全项目，甲方明确要求必须使用国密算法——这不是技术选型问题，而是合规红线。

国密标准由国家密码管理局发布，SM2是其中的公钥密码算法标准（GM/T 0003-2012）。它基于椭圆曲线密码体制，对标国际上的ECC算法，但在曲线参数、签名流程、密钥格式等方面做了自主设计。

目前，SM2已被广泛应用于电子认证、金融IC卡、物联网安全、区块链等领域。我记得有一次做智能电表的安全方案，芯片资源极其有限，SM2的短密钥优势就体现出来了——256位的SM2密钥，安全强度相当于3072位的RSA，存储和计算开销都小得多。

1.2 SM2椭圆曲线密码算法原理

好，咱们进入正题。SM2的核心是椭圆曲线上的离散对数问题。你想想看，为什么椭圆曲线能用来做密码？因为在一个有限域上，给定椭圆曲线上的两个点P和Q，如果Q = kP，想从P和Q反推出k，目前没有多项式时间的有效算法。这就是椭圆曲线密码的安全性根基。

SM2使用的椭圆曲线方程为：

y² = x³ + ax + b   (mod p)

其中参数a、b、p由国家密码管理局定义。具体来说，SM2采用了一条256位的素数域椭圆曲线，参数如下：

参数	值（十六进制）	说明
p	FFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFF	素数模数，256位
a	FFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFC	曲线系数a
b	28E9FA9E 9D9F5E34 4D5A9E4B CF6509A7 F39789F5 15AB8F92 DDBCBD41 4D940E93	曲线系数b
Gx	32C4AE2C 1F198119 5F990446 6A39C994 8FE30BBF F2660BE1 715A4589 334C74C7	基点G的x坐标
Gy	BC3736A2 F4F6779C 59BDCEE3 6B692153 D0A9877C C62A4740 02DF32E5 2139F0A0	基点G的y坐标
n	FFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF 7203DF6B 21C6052B 53BBF409 39D54123	基点G的阶

这些参数是固定的，你不能自己随便改。我曾经见过一个团队为了“优化性能”私自改了曲线参数，结果做出来的签名跟标准SM2完全不兼容——嗯，这种坑咱们不能踩。

SM2的核心操作

SM2主要包含三个功能：密钥生成、数字签名、公钥加密。我挑签名和加密简单说一下。

数字签名（SM2签名算法）：

• 签名者持有私钥d，对消息M生成签名(r, s)
• 验证者使用公钥P = dG，验证签名是否有效
• 签名过程中引入了用户ID和曲线参数，防止签名被重放或伪造

公钥加密（SM2加密算法）：

• 加密方使用接收方公钥P，对明文M加密得到密文C
• 解密方使用私钥d，从密文C中恢复明文M
• 加密过程采用了KDF（密钥派生函数），确保每次加密结果不同

1.3 SM2与RSA/ECC的对比分析

这部分我直接给你一张对比表，一目了然：

对比维度	SM2	RSA	ECC（国际标准）
算法基础	椭圆曲线离散对数	大整数分解	椭圆曲线离散对数
密钥长度（安全等价）	256位	3072位	256位
签名长度	64字节	256字节	64字节
加密速度	较快	慢（尤其私钥操作）	较快
签名速度	快	慢	快
验签速度	快	快	快
标准自主性	中国国标，完全自主	国际标准，美国主导	国际标准，NIST/ANSI
抗量子攻击	否（与ECC相同）	否	否
国内合规性	金融、政务等强制要求	部分场景受限	部分场景受限

从这张表你能看出几个关键点：

• 安全强度相当：256位SM2 ≈ 256位ECC ≈ 3072位RSA。但SM2和ECC的密钥更短，计算更快。
• 签名效率优势明显：SM2签名比RSA快一个数量级。我在做高性能签名服务器时，SM2的TPS能达到RSA的3-5倍。
• 合规是硬门槛：在国内做金融、政务、关键基础设施项目，SM2是必选项。这不是技术问题，是政策问题。

1.4 SM2算法体系结构图

下面我用一张SVG图把SM2的整体结构梳理一下，方便你建立全局认知：

这张图把SM2的三大功能模块和它们依赖的数学基础串起来了。你注意看底部的说明框——椭圆曲线离散对数问题（ECDLP）是整个SM2的安全基石。只要ECDLP难解，SM2就是安全的。目前来看，256位的SM2在经典计算下是安全的，但量子计算一旦成熟，ECDLP也能被Shor算法攻破——嗯，那是后话了，咱们这门课主要讲经典安全场景。

1.5 我的选型建议

最后，结合我这些年的项目经验，给你几个选型建议：

• 国内合规项目：无脑选SM2。别问为什么，问就是政策要求。
• 性能敏感场景：SM2比RSA快，尤其签名操作。如果每秒需要处理上万次签名，SM2是更好的选择。
• 资源受限设备：SM2的256位密钥比RSA的3072位密钥小得多，存储和传输都省。
• 国际互通场景：如果必须跟海外系统对接，可能需要同时支持SM2和ECC。我做过一个跨境支付项目，两边各维护一套密钥体系，中间用网关做转换——麻烦是麻烦了点，但合规和安全都得兼顾。