1. SM2 算法概述：国密标准背景、算法原理与对比分析

各位同学，咱们今天正式开讲 SM2。说实话，我第一次接触 SM2 是在一个政府项目里——客户明确要求必须用国密算法，不能用 RSA 或 ECDSA。当时我还在想，这 SM2 跟 ECC 到底有啥区别？后来深入研究才发现，SM2 本质上就是一套基于椭圆曲线的密码体系，但它做了很多针对性的优化。

好，咱们先捋清楚几个核心问题：SM2 从哪来？它怎么工作的？跟 RSA、ECC 比到底好在哪？

1.1 国密标准背景

SM2 是国家密码管理局在 2010 年发布的椭圆曲线公钥密码算法标准，标准号是 GM/T 0003-2012。说白了，这就是咱们国家自己的「RSA + ECDSA + ECDH」合体方案。

为什么要搞自己的标准？我个人的理解是：

安全自主可控——RSA 和 ECC 的专利、参数都由国外机构控制，关键基础设施不能依赖别人
算法强度对标国际——SM2 使用 256 位素域椭圆曲线，安全性与 3072 位 RSA 相当
合规要求——等保 2.0、密评、政务系统都明确要求优先采用国密算法

核心要点：SM2 不是「另起炉灶」，而是基于国际公认的椭圆曲线密码学原理，在曲线参数、签名流程、密钥格式上做了国标化定义。你在项目中遇到「必须过密评」的场景，SM2 就是首选。

1.2 SM2 椭圆曲线密码算法原理

SM2 的核心数学基础是椭圆曲线上的离散对数问题。嗯，这里我不打算堆公式，咱们用最直白的方式理解。

椭圆曲线长这样：y² = x³ + ax + b，SM2 选了一条特定的曲线，参数是：

素域大小 p = 0xFFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFF
系数 a = 0xFFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFC
系数 b = 0x28E9FA9E 9D9F5E34 4D5A9E4B CF6509A7 F39789F5 15AB8F92 DDBCBD41 4D940E93
基点 G = (x_G, y_G)，阶 n = 0xFFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF 7203DF6B 21C6052B 53BBF409 39D54123

你可能会问：「这些参数怎么来的？」其实 SM2 的曲线参数经过了严格的安全性验证，包括抵抗 MOV 攻击、异常曲线攻击等。我在做密钥生成模块时，就踩过一个坑——必须验证公钥是否在曲线上，否则可能被注入无效曲线攻击。

SM2 算法包含三个子功能：

数字签名算法（SM2-SM3）——签名、验签，用于身份认证和完整性保护
密钥交换协议（SM2-KE）——双方协商会话密钥，防中间人攻击
公钥加密算法（SM2-ENC）——加密、解密，用于数据机密性保护

避坑指南：SM2 签名时使用了 SM3 哈希算法，而不是 SHA-256。我曾经在对接某厂商的加密机时，对方默认用了 SHA-256 做哈希，结果验签一直失败。记住：SM2 签名必须搭配 SM3，这是国标规定的。

咱们来看一个 SM2 密钥生成的 Python 示例（使用 gmssl 库）：

from gmssl import sm2

# SM2 推荐曲线参数（来自国标）
sm2_crypt = sm2.CryptSM2(
    public_key='',
    private_key=''
)

# 生成密钥对
private_key = sm2_crypt.generate_private_key()
public_key = sm2_crypt._kg(int(private_key, 16), sm2_crypt.ecc_table['g'])

print(f'私钥: {private_key}')
print(f'公钥: {public_key}')

# 验证公钥是否在曲线上
if sm2_crypt._on_curve(public_key):
    print('公钥有效，在曲线上')
else:
    print('公钥无效！')

这段代码虽然简单，但包含了两个关键点：私钥是随机生成的 256 位整数，公钥是通过基点 G 的标量乘法计算出来的。你想想看，如果私钥的随机性不够，比如用了 random.randint 而不是密码学安全的随机数生成器，那密钥就废了。

警告：生产环境中绝对不要用 Python 内置的 random 模块生成 SM2 私钥！必须使用 os.urandom、secrets 或硬件随机数发生器。我在一次代码审计中见过有人用 random.seed(1234) 生成密钥对，结果所有「随机」私钥都是可预测的——这是灾难性的安全漏洞。

1.3 SM2 与 RSA / ECC 的对比分析

好，咱们来做个硬核对比。很多同学问我：「SM2 跟 ECC 到底是不是一回事？」我的回答是：SM2 是 ECC 的一种具体实现，但它在参数选择、签名流程、密钥格式上跟国际 ECC（如 secp256r1）有差异。

直接上表格，一目了然：

对比维度	SM2（256位）	RSA（3072位）	ECC（secp256r1）
密钥长度	私钥 32 字节，公钥 64 字节	私钥 512 字节，公钥 384 字节	私钥 32 字节，公钥 64 字节
签名长度	64 字节（r + s）	384 字节	64 字节（r + s）
安全强度	128 位	128 位	128 位
签名速度	快（约 2000 次/秒）	慢（约 200 次/秒）	快（约 2200 次/秒）
验签速度	快（约 1000 次/秒）	快（约 8000 次/秒）	快（约 1100 次/秒）
哈希算法	SM3（256 位）	SHA-256 等	SHA-256 等
标准化组织	中国国家密码管理局	RSA Laboratories	NIST / SECG
专利状态	国内免费	已过期	部分专利有效

从表格能看出几个关键点：

密钥长度优势——SM2 和 ECC 的密钥比 RSA 小一个数量级，存储和传输成本低得多。我在嵌入式设备上做过测试，RSA 3072 位的公钥证书有 500 多字节，而 SM2 证书只有 120 字节左右——这对 IoT 设备来说差距巨大。
签名速度优势——SM2 签名比 RSA 快 10 倍左右，但验签比 RSA 慢。为什么？因为 RSA 验签只需要一次模幂运算，而 SM2 验签需要两次标量乘法。不过在实际系统中，签名通常由服务端执行，验签由客户端执行，所以这个差异需要根据场景权衡。
与 ECC 的差异——SM2 和 secp256r1 都是 256 位椭圆曲线，安全强度相同。但 SM2 的曲线参数不同，签名流程中加入了用户 ID 和 Z 值计算，这是 SM2 特有的「签名者身份绑定」机制。说白了，SM2 签名天然包含了签名者的身份信息，能防止签名重用攻击。

我的建议：如果是国内合规项目，直接上 SM2，别折腾 RSA 或国际 ECC。如果是海外项目或需要与现有系统兼容，可以考虑 ECC（secp256r1）。但如果你问我个人偏好——我更喜欢 SM2，因为它的签名流程更严谨，Z 值机制能避免很多签名伪造攻击。

最后，咱们用一张 SVG 图来总结 SM2 在整个密码体系中的位置：

这张图把 SM2 的三个子功能和国际算法的对应关系都标出来了。你可以看到，SM2 不是凭空造出来的，它对标的是 RSA + ECDSA + ECDH 这套组合拳，但在签名流程中加入了 Z 值计算——这是 SM2 最巧妙的设计之一。

📚 课程目录

1. SM2 算法概述：国密标准背景、算法原理与对比分析

1.1 国密标准背景

1.2 SM2 椭圆曲线密码算法原理

1.3 SM2 与 RSA / ECC 的对比分析