一、SM2算法概述：从标准到实战
各位同学，欢迎来到《国密SM2签名验签开发指南》的第一章。我是你们这门课的主讲，一个在密码学领域摸爬滚打了十几年的老工程师。今天咱们先不急着敲代码，先把SM2这个“主角”的身世、本事和江湖地位聊透。
说实话，我刚入行那会儿，国内密码圈基本是RSA和ECDSA的天下。直到2010年国密标准陆续出台，我才真正开始系统性接触SM2。当时我还在做一个政务系统的安全改造项目，甲方要求必须用国密算法。嗯，那是我第一次被SM2“教育”了一顿——从密钥生成到签名验签，每个环节都跟ECDSA有微妙差异。从那以后，我就养成了一个习惯：搞密码实现，先吃透标准，再动手写代码。
1.1 国密标准背景：为什么要有自己的算法？
国密，全称是国家商用密码算法。说白了，就是咱们国家自己制定的一套密码标准。你可能会问：国际上已经有AES、RSA、ECDSA这些成熟算法了，为什么还要另起炉灶？
原因其实不复杂。我总结三点：
- 自主可控：核心算法掌握在自己手里，不受制于人。我在一个金融项目中就遇到过，对方要求必须使用FIPS 140-2认证的密码模块，但国内采购流程极其复杂。如果用国密，就没这些麻烦。
- 安全合规：等保2.0、密评等法规明确要求关键信息系统使用国密算法。你不合规，项目就过不了验收。
- 后门风险：国际算法虽然公开透明，但谁也不能保证里面没有隐藏的“小九九”。国密算法从设计到实现，全程可控。
目前国密算法家族包括：SM2（公钥密码）、SM3（哈希）、SM4（对称密码）、SM9（标识密码）等。咱们这门课聚焦SM2，它是国密体系中的“门面担当”。
核心要点：国密不是“闭门造车”，而是基于国际公认的密码学原理，结合国内实际需求制定的标准。SM2的数学基础是椭圆曲线，这一点跟ECDSA同源，但具体参数和流程有差异。
1.2 SM2算法特点：它到底强在哪？
SM2是一个公钥密码算法，主要提供三个功能：数字签名、密钥交换和公钥加密。咱们这门课重点讲签名验签，但其他两个功能我也会穿插着提。
SM2的特点，我直接用大白话说：
- 安全性高：SM2使用256位的椭圆曲线，安全强度相当于RSA-3072。换句话说，同样的安全级别，SM2的密钥更短，计算更快。
- 性能优秀：签名验签速度比RSA快一个数量级。我在一个物联网项目中做过对比测试，SM2签名比RSA-2048快3倍以上，验签快5倍以上。
- 国产自主：算法公开，标准明确（GM/T 0003-2012），没有专利壁垒。
- 支持SM3哈希：SM2签名必须搭配SM3哈希算法，形成“SM2+SM3”的黄金组合。
个人经验：我在做移动端签名时，SM2的短密钥优势非常明显。一个SM2公钥只有64字节（未压缩），而RSA-2048公钥是256字节。在带宽受限的场景下，这个差距很关键。
1.3 椭圆曲线密码学基础：SM2的数学“地基”
SM2的底层是椭圆曲线密码学（ECC）。我知道很多同学一听到“椭圆曲线”就头大，觉得数学太深。其实你不需要成为数学家，只要理解几个核心概念就行。
椭圆曲线在密码学中的形式是：y² = x³ + ax + b，其中4a³ + 27b² ≠ 0。SM2使用的曲线参数是国标规定的，具体为：
- 曲线方程：
y² = x³ + ax + b，其中a = FFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFC，b = 28E9FA9E 9D9F5E34 4D5A9E4B CF6509A7 F39789F5 15AB8F92 DDBCBD41 4D940E93 - 基点G：一个固定的点，所有密钥生成都基于它
- 阶n：基点的阶，是一个大素数
- 有限域Fp：p是一个256位的大素数
你可能会问：为什么选这些参数？答案是：这些参数经过精心设计，能抵抗已知的所有攻击方法。我在做安全审计时，最怕看到有人自己“发明”曲线参数——那基本等于在密码学上裸奔。
ECC的核心运算就是标量乘法：Q = k * G。给定私钥k和基点G，计算公钥Q很容易；但给定Q和G，反推k几乎不可能。这就是椭圆曲线离散对数难题（ECDLP），也是SM2安全性的数学保障。
避坑指南：我曾经在一个项目中看到有人直接用OpenSSL的ECC接口，但传入了国标曲线参数。结果呢？签名验签一直失败。原因很简单：OpenSSL默认的ECC实现跟SM2标准在签名流程上有细微差别。所以，不要混用不同标准的ECC实现，除非你确认它们完全兼容。
下面这张图展示了SM2椭圆曲线密码体系的核心结构：
1.4 SM2与RSA/ECDSA对比：谁更胜一筹？
很多同学会问：SM2跟RSA、ECDSA比，到底怎么样？我直接用一个表格说清楚：
| 对比维度 | SM2 | RSA | ECDSA |
|---|---|---|---|
| 数学基础 | 椭圆曲线离散对数 | 大整数分解 | 椭圆曲线离散对数 |
| 密钥长度（安全级） | 256位 ≈ RSA-3072 | 2048/3072位 | 256位 ≈ RSA-3072 |
| 签名速度 | 快（约2ms） | 慢（约10ms） | 快（约2ms） |
| 验签速度 | 快（约3ms） | 快（约0.5ms） | 快（约3ms） |
| 哈希算法 | SM3（必选） | SHA-1/SHA-256（可选） | SHA-1/SHA-256（可选） |
| 标准合规 | 国密GM/T 0003 | PKCS#1 | ANSI X9.62/FIPS 186 |
| 专利风险 | 无（国产自主） | 部分专利已过期 | 有（Certicom专利） |
从表格可以看出：
- SM2 vs RSA：SM2在签名速度和密钥长度上完胜RSA。但RSA的验签速度更快，而且生态更成熟。如果你做的是服务端验签场景（比如CA证书验证），RSA仍然有优势。
- SM2 vs ECDSA：两者数学基础相同，性能接近。但SM2的签名流程与ECDSA有差异（比如SM2签名中使用了用户ID和公钥的哈希值），而且SM2强制绑定SM3哈希。我在一个跨国项目中就踩过坑：用ECDSA的库去验SM2签名，结果验签失败——因为SM2的签名值格式跟ECDSA不一样。
我的建议：如果你的项目需要满足国密合规，直接用SM2，别折腾。如果项目是国际化的，可以考虑ECDSA。但如果你问我个人偏好——我更喜欢SM2，因为它的标准文档写得清晰，实现起来不容易出错。
1.5 本章小结
好了，第一章的内容就到这里。我们聊了：
- 国密标准的背景和必要性
- SM2算法的核心特点
- 椭圆曲线密码学的基础概念
- SM2与RSA/ECDSA的对比