SM2/SM3/SM4算法体系与密码学基础第02页：算法体系与密码学基础

01 · SM2椭圆曲线公钥算法详解

1.1 算法定位与标准族

SM2是基于椭圆曲线离散对数问题（ECDLP）的公钥密码算法，其推荐参数定义在256比特素域（GF(p)）上，整体安全强度约128比特。SM2于2010年底由国家密码管理局发布，2012年成为密码行业标准GM/T 0003-2012，2016—2017年转化为国家标准系列GB/T 32918（五个部分）：第1部分总则（GB/T 32918.1-2016，2016-08-29发布、2017-03-01实施）、第2部分数字签名算法、第3部分密钥交换协议、第4部分公钥加密算法、第5部分参数定义（GB/T 32918.5-2017）。同一套曲线参数支撑签名、密钥交换、加密三大功能，这是SM2区别于"签名一套参数、加密一套参数"传统做法的工程优势。

1.2 SM2数字签名算法（GB/T 32918.2）

SM2签名采用ECDSA类似的随机数参与结构，但引入了两个显著设计特征：

• Z值预处理（用户标识绑定）：签名前先计算 Z = SM3(ENTL‖ID‖a‖b‖x_G‖y_G‖x_A‖y_A)，即把签名者身份标识（默认ID为1234567812345678的ASCII码）、椭圆曲线参数与签名者公钥一次性杂凑进消息预处理值——天然实现"签名绑定特定主体与特定参数集"，可抵抗跨参数集/跨主体的签名移植攻击。待签名消息实际参与运算的是 SM3(Z‖M)。
• 签名方程与验证方程：签名产生 (r, s) 两个256比特整数；验证时通过椭圆曲线多倍点运算恢复点并校验 r 的一致性。签名值为64字节（r‖s拼接），显著小于RSA-2048签名的256字节。

Z = SM3( ENTL ‖ ID ‖ a ‖ b ‖ xG ‖ yG ‖ xA ‖ yA )
    │      │     │    │   │    │    │    └─ 签名者公钥y坐标
    │      │     │    │   │    │    └────── 签名者公钥x坐标
    │      │     │    │   │    └─────────── 基点G的y坐标
    │      │     │    │   └──────────────── 基点G的x坐标
    │      │     │    └──────────────────── 曲线方程系数b
    │      │     └────────────────────────── 曲线方程系数a
    │      └──────────────────────────────── 用户标识（默认1234567812345678）
    └─────────────────────────────────────── ID比特长度的2字节表示
e = SM3(Z ‖ M)   ← 实际参与签名的消息摘要

1.3 SM2密钥交换协议（GB/T 32918.3）

SM2密钥交换是1轮（两次消息传递）的双方密钥协商协议，结合静态密钥对（长期身份密钥）与临时密钥对（会话密钥），协商结果同时包含会话密钥与对双方身份的隐式认证。临时密钥对的引入使协议在双方诚实执行时具备前向安全性：长期私钥泄露不直接暴露已协商的会话密钥。该协议用于TLCP握手（第4页）中的密钥协商过程，是国密传输加密的密钥来源。

1.4 SM2公钥加密算法（GB/T 32918.4）

SM2加密是ElGamal型椭圆曲线公钥加密：密文结构为 C1‖C3‖C2——C1为随机产生的椭圆曲线点（65字节未压缩），C3为校验值 SM3(x2‖M‖y2)（32字节，用于完整性校验），C2为与明文等长的异或密文。注意GB/T 32918.4-2016规定的标准顺序为C1C3C2，而早期部分实现曾采用C1C2C3顺序，互操作时须严格对齐标准，否则校验失败——这是国密互联互通中著名的"坑点"之一。加密能力主要用于密钥封装与数字信封场景，大数据量加密仍以"SM2封装会话密钥 + SM4加密数据"的混合模式为主。

02 · SM3杂凑算法

2.1 算法结构

SM3（GB/T 32905-2016，行标GM/T 0004-2012）是输出256比特的密码杂凑算法，采用Merkle–Damgård迭代结构：消息按512比特分组，经消息扩展（每分组扩展为132个32比特字）后执行64轮压缩函数。压缩函数为非对称Feistel-like结构，使用P0/P1置换、布尔函数FF/GG与循环移位组合，设计上吸收了SHA-2家族的经验并对消息扩展与压缩路径作了差异化设计。

2.2 功能定位与用量

SM3与SHA-256同为256比特输出、相近安全量级（约128比特抗碰撞），但压缩函数与消息扩展设计不同，二者输出不兼容。互操作注意：部分协议场景（如早期TLCP实现）存在SHA-256与SM3混用的过渡形态，改造审计时应确认摘要算法的全链路一致性。

2.3 国际标准化

SM3已作为ISO/IEC 10118-3:2018《信息安全技术 杂凑函数 第3部分：专用杂凑函数》的一部分发布，成为国际标准杂凑函数之一。

03 · SM4分组密码算法

3.1 算法结构

SM4（GB/T 32907-2016，行标GM/T 0002-2012）是分组长度为128比特、密钥长度128比特的分组密码，采用32轮非平衡Feistel结构：轮函数由S盒代换、线性变换L与轮密钥异或构成，加解密使用同一结构（轮密钥逆序即可解密，属对合性设计）。S盒为8进8出固定置换，其设计具有抗差分/线性分析的公开分析基础。

3.2 工作模式

SM4的算法性能在通用CPU上经SIMD优化后可达较高吞吐，亦有多项硬件实现（密码卡、服务器密码机内置SM4引擎）。实现合规注意：商用密码产品中的SM4实现须通过国家密码管理部门的检测认证，自研实现用于生产系统前应评估合规路径（详见第7页密评）。

04 · 算法组合与密码套件

4.1 国密套件命名规则

国密传输套件沿用国际惯例以"密钥交换_加密_杂凑"三段命名。TLCP（GB/T 38636-2020）定义的套件族包括基于ECC（SM2证书）与IBC（SM9标识）两类认证模式；IETF RFC 8998则在TLS 1.3框架下定义了两个国密套件：

在RFC 8998中，SM2曲线作为命名曲线curveSM2（0x0029）注册，签名方案sm2sig_sm3（0x0708）表示"SM3的SM2签名"。这与GB/T 33560-2017《密码应用标识规范》定义的OID体系并行：SM2算法OID为1.2.156.10197.1.301，SM3为1.2.156.10197.1.401，sm2-with-sm3签名算法为1.2.156.10197.1.501。

4.2 典型混合加密流程

05 · 安全性分析与实现要点

5.1 安全强度对标

5.2 实现层风险清单

5.3 开源与商用实现生态

• OpenSSL：自1.1.1版本起内置SM2/SM3/SM4算法支持，为国际生态提供国密算法底座（但协议层国密套件需Tongsuo等分支）。
• Tongsuo（铜锁）：蚂蚁集团开源的OpenSSL衍生项目，提供NTLS/TLCP双证书协议栈与RFC 8998套件支持，是当前国密TLS服务端改造的主流开源选项之一。
• GmSSL：北京大学牵头的国密开源实现，支持GB/T 38636-2020套件与多种国密协议；另有TASSL（腾讯）、gmgo（Go语言国密栈）等。
• Bouncy Castle：Java生态广泛使用的密码库，提供SM2/SM3/SM4与国密X.509扩展支持，常用于电子签章与PKI工具开发。
• 商用密码产品：SSL VPN安全网关、服务器密码机、签名验签服务器等须经国家密码管理部门检测认证（商用密码产品认证），选型应以合规目录为准（第5、7页）。

06 · SM算法族国际标准化进程

SM算法族的国际标准化是"算法层互认"的重要里程碑，但其边界须准确理解（算法标准化≠信任互认，详见第1页误区辨析）：

07 · SM2推荐参数与安全量级速览

7.1 推荐曲线参数要点（GB/T 32918.5-2017）

SM2推荐参数定义在256比特素域F_p上：大素数p、曲线方程y²=x³+ax+b的系数a与b、基点G=(x_G,y_G)、G的阶n（约256比特素数）以及余因子h=1，均以十六进制在标准正文中给出。余因子h=1是重要工程性质：基点阶为素数且与曲线阶相等，不存在有效小子群，可免疫小子群攻击类缺陷。工程实现应直接引用GB/T 32918.5-2017标准附录中的参数常量，禁止自行构造或修改参数。

7.2 与主流公钥算法安全量级对标

注：安全量级为密码学界通行的近似估算（NIST SP 800-57等公开资料口径）；尺寸为典型编码值。

本节参考来源（本页）

以下均为真实可查的权威来源，用于支撑本页算法机制与标准化事实。