密码学复习——基于素数域的SM2算法

SM2椭圆曲线公钥密码算法

简介：

	SM2 是中国国家密码管理局颁布的中国商用公钥密码标准算法,它是一组椭圆曲线密码算法，其中包含加解密算法、数宇签名算法。
	SM2 算法与与国际标准的 ECC 算法比较:
    (1) ECC 算法通常采用 NIST 等国际机构建议的曲线及参数，而 SM2 算法的参数需要利用一定的算法产生。而由于算法中加入了用户特异性的曲线参数
、基点、用户的公钥点信息，故使得 SM2 算法的安全性明显提高。
	(2) 在 ECC 算法中,用户可以选择 MD5 或 SHA-1 等国际通用的哈希算法。而 SM2算法中则使用 SM3 哈希算法,SM3 算法输出为 256 比特,其安全性
与SHA-256 算法基本相当。
	SM2 算法分为基于素数域和基于二元扩域两种。本节仅介绍基于素数域的 SM2 算法。

基本参数：

基于素数域的SM2算法参数如下：

具体含义：

 $A,B：$使用公钥密码系统的两个用户。
 $a,b：$$Fq$ 中的元素，它们定义 $Fq$上的一条椭圆曲线 $E$。
 $d_B：$用户 $B$ 的私钥。
 $E(Fq)：Fq$上椭圆曲线 $E$ 的所有有理点(包括无穷远点 $O$)组成的集合。
 $Fq：$包含 $q$ 个元素的有限域。
 $G：$椭圆曲线的一个基点，其阶为素数。
 $Hash()：$密码杂凑函数。
 $Hv()：$消息摘要长度为 $v$ 比特的密码杂凑函数。
 $KDF()：$密钥派生函数。
 $M：$待加密的消息。
 $M\prime ：$解密得到的消息。
 $n：$基点 $G$ 的阶( $n$ 是 #$E(Fq)$的素因子)。
 $O：$椭圆曲线上的一个特殊点，称为无穷远点或零点，是椭圆曲线加法群的单位元。
 $P_B：$用户 $B$ 的公钥。
 $q：$有限域 $Fq$ 中元素的数目。
 $x\Vert y：x$ 与 $y$ 的拼接，其中 $x$、$y$ 可以是比特串或字节串。
 $[k]P：$椭圆曲线上点 $P$ 的 $k$ 倍点，即 $[k]P=P+P+\cdot \cdot \cdot +P$，一共 $k$ 个 $P$，$k$ 是正整数。
 $[x,y]：$大于或等于 $x$ 且小于或等于 $y$ 的整数的集合。
 $\lceil x\rceil ：$顶函数，大于或等于x的最小整数。例如$\lceil 7\rceil =7$，$\lceil 8.3\rceil =9$。
 $\lfloor x\rfloor ：$底函数，小于或等于x的最大整数。例如$\lfloor 7\rfloor =7$，$\lfloor 8.3\rfloor =8$。
 #$E(Fq)：E(Fq)$上点的数目，称为椭圆曲线 $E(Fq)$ 的阶。

密钥产生：

  设接收方为 $B$，$B$ 的秘密钥取为 {1，2，···，n-1} 中的一个随机数 $d_B$，记为 $d_B$← ${}_R${1，2，···，n-1}，其中 $n$ 是基点 $G$ 的阶。
  $B$ 的公开钥取为椭圆曲线上的点：
                 $P_B$ = $[d_B]$G
其中 $G$ = $G(x,y)$是基点。

加密算法及流程：

设 $A$ 需要发送的消息为比特串 $M$，$klen$ 为 $M$ 的比特长度。
为了对明文 $M$ 进行加密，作为加密者的用户 $A$ 应实现以下运算步骤：

$A1：$用随机数发生器产生随机数 $k\in [1，n-1]；$
$A2：$计算椭圆曲线点 $C_1=[k]G=(x_1,y_1)$，将 $C_1$ 的数据类型转换为比特串；
$A3：$计算椭圆曲线点 $S=[h]$$P_B$，若 $S$ 是无穷远点，则报错并退出；
$A4：$计算椭圆曲线点 $[k]P_B=(x_2,y_2)$，将坐标 $x_2$、$y_2$ 的数据类型转换为比特串；
$A5：$计算 $t=KDF(x_2\Vert y_2,klen)$，若 $t$ 为全 $0$ 比特串，则返回 $A1$ ；
$A6：$计算 $C_2=M\oplus t；$
$A7：$计算 $C_3=Hash(x_2\Vert M\Vert y_2)；$
$A8：$输出密文 $C=C_1\Vert C_2\Vert C_3。$

下图就是SM2加密算法的流程图：
            

解密算法及流程：

设 $klen$ 为密文中 $C_2$ 的比特长度。
为了对密文 $C=C_1\Vert C_2\Vert C_3$ 进行解密，作为解密者的用户 $B$ 应实现以下运算步骤：

$B1：$从 $C$ 中取出比特串 $C_1$，将 $C_1$的数据类型转换为椭圆曲线上的点，验证 $C_1$ 是否满足椭圆曲线方程，若不满足则报错并退出；
$B2：$计算椭圆曲线点$S=[h]C_1$，若 $S$ 是无穷远点，则报错并退出；
$B3：$计算 $[d_B]C_1=(x_2,y_2)$，将坐标 $x_2、y_2$ 的数据类型转换为比特串；
$B4：$计算 $t=KDF(x_2\Vert y_2,klen)$，若 $t$ 为全 $0$ 比特串，则报错并退出；
$B5：$从 $C$ 中取出比特串 $C_2$，计算 $M\prime =C_2\oplus t$；
$B6：$计算 $u=Hash(x_2\Vert M\prime \Vert y_2)$，从 $C$ 中取出比特串 $C_3$，若 $u$ ̸= $C_3$，则报错并退出；
$B7：$输出明文 $M\prime$。

下图就是SM2解密算法的流程图：
            

  解密的正确性: 因为 $P_B=[d_B]G，C_1=[k]G=(x_1,y_1)$，由解密算法的第(3)步可得
          $[d_B]C_1=[d_B][k]G=[k]([d_B]G)=[k]P_B=(x_2,y_2)$
所以解密算法第(4)步得到的 $t$ 与加密算法第(5)步得到的相等,由 $C，t$，便得到明文 $M$。