簡介面向需要在 C#/.NET 項目中落地國密算法的開發(fā)者與學(xué)習(xí)者這套代碼示例圍繞 SM2、SM3、SM4 三種算法給出可運(yùn)行的 WinForm 演示幫助理解密鑰生成、簽名驗(yàn)簽、摘要計算及分組加解密的調(diào)用方式。壓縮包共 51 個文件約 5.33MB主體為 cs 源碼、resx 界面資源、dll 依賴庫與 exe 可執(zhí)行程序并附帶解決方案與項目配置便于在 Visual Studio 中打開、調(diào)試和二次改造。內(nèi)容涵蓋算法工具類、窗體交互邏輯及 BouncyCastle 加密庫引用讀者可對照界面操作觀察各算法的輸入輸出與參數(shù)配置快速梳理國密功能從界面到核心實(shí)現(xiàn)的代碼路徑。已有 1316 人學(xué)習(xí)下載適合作為 C# 國密入門、課程實(shí)驗(yàn)或業(yè)務(wù)模塊預(yù)研的參考樣例。1. 一次驗(yàn)簽失敗的聯(lián)調(diào)這套 C# 國密算法庫到底補(bǔ)的是哪個洞對接一個內(nèi)部系統(tǒng)的簽名接口對方說只收國密算法SM2 簽名加 SM3 摘要報文用 SM4 加密。很多人第一反應(yīng)是在項目里搜一下有沒有現(xiàn)成的算法包結(jié)果發(fā)現(xiàn)可用的 C# 國密算法實(shí)現(xiàn)要么只覆蓋其中一兩種要么把密鑰編碼、密文排列這些細(xì)節(jié)隱藏了起來等到對方驗(yàn)簽失敗就無從查起。這套包含 SM2、SM3、SM4 的 C# 實(shí)現(xiàn)價值在于把曲線參數(shù)、補(bǔ)位規(guī)則、ZA 值計算、C1C3C2 排列這些容易被第三方庫隱藏起來的部分全部展開成可讀代碼。適合正在做國密改造的后端開發(fā)也適合想搞清楚算法內(nèi)部機(jī)理、準(zhǔn)備自己動手增加支持的工程師。2. 目錄與運(yùn)行SM2/SM3/SM4 三套算法在工程里怎么分家2.1 三層拆分算法內(nèi)核、編碼適配、調(diào)用入口這類 C# 國密庫的目錄結(jié)構(gòu)通常分成三層這個劃分方式雖然簡單但基本不會出錯。算法內(nèi)核只關(guān)心數(shù)學(xué)和字節(jié)操作不接觸任何 IO編碼層負(fù)責(zé)十六進(jìn)制、Base64、ASN.1/DER、PEM 之間的轉(zhuǎn)換調(diào)用入口負(fù)責(zé)把參數(shù)整理好丟給內(nèi)核。第一次閱讀源碼時按這個順序看比從 Program.cs 往下追要快得多。SmCrypto/ ├── src/ │ ├── SmCrypto.Core/ # 純算法無外部依賴 │ │ ├── Sm2/ │ │ │ ├── Sm2Curve.cs # 曲線參數(shù)、點(diǎn)運(yùn)算、點(diǎn)乘 │ │ │ ├── Sm2.cs # 簽名驗(yàn)簽、加解密、KDF │ │ │ └── Sm2KeyPair.cs # 密鑰生成與公私鑰解析 │ │ ├── Sm3/ │ │ │ └── Sm3.cs # 常量、填充、壓縮函數(shù) │ │ ├── Sm4/ │ │ │ ├── Sm4.cs # 輪函數(shù)、單分組加解密 │ │ │ ├── Sm4Constants.cs # S 盒、FK、CK │ │ │ └── Sm4Padding.cs # PKCS7 / 無填充 │ │ ├── Encoding/ │ │ │ ├── Hex.cs # 大小寫、帶不帶空格 │ │ │ └── Asn1.cs # DER 序列化給密鑰和簽名用 │ │ └── Utils/ │ │ ├── BigIntegerExtensions.cs# 定長大端轉(zhuǎn)換、模逆 │ │ └── SecureRandom.cs # 密碼學(xué)安全隨機(jī)數(shù) │ └── SmCrypto.Console/ │ └── Program.cs # 手敲的驗(yàn)證入口 └── tests/ └── SmCrypto.Tests/ # 標(biāo)準(zhǔn)測試向量 自身往返測試看這個結(jié)構(gòu)能發(fā)現(xiàn)一個細(xì)節(jié)SM2 單獨(dú)占一個目錄還分了三個文件。原因很實(shí)在SM2 是橢圓曲線算法點(diǎn)運(yùn)算、曲線參數(shù)、業(yè)務(wù)層的簽名驗(yàn)簽是三件不同的事混在一個類里到后面加密鑰交換或者換曲線就麻煩了。SM3 和 SM4 各自只有一個主文件是因?yàn)樗鼈兊膶?shí)現(xiàn)相對獨(dú)立沒有那么多分支。2.2 目標(biāo)框架與依賴為什么寧可手寫也不用系統(tǒng)接口.NET 生態(tài)里做國密有個現(xiàn)實(shí)問題系統(tǒng)自帶的加密接口在多數(shù)版本上沒有覆蓋 SM2、SM3、SM4即使新版本在部分平臺上補(bǔ)了 SM3/SM4Windows 和 Linux 的行為也不完全一致跨平臺部署很容易遇到問題。所以這套實(shí)現(xiàn)選擇純托管代碼零外部依賴System.Numerics.BigInteger就是唯一的大數(shù)工具。目標(biāo)框架怎么選看調(diào)用方。要被老項目引用就多目標(biāo)輸出netstandard2.0加net8.0只做新服務(wù)直接上net8.0省事。真正影響代碼寫法的是這三處關(guān)注點(diǎn)netstandard2.0net8.0大數(shù)System.Numerics.BigInteger同上另有TryWriteBytes定長輸出高性能切片需要System.Memory包原生Spanbyte隨機(jī)數(shù)RNGCryptoServiceProviderRandomNumberGenerator.Fill我一般會統(tǒng)一寫RandomNumberGenerator.Create()拿一個實(shí)例兩個框架都能編譯不用寫#if。這一點(diǎn)看似無關(guān)緊要但真正到適配各個框架版本時這一點(diǎn)會節(jié)省很多時間。提示不要把System.Random用在任何密鑰、k 值、IV 上。它產(chǎn)生的序列可預(yù)測SM2 的 k 一旦可預(yù)測私鑰就等價于公開了。2.3 第一次運(yùn)行先把 SM3 的哈希值打印出來SM2 的調(diào)試成本高因?yàn)樗鼱砍峨S機(jī)數(shù)、點(diǎn)乘、編碼三件事所以第一次運(yùn)行不要碰 SM2先驗(yàn)證 SM3。新建一個控制臺項目引用 Core寫十行代碼using SmCrypto.Core.Sm3; // 標(biāo)準(zhǔn)附錄里的經(jīng)典向量SM3(abc) byte[] digest Sm3.Hash(System.Text.Encoding.ASCII.GetBytes(abc)); System.Console.WriteLine(Hex.ToHex(digest, upper: false));跑起來dotnet run --project src/SmCrypto.Console正常輸出應(yīng)該是66c7f0f462eeedd9d1f2d46bdc10e4e24167c4875cf2f7a2297da02b8f4ba8e0這 64 個十六進(jìn)制字符對上了說明填充邏輯、字節(jié)序、壓縮函數(shù)這三塊沒問題。再補(bǔ)一個長度不是 3 的用例驗(yàn)證填充邊界把a(bǔ)bcd重復(fù) 16 次正好 64 字節(jié)會觸發(fā)多補(bǔ)一整個分組期望結(jié)果debe9ff92275b8a138604889c18e5a4d6fdb70e5387e5765293dcba39c0c5732這兩個值都對SM3 這塊基本可以放心了。SM4 用標(biāo)準(zhǔn)向量key 0123456789abcdeffedcba9876543210、明文與 key 相同單分組加密結(jié)果是681edf34d206965e86b3e94f536e4246同一個塊再加密一次得到595298c7c6fd271f0402f804c33d3f66加解密往返能對回去才能說明輪密鑰沒有寫反。SM2 不適合這么驗(yàn)證后面第 4 章講怎么用往返測試加對方的公鑰做交叉驗(yàn)證。3. SM3 與 SM4從填充到輪函數(shù)兩段能直接抄的 C# 實(shí)現(xiàn)3.1 SM3 的填充與壓縮64 輪里真正在變的是什么SM3 輸出 256 位分組 512 位結(jié)構(gòu)上和常見的哈希算法相近但消息擴(kuò)展和輪函數(shù)里的置換是自己的一套。先看填充這是新手最容易寫錯的地方private static byte[] Pad(byte[] msg) { long bitLen (long)msg.Length * 8; // 比特長度用 long 防止大報文溢出 int padLen 64 - (int)((msg.Length 9) % 64); // 0x80 一字節(jié) 8 字節(jié)長度 if (padLen 64) padLen 0; // 剛好對齊時不再補(bǔ)整塊 byte[] buf new byte[msg.Length 1 padLen 8]; Buffer.BlockCopy(msg, 0, buf, 0, msg.Length); buf[msg.Length] 0x80; // 先補(bǔ)一個 1后面全 0 for (int i 0; i 8; i) buf[buf.Length - 1 - i] (byte)(bitLen (8 * i)); // 大端寫長度 return buf; }bitLen必須用 64 位整型長度字段是大端序這兩點(diǎn)在跨語言對接時最常出錯。padLen那個if判斷也不能少當(dāng)(msg.Length 9) % 64 0時會算出 64如果不處理就會多補(bǔ)一整塊哈希值直接不同。壓縮函數(shù)的核心是消息擴(kuò)展和 64 輪迭代private static void Compress(uint[] v, byte[] block, int offset) { uint[] w new uint[68]; uint[] w1 new uint[64]; for (int i 0; i 16; i) // 前 16 個字直接讀大端 w[i] ReadBe32(block, offset i * 4); for (int j 16; j 68; j) // 擴(kuò)展到 68 個字 w[j] P1(w[j - 16] ^ w[j - 9] ^ Rol(w[j - 3], 15)) ^ Rol(w[j - 13], 7) ^ w[j - 6]; for (int j 0; j 64; j) w1[j] w[j] ^ w[j 4]; // W 只是 W 的異或組合 uint a v[0], b v[1], c v[2], d v[3]; uint e v[4], f v[5], g v[6], h v[7]; for (int j 0; j 64; j) { uint t j 16 ? 0x79cc4519u : 0x7a879d8au; // 前 16 輪與后 48 輪常量不同 uint a12 Rol(a, 12); uint ss1 Rol(a12 e Rol(t, j % 32), 7); uint ss2 ss1 ^ a12; uint ff j 16 ? (a ^ b ^ c) : ((a b) | (a c) | (b c)); uint gg j 16 ? (e ^ f ^ g) : ((e f) | (~e g)); uint tt1 ff d ss2 w1[j]; uint tt2 gg h ss1 w[j]; d c; c Rol(b, 9); b a; a tt1; h g; g Rol(f, 19); f e; e P0(tt2); } v[0] ^ a; v[1] ^ b; v[2] ^ c; v[3] ^ d; // 末態(tài)異或回初值 v[4] ^ e; v[5] ^ f; v[6] ^ g; v[7] ^ h; } private static uint P0(uint x) x ^ Rol(x, 9) ^ Rol(x, 17); private static uint P1(uint x) x ^ Rol(x, 15) ^ Rol(x, 23);這里的參數(shù)說明一下v是 8 個 32 位的初始向量第一塊用固定常量后續(xù)塊用上一塊的輸出Rol(x, n)是 32 位循環(huán)左移n要先% 32否則 C# 的移位運(yùn)算符只取低 5 位Rol(t, j % 32)里的取模不能省。w數(shù)組 68 個字、w1數(shù)組 64 個字這兩個長度是固定的用List或者動態(tài)擴(kuò)容會讓每塊多做幾次分配壓測時差別能看出來。3.2 SM4 輪函數(shù)一個 T 變換貫穿 32 輪SM4 是分組長度 128 位、密鑰長度 128 位的分組密碼加密和解密用同一套輪函數(shù)只是輪密鑰順序反過來。它的全部復(fù)雜度都集中在T變換上// 字節(jié)代換把 32 位字按字節(jié)逐個查 S 盒 private static uint Tau(uint a) ((uint)SBox[(a 24) 0xFF] 24) | ((uint)SBox[(a 16) 0xFF] 16) | ((uint)SBox[(a 8) 0xFF] 8) | SBox[a 0xFF]; // 線性變換加密用 L密鑰擴(kuò)展用 L1少移位一次 private static uint L(uint b) b ^ Rol(b, 2) ^ Rol(b, 10) ^ Rol(b, 18) ^ Rol(b, 24); private static uint L1(uint b) b ^ Rol(b, 13) ^ Rol(b, 23); private static uint T(uint x) L(Tau(x)); // 輪函數(shù)里的合成置換 private static uint T1(uint x) L1(Tau(x)); // 密鑰擴(kuò)展里的合成置換S 盒是 256 字節(jié)的常量表放在Sm4Constants.cs里。寫的時候容易犯的錯是手抄表格抄錯一個字節(jié)結(jié)果只有某些特殊輸入才會出錯極難排查。建議直接從標(biāo)準(zhǔn)文檔復(fù)制然后寫一個單元測試斷言SBox[0] 0xd6、SBox[255] 0x48用首尾兩個值做初步校驗(yàn)。密鑰擴(kuò)展和單分組加解密public static uint[] ExpandKey(byte[] key) { if (key.Length ! 16) throw new ArgumentException(SM4 密鑰必須 16 字節(jié)); uint k0 ReadBe32(key, 0) ^ 0xa3b1bac6; // FK 是四個固定常量 uint k1 ReadBe32(key, 4) ^ 0x56aa3350; uint k2 ReadBe32(key, 8) ^ 0x677d9197; uint k3 ReadBe32(key, 12) ^ 0xb27022dc; uint[] rk new uint[32]; for (int i 0; i 32; i) { uint k4 k0 ^ T1(k1 ^ k2 ^ k3 ^ Ck(i)); // CK 由公式生成不必手寫表 rk[i] k4; k0 k1; k1 k2; k2 k3; k3 k4; } return rk; } // CK[i] (ck0,ck1,ck2,ck3)其中 ck_j ((4i j) * 7) mod 256 private static uint Ck(int i) { uint v 0; for (int j 0; j 4; j) v (v 8) | (uint)(((4 * i j) * 7) 0xFF); return v; } // 加解密共用解密時把輪密鑰倒著傳進(jìn)來即可 public static void CryptBlock(uint[] rk, byte[] input, int inOff, byte[] output, int outOff) { uint x0 ReadBe32(input, inOff); uint x1 ReadBe32(input, inOff 4); uint x2 ReadBe32(input, inOff 8); uint x3 ReadBe32(input, inOff 12); for (int i 0; i 32; i) { uint x4 x0 ^ T(x1 ^ x2 ^ x3 ^ rk[i]); // 一輪只產(chǎn)出一個新字 x0 x1; x1 x2; x2 x3; x3 x4; } // 輸出要反序這一步漏了會得到完全對不上的結(jié)果 WriteBe32(output, outOff, x3); WriteBe32(output, outOff 4, x2); WriteBe32(output, outOff 8, x1); WriteBe32(output, outOff 12, x0); }參數(shù)上要注意兩件事。第一rk是 32 個 32 位輪密鑰加密時正序解密時rk.Reverse()即可不需要另寫一個解密函數(shù)。第二最后輸出必須反序x3 x2 x1 x0這是標(biāo)準(zhǔn)里寫死的反變換很多人在這卡一下午因?yàn)榧用芙Y(jié)果看著“像那么回事”只是每個塊都對不上。3.3 分組模式與填充ECB 之外還得有 CBC 和 PKCS7單分組函數(shù)只是零件實(shí)際報文長度很少正好是 16 的倍數(shù)所以要有模式和填充。ECB 實(shí)現(xiàn)最簡單但同樣的明文塊會得到同樣的密文塊圖片、表格類數(shù)據(jù)一眼就能看出結(jié)構(gòu)業(yè)務(wù)上一般不允許用。CBC 更常見public static byte[] EncryptCbc(byte[] key, byte[] iv, byte[] plain) { if (iv.Length ! 16) throw new ArgumentException(CBC 的 IV 必須 16 字節(jié)); byte[] padded Sm4Padding.Pkcs7(plain, 16); // 補(bǔ)到 16 的倍數(shù) byte[] cipher new byte[padded.Length]; byte[] prev (byte[])iv.Clone(); uint[] rk ExpandKey(key); byte[] block new byte[16]; for (int i 0; i padded.Length; i 16) { for (int j 0; j 16; j) block[j] (byte)(padded[i j] ^ prev[j]); // 先和上一塊密文異或 CryptBlock(rk, block, 0, cipher, i); Buffer.BlockCopy(cipher, i, prev, 0, 16); // 本塊密文成為下一塊的 prev } return cipher; }Sm4Padding.Pkcs7的邏輯是缺 n 字節(jié)就補(bǔ) n 個值為 n 的字節(jié)正好對齊時補(bǔ)一整塊 16 個0x10。這個“正好對齊也要補(bǔ)”的規(guī)則是解密時判斷填充長度的依據(jù)少補(bǔ)這一塊對方解出來的尾巴會被當(dāng)成數(shù)據(jù)。IV 每次加密都要換新的隨機(jī)值跟著密文一起發(fā)過去不需要保密但絕不能固定不變否則相同明文前綴的密文前綴也相同。注意CBC 只保證機(jī)密性不保證完整性。要防篡改還得在密文后面附加 SM3 或 SM2 的校驗(yàn)值或者干脆用 SM2 加密會話密鑰、SM4 加密數(shù)據(jù)的兩段式方案。4. SM2 關(guān)鍵鏈路曲線參數(shù)、ZA 值與密文排列4.1 曲線參數(shù)與密鑰對先把 BigInteger 的字節(jié)序捋順SM2 用的是 256 位素域上的橢圓曲線曲線方程、基點(diǎn)、階都是固定常量直接照標(biāo)準(zhǔn)抄進(jìn)Sm2Curve.cs。真正的坑不在參數(shù)在BigInteger的字節(jié)序C# 的BigInteger內(nèi)部是小端構(gòu)造函數(shù)默認(rèn)還帶符號位而國密的所有數(shù)據(jù)都是大端無符號定長。// 定長 32 字節(jié)大端輸出左側(cè)補(bǔ) 0 補(bǔ)齊 internal static byte[] ToFixed32(BigInteger v) { byte[] raw v.ToByteArray(isUnsigned: true, isBigEndian: true); if (raw.Length 32) return raw; byte[] result new byte[32]; Buffer.BlockCopy(raw, 0, result, 32 - raw.Length, raw.Length); return result; } // 反過來讀的時候也要聲明無符號大端否則最高位為 1 會變成負(fù)數(shù) internal static BigInteger FromFixed32(byte[] buf, int offset) new BigInteger(new ReadOnlySpanbyte(buf, offset, 32), isUnsigned: true, isBigEndian: true);ToFixed32里那個補(bǔ)零動作不能省。橢圓曲線坐標(biāo)偶爾會出現(xiàn)高位為 0 的情況概率大約 1/256如果直接ToByteArray輸出會少一個字節(jié)長度變成 31對方解析直接報錯。這種概率性錯誤最難排查本地跑一百次都好上線跑一萬次報一次。密鑰對生成就是取一個[1, n-1]的隨機(jī)數(shù)當(dāng)私鑰再算d * G得到公鑰點(diǎn)public static (BigInteger d, byte[] publicKey) GenerateKeyPair() { BigInteger d; do { d Sm2Curve.RandomScalar(); } while (d.IsZero || d Sm2Curve.N); var (x, y) Sm2Curve.MultiplyG(d); // 未壓縮點(diǎn)格式04 || X(32) || Y(32)共 65 字節(jié) byte[] pub new byte[65]; pub[0] 0x04; Buffer.BlockCopy(ToFixed32(x), 0, pub, 1, 32); Buffer.BlockCopy(ToFixed32(y), 0, pub, 33, 32); return (d, pub); }公鑰點(diǎn)的序列化格式有三種未壓縮04||X||Y65 字節(jié)、壓縮02/03||X33 字節(jié)、純裸X||Y64 字節(jié)。不同系統(tǒng)默認(rèn)值不一樣聯(lián)調(diào)前先問清對方用哪種或者干脆在庫里三種都支持讀的時候看首字節(jié)判斷。4.2 簽名與驗(yàn)簽ZA 值沒算對后面全白搭SM2 簽名和很多人熟悉的橢圓曲線簽名差別在于被簽的不是消息的哈希而是ZA || M的哈希。ZA是用戶標(biāo)識、曲線參數(shù)、公鑰點(diǎn)的哈希摘要作用是把簽名和具體身份綁定起來。這一步漏了或者用戶 ID 用了默認(rèn)值而對方用的是自己的驗(yàn)簽 100% 失敗而且失敗信息沒有任何提示。// ZA SM3(ENTL || ID || a || b || Gx || Gy || Px || Py) private static byte[] ComputeZa(byte[] userId, BigInteger px, BigInteger py) { int bitLen userId.Length * 8; // ENTL 是 ID 的比特長度2 字節(jié)大端 var ms new MemoryStream(); ms.WriteByte((byte)(bitLen 8)); ms.WriteByte((byte)bitLen); ms.Write(userId); ms.Write(ToFixed32(Sm2Curve.A)); ms.Write(ToFixed32(Sm2Curve.B)); ms.Write(ToFixed32(Sm2Curve.Gx)); ms.Write(ToFixed32(Sm2Curve.Gy)); ms.Write(ToFixed32(px)); ms.Write(ToFixed32(py)); return Sm3.Hash(ms.ToArray()); } public static (BigInteger r, BigInteger s) Sign(byte[] message, BigInteger d, byte[] userId) { var (px, py) Sm2Curve.MultiplyG(d); byte[] za ComputeZa(userId, px, py); // e SM3(ZA || M)再當(dāng)作 256 位大端無符號整數(shù) byte[] digest Sm3.Hash(Concat(za, message)); BigInteger e new BigInteger(digest, isUnsigned: true, isBigEndian: true); while (true) { BigInteger k Sm2Curve.RandomScalar(); var (x1, _) Sm2Curve.MultiplyG(k); BigInteger r (e x1) % Sm2Curve.N; if (r.IsZero || (r k) % Sm2Curve.N 0) continue; // 規(guī)范要求重取 k BigInteger s BigInteger.ModPow(1 d, Sm2Curve.N - 2, Sm2Curve.N) * (k - r * d) % Sm2Curve.N; if (s.Sign 0) s Sm2Curve.N; // C# 取模會保留負(fù)號必須手動修正 if (s.IsZero) continue; return (r, s); } }逐段說明。ComputeZa里的所有長度都必須定長 32 字節(jié)少一位整體就變了所以統(tǒng)一走ToFixed32。默認(rèn)用戶 ID 是 16 字節(jié)的固定字符串很多系統(tǒng)的開放接口就是用它但私有協(xié)議經(jīng)常換成自己的 appId這一項必須和對方確認(rèn)。ModPow(x, n-2, n)是在求模逆因?yàn)閚是素數(shù)費(fèi)馬小定理成立比手寫擴(kuò)展歐幾里得快也不用擔(dān)心邊界。s的負(fù)數(shù)處理是 C# 特有的一處。C# 的%運(yùn)算符對負(fù)數(shù)返回負(fù)值s.Sign 0時加一次n才能回到[0, n-1]。在 Java 或 Python 里寫習(xí)慣的人換到 C# 上很容易忽略這一點(diǎn)結(jié)果只有極少部分簽名是負(fù)數(shù)測試樣本少的時候根本發(fā)現(xiàn)不了。驗(yàn)簽就是反過來算檢查r、s是否在[1, n-1]算t (r s) mod nt 0直接拒然后算點(diǎn)(x1, y1) s*G t*P判斷(e x1) mod n r。4.3 加解密與密文順序C1C3C2 和 C1C2C3 的互相傷害SM2 加密產(chǎn)出的三部分C1是隨機(jī)點(diǎn)kGC2是明文異或 KDF 流C3是校驗(yàn)摘要。老版本標(biāo)準(zhǔn)把順序?qū)懗蒀1C2C3新標(biāo)準(zhǔn)改成C1C3C2兩套在現(xiàn)實(shí)系統(tǒng)里都還在用所以庫里一定要留一個開關(guān)。public static byte[] Encrypt(byte[] message, byte[] publicKey, bool c1c3c2 true) { var (x, y) Sm2Curve.DecodePoint(publicKey); // 04 || X || Y while (true) { BigInteger k Sm2Curve.RandomScalar(); var (x1, y1) Sm2Curve.MultiplyG(k); var (x2, y2) Sm2Curve.Multiply(new Point(x, y), k); byte[] t Kdf(Concat(ToFixed32(x2), ToFixed32(y2)), message.Length); if (t.All(b b 0)) continue; // 全 0 說明 KDF 失效規(guī)范要求重來 byte[] c1 Sm2Curve.EncodePoint(x1, y1); // 65 字節(jié) byte[] c2 Xor(message, t); byte[] c3 Sm3.Hash(Concat(ToFixed32(x2), message, ToFixed32(y2))); return c1c3c2 ? Concat(c1, c3, c2) : Concat(c1, c2, c3); } }KDF 是基于 SM3 的計數(shù)器派生internal static byte[] Kdf(byte[] z, int klen) { byte[] output new byte[klen]; for (int i 0, ct 1; i klen; i 32, ct) { // 計數(shù)器是 4 字節(jié)大端接在共享點(diǎn)后面一起哈希 byte[] h Sm3.Hash(Concat(z, new byte[] { (byte)(ct 24), (byte)(ct 16), (byte)(ct 8), (byte)ct })); Buffer.BlockCopy(h, 0, output, i, Math.Min(32, klen - i)); } return output; }解密的順序是先按配置把三段拆開用C1和自己的私鑰算出共享點(diǎn)(x2, y2)用同樣的 KDF 得到t異或回C2最后重算C3比對。C3比對必須用固定時間比較逐字節(jié)異或累加不要用SequenceEqual提前返回這類細(xì)節(jié)在安全審計時會被挑出來。5. 避坑與排查聯(lián)調(diào)現(xiàn)場最常見的五個問題這一章是整套實(shí)現(xiàn)里最值錢的部分。算法本身照著標(biāo)準(zhǔn)寫就行真正耗時間的是下面這些表現(xiàn)完全一樣、原因各不相同的問題。5.1 驗(yàn)簽一直返回 false但雙方代碼看著都“對”現(xiàn)象自測簽名驗(yàn)簽往返完全正常一旦換成對方給的公鑰就失敗把對方發(fā)來的簽名拿去驗(yàn)也失敗兩邊都不報異常只是布爾值 false。原因九成是 ZA 里的用戶 ID 不一致。默認(rèn) ID 是 16 個字節(jié)的固定串而對方可能用了自己的應(yīng)用標(biāo)識另一個可能是對方把ZA || M里的M先做了 Base64 解碼再哈希而你直接對字符串字節(jié)哈希。解決讓對方明確給出 ID 的原始字節(jié)不是 Base64不是十六進(jìn)制并且約定M到底是原始報文還是某種規(guī)范化之后的字符串。確認(rèn)后先用SM3(ZA)單獨(dú)對比一次把 ZA 的哈希值發(fā)給對方核對這比反復(fù)試簽名快得多。ZA 一致了簽名再不對才是曲線參數(shù)或s負(fù)數(shù)處理的問題。5.2 SM4 加密結(jié)果第一塊對、后面全不對現(xiàn)象16 字節(jié)以內(nèi)的短報文加密結(jié)果和對方一致一旦超過 16 字節(jié)第一塊密文相同第二塊開始全亂。原因CBC 的鏈?zhǔn)疆惢驅(qū)戝e了。常見兩種寫法錯誤一是用明文塊而不是密文塊作為下一輪的prev二是循環(huán)里prev更新寫在異或之前。解決把Buffer.BlockCopy(cipher, i, prev, 0, 16)放在CryptBlock之后、下一輪異或之前中間不要有別的賦值。驗(yàn)證方法是拿 32 字節(jié)的固定輸入手工用第一塊密文異或第二塊明文看結(jié)果是不是和內(nèi)部中間值一致。5.3 SM2 加密偶發(fā)“密文長度不對”重啟又好了現(xiàn)象接口大部分時間正常偶爾報密文長度異常日志里能看到長度是 96 或 98 而期望 97 或 112 之類的值。原因BigInteger.ToByteArray()輸出的長度不固定。坐標(biāo)高位為 0 時會少一個字節(jié)如果沒用isUnsigned: true最高位為 1 時還會多出一個0x00符號字節(jié)。兩種都會讓C1的長度在 64、65、66 之間抖。解決所有點(diǎn)坐標(biāo)輸出統(tǒng)一走定長 32 字節(jié)的轉(zhuǎn)換函數(shù)不要直接調(diào)ToByteArray。再在解碼側(cè)加一層防御讀到C1時按首字節(jié)判斷格式04未壓縮、02/03壓縮、其余按裸坐標(biāo)補(bǔ)齊別硬編碼固定偏移量。5.4 大量數(shù)據(jù)加密時 CPU 打滿單條報文要幾十毫秒現(xiàn)象壓測時 SM4 的吞吐還能接受但整個接口 RT 很高火焰圖顯示時間集中在 SM2 的標(biāo)量乘上。原因一次 SM2 加解密要做兩次點(diǎn)乘kG和kP樸素的雙倍點(diǎn)算法每次都做模逆模逆是這里面最貴的一步另外BigInteger是不可變類型循環(huán)里頻繁產(chǎn)生中間對象GC 壓力也上來了。解決把點(diǎn)運(yùn)算改到雅可比坐標(biāo)下做只在最后一步轉(zhuǎn)回仿射坐標(biāo)一次點(diǎn)乘的模逆從幾百次降到 1 次kG因?yàn)榛c(diǎn)固定可以預(yù)計算一張表做固定窗口加速。業(yè)務(wù)側(cè)更好的做法是不用 SM2 直接加密大報文改成 SM2 加密一把隨機(jī)的 SM4 密鑰數(shù)據(jù)走 SM4性能差距是數(shù)量級的。5.5 升級框架版本后簽名結(jié)果變了現(xiàn)象從舊框架遷到新框架同樣的私鑰、同樣的報文對方突然驗(yàn)簽失敗而自測往返還是通的。原因隨機(jī)數(shù)來源換掉了或者BigInteger的行為在新運(yùn)行時上有細(xì)微差異。更隱蔽的一種是把k寫成了固定值做“可復(fù)現(xiàn)測試”上線忘了改回去兩次簽名用了同一個k從本文還有配套的精品資源點(diǎn)擊獲取