OpenSSL國密算法實戰(zhàn)指南SM2、SM3、SM4 如何驗證環(huán)境與落地使用【免費下載鏈接】opensslGeneral purpose TLS and crypto library項目地址: https://gitcode.com/GitHub_Trending/ope/openssl本文圍繞 OpenSSL 對國密算法 SM2、SM3、SM4 的支持展開先教你一條命令確認(rèn)本機(jī)支持哪些國密算法再演示 SM2 密鑰生成與帶 ID 的簽名驗簽、SM3 摘要、SM4 各模式文件加密最后簡要說明這些能力在源碼中如何注冊、有哪些硬件加速以及踩坑時該注意什么。 一分鐘驗證本機(jī) OpenSSL 支持哪些國密算法三個算法能力都在默認(rèn) provider 里注冊源碼見 providers/defltprov.c。先跑兩條只讀命令確認(rèn)算法在你編譯版本里可用openssl list -public-key-algorithms | grep SM2 openssl list -cipher-algorithms | grep SM4輸出里能看到SM2: 1.2.156.10197.1.301、SM4-GCM: 1.2.156.10197.1.104.8這類 OID說明對應(yīng)算法已編譯進(jìn)庫。摘要側(cè)同理openssl list -digest-algorithms | grep SM3這些名稱與 OID 的映射定義在 providers/implementations/include/prov/names.h排查算法找不到問題時可以直接對照。如果 grep 無結(jié)果通常是編譯時通過no-sm2、no-sm3、no-sm4配置項禁用了算法重新配置構(gòu)建即可無需改代碼。 SM2生成密鑰、帶 ID 簽名與驗簽SM2 用于簽名和加解密OpenSSL 在默認(rèn) provider 中同時注冊了 SM2 的簽名、非對稱加解密和密鑰管理三組功能providers/defltprov.c。生成密鑰對并分離公鑰兩條命令openssl genpkey -algorithm SM2 -out sm2_priv.pem openssl pkey -in sm2_priv.pem -pubout -out sm2_pub.pem簽名時有一個容易踩坑的點SM2 簽名必須帶身份標(biāo)識ID驗簽時 ID 必須與簽名時一致。用pkeyutl完成openssl pkeyutl -sign -inkey sm2_priv.pem -rawin 1234567812345678 -in data.txt -out data.sig這里的-rawin指定身份標(biāo)識字符串。對應(yīng)地SM2 的默認(rèn)摘要算法是 SM3見 doc/man1/openssl-pkeyutl.pod.in-rawin指定的 ID 需與簽名時一致openssl pkeyutl -verify -pubin -inkey sm2_pub.pem -rawin 1234567812345678 -in data.txt -sigfile data.sig輸出Signature Verified Successfully即通過。實際項目里驗簽端通常拿到的是證書把-inkey換成openssl pkey -in cert.pem -pubout導(dǎo)出的公鑰即可流程不變。 SM3 算摘要SM4 加密文件常用命令對照摘要場景直接對應(yīng)dgst命令一條命令算出 256 位摘要openssl dgst -sm3 data.txt拿到十六進(jìn)制摘要后傳輸方附上摘要接收方重算比對用于完整性校驗。文件加密走enc命令SM4 支持的模式以文檔為準(zhǔn)。CBC 是最常用的對稱模式openssl enc -sm4-cbc -in plain.txt -out enc.bin -k mykey-k傳入口令字符串密鑰由庫內(nèi)部派生。需要認(rèn)證加密時用 GCM此時建議用-K直接給 32 個十六進(jìn)制字符16 字節(jié)的密鑰行為更明確openssl enc -sm4-gcm -in plain.txt -out enc.bin -K 00112233445566778899aabbccddeeffenc文檔doc/man1/openssl-enc.pod.in中列出的 SM4 模式包括 cbc、cfb、ctr、ecb、ofb。XTS 模式主要面向存儲全盤加密場景不在enc命令范圍內(nèi)。?? 背后是怎么實現(xiàn)的注冊機(jī)制與硬件加速原理部分壓縮成三句話算法實現(xiàn)分散在 crypto/sm3/、crypto/sm4/、crypto/sm2/ 及providers/implementations/下核心是純 C 代碼加各平臺匯編。默認(rèn) provider 通過PROV_NAMES_SM2、PROV_NAMES_SM3、PROV_NAMES_SM4_*等名稱表把算法注冊進(jìn)屬性查詢系統(tǒng)編譯開關(guān)OPENSSL_NO_SM2/SM3/SM4決定這些注冊是否生效見 providers/defltprov.c。硬件加速有兩條已記錄在案的路徑ARM 平臺用 ASIMD 與 AES 指令優(yōu)化 SM4CHANGES.md 記錄Added SM4 optimization for ARM processors using ASIMD and AES HWx86-64 平臺在具備 SM4 ISA 擴(kuò)展的 CPU 上啟用對應(yīng)優(yōu)化。是否命中取決于運行時 CPU 特性檢測不需要用戶干預(yù)。標(biāo)準(zhǔn)對應(yīng)關(guān)系SM2 遵循 GB/T 32918.1-2016SM3 對應(yīng) GB/T 32905-2016SM4 對應(yīng) GB/T 32907-2016。安全修復(fù)記錄可直接查 CHANGES.md 和 NEWS.md其中包含 SM2 解密相關(guān)的緩沖區(qū)溢出修復(fù)條目。? 上手檢查清單openssl list -public-key-algorithms、-cipher-algorithms、-digest-algorithms中能看到 SM2、SM4 各模式、SM3SM2 簽名與驗簽使用了完全相同的 ID-rawin且驗簽時摘要默認(rèn)為 SM3SM4 文件加密選對了模式常規(guī)傳輸用 CBC需要防篡改用 GCM性能敏感場景用openssl speed -evp SM3或openssl speed -evp SM4-GCM實測本機(jī)吞吐升級 OpenSSL 版本后回看 NEWS.md 中 SM2/SM3/SM4 相關(guān)條目【免費下載鏈接】opensslGeneral purpose TLS and crypto library項目地址: https://gitcode.com/GitHub_Trending/ope/openssl創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考