国家标准 GB/T32918.4一2016 信息安全技术SM2椭圆曲线公钥密码算法第4部分:公钥加密算法 Informationsecurityteehnoog一Publickeyeryptographie algorithmSM12basedlonelpticeuryes 'art4.Publiekeyeneryptonalgorithm 2016-08-29发布 2017-03-01实施国家质量监督检验检疫总局发布国家标准化管理委员会国家标准
GB/T32918.4一2016 前言 GB/T32918《信息安全技术SM2椭圆曲线公钥密码算法》分为5个部分 -第1部分:总则; 第2部分;数字签名算法; 第3部分:密钥交换协议第4部分;公钥加密算法; 第5部分;参数定义本部分为GB/T32918的第4部分本部分按照GB/T1.1-2009给出的规则起草本部分由国家密码管理局提出本部分由全国信息安全标准化技术委员会(SAc/Tc280)归口本部分起草单位;北京华大信安科技有限公司、人民解放军信息工程大学、科学院数据与通信保护研究教育中心本部分主要起草人;陈建华、祝跃飞、,叶顶峰、胡磊、裴定一、彭国华、张亚娟、张振峰 m
GB/T32918.4一2016 KDF(密钥派生函数余因子,h=井E(F,)/n,其中n是基点G的阶待加密的消息 M 解密得到的消息 M" 基点G的阶(n是#E(F,)的素因子. 椭圆曲线上的一个特殊点,称为无穷远点或零点,是椭圆曲线加法群的单位元用户B的公钥有限域F中元素的数目 a.,hF,中的元素,它们定义F,上的一条椭圆曲线E rly.r与y的拼接，r、y是比特串或字节串 []P椭圆曲线上点尸的人倍点,即,[]P=P十P十十P是正整数 [r，y]大于或等于r且小于或等于y的整数的集合 e顶丽数,大于或等于r的最小整数例如,7]=7，8.3]=9. y底函数.小于或等于r的最大整数例如.L7」=7.8.3=8. =E(F.,E(F,)上点的数目.称为椭圆曲线E(F,)的阶算法参数与辅助函数 5.1综述公钥加密算法规定发送者用接收者的公钥将消息加密成密文,接收者用自己的私钥对收到的密文进行解密还原成原始消息 5.2椭圆曲线系统参数椭圆曲线系统参数包括有限域F,的规模g(当=2”时,还包括元素表示法的标识和约化多项式)定义椭圆曲线E(F,)的方程的两个元素a.力eF,;E(F,)上的基点G ;=(f ，y,.)(G=o),其中工和y 是F,中的两个元素;G的阶n及其他可选项(如n的余因子h等. 椭圆曲线系统参数及其验证应符合GB/T32918.1一2016第5章的规定 5.3用户密钥对用户B的密钥对包括其私钥d,和公钥P”=[dwiG 用户密钥对的生成算法与公钥验证算法应符合GB/T32918.1一2016第6章的规定 5.4辅助函数 5.4.1概述本部分规定的椭圆曲线公钥加密算法涉及三类辅助函数;密码杂凑算法、密钥派生函数和随机数发生器这三类辅助函数的强弱直接影响加密算法的安全性 5.4.2密码杂凑算法本部分规定使用国家密码管理局批准的密码杂凑算法,如SM3密码杂凑算法
GB/T32918.4一2016 5.4.3密钥派生函数密钥派生丽数的作用是从一个共享的秘密比特串中派生出密钥数据在密钥协商过程中,密钥派生函数作用在密钥交换所获共享的秘密比特串上,从中产生所需的会话密钥或进一步加密所需的密钥数据密钥派生函数需要调用密码杂凑算法设密码杂凑算法为H,),其输出是长度恰为v比特的杂凑值密钥派生函数KDF(Z，klen): 输人;比特串Z,整数klen[表示要获得的密钥数据的比特长度,要求该值小于(28一1) 输出:长度为klen的密钥数据比特串K 初始化一个32比特构成的计数器ct=0x00000001; a 执行 b 对i从1到klen/ 计算Ha=H.(zlct); 1 2)cl十十; 若klen/是整数,令Hla！ Han 「Hlm/= a[ln/ 否则令Ha！为Han 最左边的(klen-(uxklen/v比特; 「kln/w ThMln/们 D 令K=HaHaa Hara路 lHa！ IHlm/- THln/ 5.4.4随机数发生器本部分规定使用国家密码管理局批准的随机数发生器加密算法及流程加密算法 6.1 设需要发送的消息为比特串M,klen为M的比特长度为了对明文M进行加密,作为加密者的用户A应实现以下运算步骤 A1;用随机数发生器产生随机数kE[1，n一1]; A;计算椭圆曲线点c=[k]G ，yi),按GB/T32918.1一2016中4.2.9和4.2.5给出的方 =.Z1，法,将C的数据类型转换为比特串; A;计算椭圆曲线点S=[h]P;,若S是无穷远点,则报错并退出 A;计算椭圆曲线点[]P;=(r，y),按GB/T32918.1一2016中4.2.6和4.2.5给出的方法,将坐标r.y,的数据类型转换为比特串; As;计算/=KDF(r,ly,,klen),若！为全0比特串,则返回A; Aa;计算C=M田:; A,计算C一Hah(,IMly) A;输出密文C=CIc,IC 注:加密过程的示例参见附录A 加密算法流程 6.2 加密算法流程见图1.
GB/T32918.4一2016 用户A的原始数拟椭因曲线系统参数、长度为ken比待的消息M公钥" 第1步，产生随机数kel,"-1] 第2步计算椭圆曲线点=[k]lG=(x,y 第3步计算椭阅曲线点s=Ih]" 否第4步计算[k]"=(,!2) 第5步，计算/- =KDF(xally,kem) 是否全o 第6步，计算c=Me1 第？7步， IMI 讲算(- =ash(a 第8步输出密文c=ClC,llG 报错井退出图1加密算法流程解密算法及流程 7.1解密算法设kle为密文中C,的比特长度为了对密文C=CIc,lC,进行解密,作为解密者的用户B应实现以下运算步骤
GB/T32918.4一2016 B1:从C中取出比特串C,按GB/T32918.1一2016中4.2.4和4.2.10给出的方法,将C的数据类型转换为椭圆曲线上的点,验证C是否满足椭圆曲线方程,若不满足则报错并退出 2计算椭圆曲线点s=[hC,,若s是无穷远点,则报错并退出; B3;计算[dC=(r,，y,),按GB/T32918.1一2016中4.2.6和4.2.5给出的方法,将坐标x;、y 的数据类型转换为比特串; B4:计算=KDF(r,ly,,klen),若1为全0比特串,则报错并退出; B5;从C中取出比特串C,计算M=Cr B6:计算u=Hash(工=lM'lya),从C中取出比特串C,若uC,则报错并退出; B7输出明文M' 注:解密过程的示例参见附录A 7.2解密算法流程解密算法流程见图2
GB/T32918.4一2016 用户B的原始数据棚圆曲线系统参数、密文c=e,l(c,lG,私钥d 第1步，从密文中取出c 验证G是杏满足曲线方程第2步，计算精圆自线点s=(h]c s=o？否第3步计算[dlG1=(x,y) 第4步，计算/=k(lyg,,Mn) 1是杏全0 香第5步，计算M/'=(e,田r 第6步，计算"=Mah(glM'I为) 报错并退出第7步输出明文A" 图2解密算法流程
GB/T32918.4一2016 附录A 资料性附录消息加解密示例 A.1综述本附录选用GB/T32905-2016给出的密码杂凑算法,其输人是长度小于2的消息比特串,输出是长度为256比特的杂凑值,记为H) 本附录中,所有用16进制表示的数,左边为高位,右边为低位本附录中,明文采用GByT 1988编码 A.2r，上椭圆曲线消息加解密椭圆曲线方程为:y=工=十ar十b 示例1;F,-192 素数p;BDB6FIFE3E8BID9EoDA8coD!6F4C318cEFE4AFE36B8551F 系数a;BB8E5E8FBC115E139FE6A814FE48AAA6F0ADA1AA5DF91985 系数b1854BEBD C31B21B7 AEF(C80AB0ECID10D5B1B3308E6DBF11C1 基点 ),其阶记为n y. 4AD5F7048DE709AD51236DE65E4D!B482C836DC6E4106640 坐标 02BB3A02D4AAADACAE24817A4CA3A1B014B5270432DB27D2 56564677 阶n:BDB6F4FE3E8BlD9EoDA8CoDA0F:C'962195DFAE76F 待加密的消息M:encryptionstandard 消息M的16进制表示;656E6372797074696F6E207374616E64617264 私钥d:58892B807074F53FBF67288A1DFAA1AC313455FE60355AFD (.rny)为 79FoA9547AC6D100531508IB3oD30A56536BCFC8149F4AF4 坐标坐标yn;AE38F2D8890838DF9C19935A65A8BBCC8994BC7924672F912 加密各步骤中的有关值产生随机数k:384F30353073AEECE7Al654330A96204D37982A3E15B2CB5 []G=(r， 1 坐标 ;23FC680B124294DFDF34DBE76E0C38D883DE4D41FAoDACF5 坐标 ;70CF14F2oDAF0C4D777F738D16B16824D31EEFB9DE31EE1F 选用未压缩的表示形式,点转换成字节串的形式为PC|.ry,其中PC为单一字节且PC=04,仍记为C 坐标.r，;57E7B63623FAE5F08CDA468E872A20AFA03DED41BFl40377 坐标y,;0E040D83AF31A67991F2B01EBF9EFD8881F0No493000603 消息M的比特长度k/en=152 计算/=KDF(r,ly.ken):046B04A9ADF53B389B9E2AAFB47D90FADo8978 计算C;=M！;610567DBD4854F51F4F00AcCCo1CFE90B1FB1C 计算C,=Hash(rIMly, r,|Mly， 57E7B63623FAE5F08CDA468E872A20AFA03DED41BF140377656E637279707469
GB/T32918.4一2016 6F6E207374616E646172640E040C83AF31A67991F2B01EBF9EFD8881FOA0493 000603 :6AFB3BCEBD76F82B252CE5EB25B5799686902B8CF2FD87536E55EF7603B09E7C 输出密文M=C lc,lc 23FC680B124294DFDF34DBE76E0C38D883DEAD41FAoD4CF570CF14F20DAF0C4D 04 16B16824D31EEFB9DE31EE1F6AFB3BCEBD76F82B252CE5EB25B57996 777F738D 86902B8CF2FD87536E55EF7603B09E7C610567DBD4854F51F4F00ADCCo1CFE90 B1FB1cC 解密各步骤中的有关值: 计算椭圆曲线点[dC 坐标ra;57E7B63623FAE5F08CDA468E872A20AFA03DED41BFl40377 坐标y,;0E040C83AF31A67991F201:BF9EFD8881F0A0493000603 计算1=KDF(r,ly..klen):046B04A9ADF53B389B9E2AAFB47D90F4D08978 656E6372797074696F6E207374616E64617264 计算M" M' 计算u=Hash(r ly 6AFB3BCEBD76F82B252CE5EB25B5799686902B8CF2FD87536E55EF7603B09E7C 明文 M 656E6372797074 696F6E207374616E64617264 standard 4,即为enerypiton 示例2:F,-256 素数/;85412D69E4Co44F18E8B92135BF6FF7DE457283915C45517D722EDB8B08FIDFCc3 系数a:787968B4FA32C3FD2417842E73BBFEFF2F3C848B6831lD7E0EC65228B3937E498 系数b;63E4C6D3B23B0C849CF8424l484BFE48F61D59A5B16BA06E6E12D1DA27C5249A 基点 y),其阶记为n 坐标 421DEBD61B62EAB6746434EBC3cCc315E3222oB3BADD50BDC4C4E6c147FEDD43D 坐标ye:0680512BCBB42C07D47349D2153B70C4E5D7FDFCBFA36EAlA85841B9E46E09A2 阶n:8542I69E4Co044F18E8B92435BF6FF7DD29772063o485628D5AE74EE7C32E79B7 待加密的消息M:eneryptionstandard 消息M的16进制表示:656E6372797074696F6E207374616E64617264 私钥dn:l649AB77A00637BD5E2EFE283FBF353534AA7F7CB89463F208DDBC2920BB0DAo cl488AFc67BE491AoF7BA07E581AoE!849AcF70828.A7E0A 435B39CC A8F3B508 F15FECB4C7895E2CICDF5FE01DEBB2CDBADF45399CCF77BBA076A42 有关值 4C62EEFD6ECFC2B95B92F6C3D9575148AFA17425546D49018E5388D49DD7B4F 计算椭圆曲线点 .1"y1; 坐标 ;245C26FB68B1DDDDB12C4B6BF9F2B6D5FE60A383B0D18D1C4144ABF17F6252E7 52B19903FDC47378F605E36811F5co7423A24B84400Fo1B8 76CB9264 C2A7E88E 坐标在此C选用未压缩的表示形式,点转换成字节串的形式为PCl.rly,其中PC为单一字节且PC=04,仍记为C 计算椭圆曲线点[k]P 工2y2s 坐标 ;64D20D27D0632957F8028CIE024F6B02EDF23102A566C932AE8BD613A8E865FE 坐标 ;58D225CA784AE300A81A2D48281A828E1CEDF11C4219099840265375077BF78 消息M的比特长度klen=152 计算 KDF(.r lyg,,klen);006E30DAE231B071DFAD8AA379E90264491603 计算 =M;650053A89B41C418B0C3AAD00D886C00286467 Hash(.rlMly.) lMlya: .Z？ 64D20D270632957F8028CIE024F6B02EDF23102A566C932AE8BD613A8E865FE 656E6372797074696F6E207374616E6461726458D225ECA784AE300A81A2D482
GB/T32918.4一2016 81A828E1CEDF11C4219099840265375077BF78 C30156FAB7C80A0276712DA9D8094A634B766D3A285E0748 G,ce:Dr380 0653426D 输出密文c=Clc;lC 04 245C26FB68BlDDDDB12C4B6BF9F21B6D5FE60A383B0D18DIC4l44ABF17F6252E7 76CB9264C2A7E88E52B19903FC47378F605E368l1F5C07423A24B84400Fo1B8 9(c'3D7360C3o156FAB7C80A0276712DA9D8094A634B7663A285E07480653426D 650053A89B41C418B0C3AAD00D886C00286467 解各步骤中的有关值计算椭圆曲线点[dw]c 坐标.r,:64D20D27D0632957F8028C1E024F6B02EDF23102A566C932AE8BD613A8E865FE EIcEDF11 C421909984026537 5077BF78 坐标ra;58D225EC A784AE300A81A2D48281A828 计算1=KDF(.rly.,klen);006E30DAE231071DFA8AA379E90264491603 计算M'=c田u656E6372797074696F6E207374616E6461726:4 计算u=Hash(r,lNM'ly, 9C3D7360C30156FAB7C80A0276712DA9D8094A634B766D3A285E07480653426D 明文M' 656E6372797074 696F6E207374616E64617264,即为:encryptionstandard A.3r上椭圆曲线消息加解密椭圆曲线方程为:y=十ry=r=十ar=十示例3:Fgm-193 基域生成多项式为;y'十r"十1 系数a:0 2FE22037B624DBEBC4C618E13FD998B1A18E1EEoD05C46FB 系数6;00 基点G=(.rey),其阶记为n 坐标 D78D47E85C93644071BC1C212CF994E4D21293AAD8060A84 DDEEEcCB7 6B5D875586293725F9D2Fc0c 615B9E98 A31B7B2F 坐标 n:80000000000000000000000043E9885C46BF45D8c5EBF3Ai 待加密的消息M:encryptionstandard 消息的16进制表示:656E6372797074696F6E207374616E64617264 私钥d.;6C205C1589087376c2FE5FEEE153DAAC875D643EB8cAF6C5 钥公 .ry！: 坐标rn;00 E788F191C5591636FA992CE67CDC8D3B16E4F4D46AF267B8 坐书 y%00BD6E7EE4113Dr9020ED5AI02387C14B7A6767cuD814ADBFD 标加密各步骤中的有关值产生随机数;6E51C5373D5B4705DC9B94FA9BCF30A737ED8D69l1E76D9Fo 计算椭圆曲线点 =[k]G .工y: 坐标r;0095A8B8667ACF097F65CE96EBFE53422FCF15876D16446B8A 7AlC7C9BABoDE070522311E75C31c3C4D74150E84E0A95 坐标y,:01 在此C选用未压缩的表示形式,点转换成字节串的形式为PCl.r，ly,其中PC为单一字节且PC=04,仍记为C 计算椭圆曲线点[]P= 坐标ra;01C6271B31F6BE396A4166C0616CF4A8ACDA5BEF4DCBF2DD42 坐标y,:0147AF35DFA1BFE2F161521BCF59BAB83564868D9295881735 消息M的比特长度klen= 152 计算/=KDF(.rly.,klen);以c5FoD50F2B2BcF2DC3027oBAA52493B8A67A 计算c,=M;D9316E228Bc2C89BB35E0778DE33275FEB15C0
GB/T32918.4一2016 计算C';=Hash.rMly: rlMly" 01C6271B31F6BE396A4166Co616CF4A8ACDA5BEF4DCBF2DD42656E6372797074696F6E20 7374616E646172640147AF35DFAlBFE2F161521BCF59BAB83564868D9295881735 C,:FOA41F6F48AC723CECFCAB767299A5E25C0641679FBD2D4D20E9FFD5B9FoDAB8 输出密文C=CIc,lc 04 7F65CE96EBFE53422FCF15876D16 446B8Ao17A1E 0095A8B8 667ACF09 C7C9BAB0 DE070522 311E75CD31C3C4D7 4150E84E 0A95FoA4 1F6F48AC 723CECFC 4B767299 A5E25C0641679FBD2DAD20E9FFD5B9F0DAEB8D9316E228BC2C89BB35E0778DE33 275FEB15Co 解密各步骤中的有关值计算椭圆曲线点[d]C (.ry, 4166co0616CF4A8AcDA5BEF4DCBF2DD42 坐标工,:01 (C6271B31 F6BE396A 坐标y:0147AF35DFAlBFE2F161521BCF59BAB83564868D9295881735 计算/=KDr(n r,ly.,klen)BcSFoD50F2B2BCF2D3027oBAA524938A67A4 计算M'=C田t;656E6372797074696F6E207374616E64617264 计算u Hash(.r|M' ly F0A41F6F48AC723CCFCAB767299A5E25C0641679FBD2D4D20E9FFD5B39FoDAB8 明文M';656E6372797074696F6E207374616E64617264,即为;eneryptionstandard 示例4;F一257 基域生成多项式为;y十r十1 系数4;0 系数b;00E78BCD09746Cc202378A7E72B12CE00266B9627ECBB5A25367AD1AD4cC6242B 基点G=(ara ,),其阶记为n yG; 坐标ra;00CDB9CA7F1E6B0441F658343F4B10297C0EF9B6491082400A62E7A7485735FADD 3DE74DA65951C4D76Dc89220D5F7777A611B1c38BAE26oB175951DC8060c2B3E 坐标ye;01 RFFF FFFFFFFFFFFFFFFFFFFFFFFFBC972CF7E6B6F900945B3C6A0CF6161D 待加密的消息M:encryptionstandard 16进制表示:656E6372797074696F6E207374616E64617264 私钥d;56A270D1 7377AA9A367CFA82E46FA5267713A9B91101D0777B07FCE018C757EB 坐标.rn;00 A67941E6DE8A61805F7BCFFo985BB3BE[D986F1C297E4D888oD82B821C624EE57 1085F52EEFA7FE329A5C811843533A87 93ED5A6707B59087 81B86084 4D027271 坐标加密各步骤中的有关值 53E3E92524E5c122682DBDC8705062E2oB917A5F8FCDB8EE 产生随机数k;6D3B4971 4C66663D 计算椭圆曲线点C=[]G (.ry 9D236DDB 52C51BB932709BD534D476FBB7BoDF9542A8A4D890A3F2E1 坐标 305009AD .L ;01 坐标y;00B23B938DC0A94D1DF8F42CF45D2D6601BF638C3D7DE75A29F02AFB7E45E91771 在此C选用未压缩的表示形式,点转换成字节串的形式为Pcl ,其中PC为单一字节且PC=04,仍记为C ly 计算椭圆曲线点[]P;=(r;y): 坐标r;00 83E628CF701EE3141E8873FE55936ADF24963F5DC9C6480566C80F8A1D8CC51B 坐标y,;01524C647F0C0412DEFD468BDA3AEOE5A80FCC8F5C990FEEl1602929232DCD9F36 消息M的比特长度klen=152 106A2Ic92F8AEAcc0BF298BB117 计算/一kDr(,ly,klm)983:wcr 计算C;=M田r:FD55AC6213C2A8A040E4CAB5B26A9CFCDA7373 计算c,=Hash(r,lMly) rNMly 10o
GB/T32918.4一2016 0083E628CF701EE3141E8873FE55936ADF24963F5C9C6480566C80F8AlD8CC51B656E63 72797074696F6E207374616E64617264o1524C647F0C0412DEFD468BDA3AEoE5 A80FCCc8F 5C990FEE1l602929232DCD9F36 C;73A48625D3758FA37B3EAB80E9CFCABA665E3199EA15AlFA818996F579125E 输出密文c=C,lc,lc 04 019D236D DB305009 AD52C51B B932709B D534D476 FBB7B0DF 9542A8A！ D890A3F2 38DcoA94DpF8FI2cF45D2D 66o1BF638C3D7DE7 wEiH5E E:Io0B23B 5A29F02A 177173A48625D375 8FA37B3E AB80E9CF CABA665E 3199EA15 AlFA8189D96F5791 25E4FD55Ac6213c2A8A040E4cAB5B26A9CFCDA7373 解密各步骤中的有关值: 计算椭圆曲线点[dC (rgy,) 坐标r;0083E628CF701EE314lE8873FE55936ADF24963F5DC9C6480566C80F8AlD8CC51B 坐标y,:01524C647F0C0412DEFD468BDA3AE0E5A80FcC8F5C990FEE11602929232CD9F36 106AB2CC92F8AEAC6C6oBF298BB0117 计算/=KDF(rly,,klem) 983BCF 计算M'=Cfr:656E6372797074696F6E207374616E64617264 ;73A48625D3758FA3 7B3EAB80 E9(CFCABA665E3199EAl5A1FA 计算4- Ha.s (rlM ly2 8189D96F579125E4 明文M':656E6372797074696F6E207374616E64617264,即为;encryption standard 11
GB/T32918.4一2016 参考文献 [1 GB/T1988一1998信息技术信息交换用七位编码字符集 12

信息安全技术SM2椭圆曲线公钥密码算法第4部分：公钥加密算法GB/T32918.4-2016

随着互联网的快速发展，信息安全问题日益突出，密码算法成为保护信息安全的重要手段之一。SM2椭圆曲线公钥密码算法是我国自主设计并推广使用的密码算法，其中公钥加密算法是该算法的核心之一。

根据国家标准GB/T32918.4-2016，SM2椭圆曲线公钥密码算法中的公钥加密算法主要分为以下几个步骤：

第一步：密钥生成

在该算法中，首先需要生成一对公私钥，其中私钥只有用户本人知道，公钥可以向任何人公开。密钥的生成过程是基于椭圆曲线上离散对数难题的。

第二步：加密

在加密过程中，明文先被转换为点P，并生成一个临时公钥K。然后利用接收方的公钥和临时公钥K计算出一个共享秘密S，最终将明文与共享秘密进行异或运算得到密文C。

第三步：解密

在解密过程中，接收方使用自己的私钥和发送方的临时公钥K计算出共享秘密S，最终将密文与共享秘密进行异或运算得到明文P。

总之，SM2椭圆曲线公钥密码算法中的公钥加密算法是一种安全、高效的加密方式，它为信息安全领域的发展提供了有力支持。