一、引言：从依赖到自主的密码之路
在数字时代，密码算法是信息安全的基石，如同网络空间的“基因密码”。长期以来，我国的密码应用高度依赖国外的算法标准，如RSA、AES、SHA-256等。这种依赖带来了潜在的战略风险——核心技术的“命门”掌握在他人手中。
为改变这一局面，国家密码管理局自21世纪初开始，系统性地发布了一系列自主设计的商用密码算法标准，统称为“国密算法”（SM，即“商密”的缩写）。经过十余年的发展，国密算法已形成完整的体系，在算法设计上不仅实现了安全可控，更在多项性能指标上对标甚至优于国际主流算法。
2020年1月1日，《中华人民共和国密码法》正式实施，从法律层面确立了密码工作在国家网络安全中的重要地位。国密算法也从“可选”走向“必选”，成为电子政务、金融、能源等关键基础设施信息安全保障的核心技术。本文将从算法分类、技术原理、国际对标、核心参数等维度，系统解析国密算法体系的完整图景。
二、核心机制：国密算法分类与技术原理
2.1 国密算法体系全景
国密算法体系涵盖三大密码类型：非对称密码、对称密码和哈希（杂凑）算法。其核心算法家族包括SM2、SM3、SM4、SM9、ZUC以及SM1、SM7等专业应用算法。
mindmap
root((国密算法体系))
非对称密码
SM2
数字签名
密钥交换
公钥加密
SM9
基于标识
轻量化认证
对称密码
SM4
分组密码
ZUC
祖冲之序列密码
SM1
分组加密
硬件实现
SM7
IC卡专用
哈希算法
SM3
256位输出
完整性校验2.2 非对称密码：SM2 与 SM9
SM2：椭圆曲线公钥密码
SM2是我国发布的椭圆曲线公钥密码算法标准，于2010年12月17日正式发布。其安全性基于椭圆曲线离散对数问题（ECDLP）——目前求解该问题的最好算法为指数级复杂度，使得同等安全强度下，SM2所需的密钥长度远小于RSA算法。
SM2算法体系包含三个核心子协议：
- 数字签名算法：验证数据完整性和来源真实性
- 密钥交换协议：在通信双方之间安全建立共享密钥
- 公钥加密算法：保护数据的机密性
技术优势：在实现与RSA 2048位同等安全强度的条件下，SM2的密钥长度仅为256位，运算速度更快，存储空间更小。
SM9：基于标识的密码算法
SM9是另一种非对称密码算法，其核心特点是不再依赖数字证书体系。它直接使用实体的身份标识（如手机号、邮箱、设备ID）作为公钥，省去了PKI/CA体系中证书管理的复杂开销。
SM9特别适合物联网（IoT）等资源受限、设备数量庞大的应用场景。在需要对海量设备进行身份认证的场景中，SM9无需部署复杂的证书管理系统，直接使用设备唯一标识即可完成密钥协商和身份验证。
2.3 哈希算法：SM3
SM3是国密体系中的密码杂凑算法，用于将任意长度的消息压缩为固定长度的摘要值（256位）。其结构在SHA-256基础上进行了多项改进，包括16步全异或操作、消息双字介入、加速雪崩效应的P置换等设计。
安全性特点：
- 输出长度256位，抗碰撞安全强度达128比特
- 与SHA-256相比，压缩函数的每一轮使用2个消息字，设计更为复杂
- 能够有效抵抗差分分析、线性分析等密码攻击方法
2.4 对称密码：SM4 与 ZUC
SM4：分组密码算法
SM4是一种分组密码算法，分组长度和密钥长度均为128比特。它采用32轮非线性迭代结构，加密和解密算法结构完全相同，仅轮密钥使用顺序相反。
设计亮点：SM4在设计过程中增加了非线性变换，理论上大大提高了算法的安全性。经过专业机构的密码分析，包括针对21轮SM4的差分密码分析，结论均显示其安全性较高。
ZUC：祖冲之序列密码
ZUC（祖冲之算法）是一种流加密算法，是我国自主设计的、适用于高速通信场景的对称密码方案。它采用128位的初始密钥和128位的初始向量（IV），每轮输出32位的密钥流。
ZUC是中国商用密码算法中较早实现国际化的案例——它已被3GPP采纳为LTE移动通信标准的加密算法（128-EEA3）和完整性算法（128-EIA3）的核心。
2.5 专用领域算法：SM1 与 SM7
SM1和SM7主要用于特定硬件场景，算法细节不公开，需通过国家密码管理局审批授权的硬件产品实现。
- SM1：分组密码算法，以IP核形式存在于安全芯片中
- SM7：分组密码算法，适用于非接触式IC卡应用
三、对比分析：国密算法与国际算法的对决
| 算法类型 | 国密算法 | 国际对应算法 | 关键差异 |
|---|---|---|---|
| 非对称加密 | SM2（256位椭圆曲线） | RSA（2048位） | SM2密钥更短、运算更快、安全性基于ECDLP |
| 哈希算法 | SM3（256位输出） | SHA-256 | SM3压缩函数更复杂，每轮使用2个消息字 |
| 分组密码 | SM4（128位） | AES（128位） | SM4结构简洁、设计思路独立于AES |
| 流密码 | ZUC | RC4 / SNOW 3G | ZUC已纳入3GPP LTE国际标准 |
| 标识密码 | SM9 | ECC证书体系 | SM9无需证书管理，适合海量设备场景 |
| 对比维度 | 国密算法 | 国际算法 |
|---|---|---|
| 算法公开度 | 核心参数公开（SM1/SM7除外） | 完全公开 |
| 生态成熟度 | 快速发展中 | 非常成熟 |
| 硬件支持 | 专用加密芯片逐步普及 | CPU级指令集支持 |
| 国际化进程 | 已进入ISO/IEC | 已是国际标准 |
四、国密算法核心参数速查表
4.1 SM2 核心参数
| 参数项 | 取值 |
|---|---|
| 算法类型 | 椭圆曲线公钥密码（非对称） |
| 椭圆曲线方程 | y² = x³ + ax + b（Fp或F2m） |
| 推荐曲线 | SM2P256v1（256位素数域曲线） |
| 密钥长度 | 256 bit（私钥）/ 256 bit（公钥，未压缩时512 bit） |
| 安全强度 | 128 bit（相当于RSA 3072-4096位） |
| 签名长度 | 512 bit（r和s各256 bit） |
| 密文长度 | 明文长度 + 512 bit（加密时附加C1C2C3结构） |
| 子功能 | 数字签名、密钥交换、公钥加密 |
| 安全性基础 | 椭圆曲线离散对数问题（ECDLP） |
4.2 SM3 核心参数
| 参数项 | 取值 |
|---|---|
| 算法类型 | 密码杂凑函数（哈希） |
| 消息分组长度 | 512 bit（64 Byte） |
| 输出摘要长度 | 256 bit（32 Byte） |
| 迭代轮数 | 64轮 |
| 字长 | 32 bit |
| 初始值（IV） | 7380166F 4914B2B9 172442D7 DA8A0600 A96F30BC 163138AA E38DEE4D B0FB0E4E |
| 压缩函数 | CF(V, B) - 64步迭代 |
| 安全强度 | 抗碰撞128 bit / 抗原像攻击256 bit |
| 检测能力 | 任意长度消息 → 256位固定长度摘要 |
4.3 SM4 核心参数
| 参数项 | 取值 |
|---|---|
| 算法类型 | 分组密码（对称） |
| 分组长度 | 128 bit（16 Byte） |
| 密钥长度 | 128 bit（16 Byte） |
| 迭代轮数 | 32轮非线性迭代 |
| 轮函数 | F(Xi, Xi+1, Xi+2, Xi+3, rki) |
| S盒 | 8×8固定S盒，字节代换 |
| 加解密结构 | 同结构，轮密钥使用顺序相反 |
| 加解密公式 | 解密时反序使用轮密钥rk₃₁…rk₀ |
| 工作模式 | ECB、CBC、CFB、OFB、CTR等 |
| 安全性基础 | 非线性变换 + 线性变换复合 |
4.4 SM9 核心参数
| 参数项 | 取值 |
|---|---|
| 算法类型 | 基于标识的密码（IBC） |
| 公钥形式 | 用户身份标识（ID，如手机号/邮箱） |
| 私钥形式 | 由KGC根据主私钥和ID生成 |
| 椭圆曲线 | 256位BN曲线（Barreto-Naehrig） |
| 双线性对 | Tate对 / R-ate对 |
| 密钥长度 | 256 bit |
| 安全强度 | 128 bit |
| 核心优势 | 无需证书管理、适合海量设备 |
| 子功能 | 签名、加密、密钥交换 |
4.5 ZUC 核心参数
| 参数项 | 取值 |
|---|---|
| 算法类型 | 流密码（序列密码） |
| 密钥长度 | 128 bit |
| 初始向量（IV）长度 | 128 bit |
| 线性反馈移位寄存器（LFSR） | 16级31位寄存单元 |
| 非线性F函数 | 2个32位非线性变换S盒 + 线性变换L |
| 每轮输出 | 32位密钥字 |
| 驱动方式 | LFSR + 比特重组（BR） + F函数 |
| 标准化 | 3GPP LTE（128-EEA3 / 128-EIA3） |
| 应用场景 | 4G/5G通信加密 |
4.6 常见对比题速查表
| 对比维度 | SM2 | RSA（2048） |
|---|---|---|
| 密钥长度 | 256 bit | 2048 bit |
| 签名长度 | 512 bit | 2048 bit |
| 安全强度 | 128 bit | 112 bit |
| 运算速度 | 快（ECC固有优势） | 慢（大数幂运算） |
| 安全性基础 | ECDLP | 大整数分解 |
| 对比维度 | SM3 | SHA-256 |
|---|---|---|
| 输出长度 | 256 bit | 256 bit |
| 分组长度 | 512 bit | 512 bit |
| 迭代轮数 | 64轮 | 64轮 |
| 每轮消息字数量 | 2个 | 1个 |
| 设计特点 | 16步全异或、P置换 | Merkle-Damgård结构 |
| 对比维度 | SM4 | AES |
|---|---|---|
| 分组长度 | 128 bit | 128 bit |
| 密钥长度 | 128 bit | 128/192/256 bit |
| 轮数 | 32轮 | 10/12/14轮 |
| 结构 | 非线性迭代（类似FEAL） | SPN（Substitution-Permutation） |
| S盒 | 固定8×8 S盒 | 基于有限域乘法逆 |
五、实践与应用
5.1 各算法典型应用场景速记表
| 算法 | 典型应用场景 |
|---|---|
| SM2 | 数字证书、电子印章、SSL/TLS握手认证、身份卡 |
| SM3 | 数字签名辅助、完整性校验、HMAC、随机数生成 |
| SM4 | VPN数据加密、数据库加密、文件加密、磁盘加密 |
| SM9 | 物联网设备认证、车联网V2X通信 |
| ZUC | 4G/5G移动通信加密、无线信道保护 |
| SM1 | 加密芯片、安全智能卡、金融密码机（硬件实现） |
| SM7 | 门禁卡、工作证、数字防伪（非接触式IC卡） |
5.2 核心公式与结构
SM2签名验证核心方程：
验证：r' = (e' + x1) mod n
成立则签名有效，其中e'=H(M')，x1为椭圆曲线点的x坐标SM3压缩函数简化表达：
CF(V, B) = V ⊕ P(FF(V, B))
经过64步迭代生成256位杂凑值SM4加解密关系：
加密：X[i+4] = X[i] ⊕ F(X[i+1], X[i+2], X[i+3], rk[i])
解密：反序使用轮密钥rk[31-i]六、总结：国密算法的战略意义
国密算法体系的建立，标志着我国在信息安全核心技术领域实现了从“跟跑”到“并跑”的跨越。通过SM2、SM3、SM4、SM9、ZUC等算法，我国已构建起覆盖非对称、对称、哈希三大密码类型的完整国产算法体系。
对于学习者而言，理解国密算法不仅在于记忆技术参数，更在于把握其战略定位——它是网络强国战略的技术底座，是数字经济的信任基石。随着《密码法》的深入实施和信息系统国产化替代的全面推进，国密算法的应用将持续深化。从金融支付到电子政务，从移动通信到物联网，掌握国密算法知识，已是网络安全从业者的必备技能。
原文 https://blog.csdn.net/2301_79518550/article/details/161445019