國產商用密碼算法研究及性能分析

姚 鍵

(國家稅務總局北京稅務局 北京 100026)

0 引 言

隨著信息時代的來臨，鋪天蓋地的信息和數據逐漸充斥了人們的生活，隨之而來的信息安全問題備受人們關注，作為信息安全問題中不可或缺的角色——密碼技術近年來也得到了極大發展，正在快速地向各個領域滲透。國家對密碼技術高度重視，在過去十余年間，不斷完善我國的商用密碼體系，不斷開放與革新現有的密碼研究成果，引導著無論是普通百姓還是專家學者投入千千萬萬的專業性和創造力到國家的密碼體系建設中。如今我國已形成一套成熟的、科學的、自主的、受到國際認可的商用密碼體系，它們幾乎被運用在人們日常生活的方方面面，是國內眾多領域信息安全的重要保障。

1 密碼技術

1.1 國外密碼技術

密碼技術是保障通信秘密的一種手段和方法，據傳最早可以上溯到公元前1900年，在古埃及開始使用石刻密碼，從此古典密碼算法登上歷史舞臺，較為典型的有caeser密碼、vigenere密碼，此時的信息保護大多依靠人工完成，密碼技術僅局限于軍事、外交、政務等領域，缺少系統科學的理論基礎和支撐。1948年Shannon發表《保密系統的通信理論》，為密碼學奠定了理論基礎，該文利用數學方法對信息源、密鑰等重要概念進行了定量分析和描述，數學推導的科學性和邏輯性將密碼學提升到了科學的高度。20世紀40年代計算機技術的出現使密碼技術重迎來新的春天，因特網的快速發展極大促進了近現代密碼技術的發展和研究。1976年第一個公鑰密碼學思想——DH密鑰交換算法由W.Diffie和M.E.Helman首次提出，極大地改善了以往的單鑰體制中的密鑰管理問題。1977年來自IBM公司的數字加密標準(DES)分組密碼算法被美國政府確定為信息保密標準，這是讓算法透明化的一大創舉，密碼算法不再是國家機密，而是讓群眾集思廣益共同創新的技術。1978年Ron Rivest、Adi Shamir和Len Adleman首次發表了RSA公鑰密碼算法，這也是迄今為止使用最多的公鑰密碼算法。至此現代密碼正式拉開了序幕，密碼用在了政務、經濟、文化等領域的各個方面，不僅與國家政府而且還與社會中每一個普通人的切身利益息息相關。

1.2 密碼技術分類

目前世界上活躍使用的密碼算法按密鑰的特點分為散列算法、對稱密碼算法體制、非對稱密碼算法三類，按加密方式分為流密碼體制和分組密碼體制兩類。

散列算法又叫雜湊算法，該算法并未涉及密鑰，僅是將使用者指定長度的消息壓縮成定長的、不可逆的、獨一無二的雜湊值，常被用在數字簽名、身份認證、數據完整性校驗、隨機數生成等方面。通常雜湊算法需滿足抗原像攻擊性、抗碰撞性、抗第二原像攻擊性、抗長擴展攻擊性、抗長消息第二攻擊性、集群攻擊性等安全屬性[1]，國際上公認的密碼雜湊算法標準有SHA系列、RIPEMD系列、KECCAK系列、Stribog、Whirlpool等。

對稱密碼體制算法中加密解密使用同一個密鑰，加密解密的基本原理也是一致的，都是基于對明文信息的的置換和替代或者通過兩者的組合運用完成的。國際上較為著名的對稱密碼算法有DES、AES系列、Camelia系列、IDEA、CAST系列、HIGHT等。在公鑰密碼體制出現之前，古典密碼學和近現代密碼學使用的密碼算法都屬于對稱密碼體制，因此對稱密碼體制在密碼學界有著不可替代的重要地位，多年以來對稱密碼體制被廣泛運用在各類信息的保密工作中，對后來密碼體制的發展也產生了深遠的影響。對稱密碼體制具體又被分為流密碼和分組密碼兩種。流密碼體制又叫序列密碼體制，將明文按字節加密，直接用偽隨機數字與明文密文數值異或進行加解密，這在提高效率、節省空間、隱蔽性強的同時，對安全性的要求更高了。分組密碼體制又叫塊密碼體制，將明文按定長的字符串加密，這個字符串長度在其中起關鍵作用，過長運行效率低下，過短安全性差，因此使用時常常需要根據需求謹慎選取。

非對稱密碼體制也被稱為單鑰體制、公鑰密碼體制。起初，為了解決密文被敵方截獲便能輕易得到明文的問題，于是使用不同的加密與解密密鑰，通常將這兩種密鑰區分為公開密鑰(PK)和私有密鑰(SK)，目的是即使截獲密文沒有私鑰也無法破譯出明文，保證明文的安全性。公鑰密碼體制的基礎是數學的不可解問題，例如“單向函數”，“陷門函數”，“求逆困難”等問題。經典的公鑰密碼算法有基于大整數因子分解文圖的RSA算法、基于有限域橢圓曲線離散對數問題的ECC算法、基于有限域離散對數問題的DSA算法。分組密碼包含了所有非對稱密碼。

1.3 國內密碼技術

1977年，在黃山幾乎匯集了當時國內所有的密碼學專家首次召開了中國民間組織的密碼研討會——偽隨機序列研討會，這次會議恢復了我國中斷已久的密碼交流。到了20世紀80年代，國內相關機構逐漸從對信息論的研究過渡到對密碼的研究上，人們慢慢認清了密碼的重要性和戰略地位，國內大學1988年開始增設密碼學碩士點，1992年開始增設密碼學博士點。幾年后開始著手準備成立中國密碼學會，堅持每兩年一會，激勵了我國密碼學的交流與發展。此外中共中央多次召開專門會議，就加強信息安全的問題進行指示。2000年左右武漢大學張煥國教授發起增設信息安全專業的建議得到教育部批準，社會各組織也加大了在信息安全方面人力物力財力的投入。1999年國務院開始施行《商用密碼管理條例》，以法律條文的方式確定了黨和國家關于商用密碼的要求與期望，標志著我國商用密碼的法制化。2002年正式成立了國家商用密碼辦公室。2011年9月祖沖之序列密碼算法被3GPP LTE采納正式成為國際加密標準，這是我國自主研制的第一個獲此殊榮的密碼標準，是我國密碼行業的巨大進步。2017年在北京成功舉辦了中國商用密碼應用高峰論壇和全國商用密碼產品及應用技術展覽會，充分展示了我國在密碼學領域走出國門的堅定決心和強大能力。如今隨著云計算、大數據、互聯網等新型科學技術的不斷涌現，密碼技術的新挑戰也接踵而至。

20年間，國家密碼管理局陸續制定了一系列國家商用密碼標準，這些標準后來被廣泛應用在我國的教育、工業、農業、金融、電子、能源、交通、城市建設、電力水利、稅收、社保等涉及國計民生和基礎建設的重要領域，直接推動產生相關專利2 000多項，相關產品1 900多種，相關單位900多家，這些算法在安全性和實現效率上表現優秀，完全可以媲美國際算法，也得到了國際上各相關組織的認可和使用。

2 國產商用密碼概述

國產商用密碼體系的密碼種類豐富，基本滿足了我國生產生活中的各類需求，主要有SM系列及祖沖之序列算法，囊括了所有典型的密碼體制。具體可分為三類：SM3密碼雜湊(Hash、散列)算法屬于散列算法范疇，SM1(SCB2)、SM4、SM7、祖沖之序列密碼算法(ZUC)屬于對稱密碼算法體制范疇，SM2、SM9屬于非對稱密碼算法體制范疇。

SM3密碼雜湊算法在2012年公布為國內密碼行業標準，2016年公布為國家標準，目前已提交給ISO國際標準化組織進入到DIS階段。SM3密碼雜湊算法為Merkle-Damgard結構，大體類似于SHA-256，官方公布的標準文檔[2]對該算法進行了概要描述：對輸入長度小于264比特的消息，經過填充和迭代壓縮，生成長度為256比特的雜湊值。其中包含異或、模、模加、移位、與、或、非運算的使用，由填充、迭代過程、消息擴展和壓縮函數所構成。SM3密碼雜湊算法的具體實現流程可以參考官方標準文檔[2]。

SM1分組密碼算法(又名SCB2)尚未公開，僅提供了存在于芯片的IP核，所使用的密鑰長度和分組長度都是128比特，在安全性和硬件性能上與AES相近。

SM4(原名SMS4)分組密碼算法于2006年公開發布，2012年3月公布為國內密碼行業標準，2016年8月公布為國家標準，2016年10月正式進入ISO國際標準化組織的ISO標準學習期，現已納入可信計算組織(TCG)發布的可信平臺模塊庫規范(TPM2.0)。SM4分組密碼算法為Feistel結構，官方公布的標準文檔[3]對該算法的進行了明確規定，其分組長度和密鑰長度均為128比特,采用32輪的非線性迭代結構來進行加密和密鑰擴展，加密算法和解密算法的結構相同，只是輪密鑰使用順序相反解密輪密鑰是加密輪密鑰的逆序。其中包含異或、循環左移、輪函數、合成置換、非線性變換、線性變換、S盒變換等子運算。該算法的最大的亮點在于其非線性變換中使用的S盒具有高復雜度、低差分均勻度、高非線性度、高平衡性等優點，直接影響了整個算法的安全強度，起到了混淆作用，隱藏了內部的代數結構。SM4分組密碼算法的具體實現流程可參考官方標準文檔[3]。

SM7分組密碼算法所使用的密鑰長度和分組長度都是128比特，由于該算法尚未公開SM7的相關研究也微乎其微。

祖沖之序列密碼算法(ZUC)的名字來自中國古代著名數學家祖沖之，2010年6月針對LTE(長期演進計劃)標準我國首次公布的了由中科院數據保護與通信安全研究中心(DACAS)設計的流密碼，線性反饋移位寄存器(LFSR)、比特重組(BR)和非線性函數(F)三部分共同組成了祖沖之序列密碼算法。LFSR部分具有線性復雜度大、隨機統計特性好的特點，BR部分具有友好的移位操作和字符串連接操作，F部分中S盒具有擴散性好、非線性好的特點，這三部分有效地結合在一起，使ZUC算法具有較高的安全性。祖沖之序列密碼算法以128比特的序列和128比特的密鑰作為輸入，每運行一次產生一組32比特的密鑰字，前32步用作初始化，33步舍棄，從第34步輸出密鑰流，用明文與之異或即得密文，祖沖之序列密碼算法的具體實現流程可參考官方標準文檔[4]。

SM2橢圓曲線公鑰密碼算法于2010年12月公開發布，2012年3月公布為國內密碼行業標準，2016年8月公布為國家標準，2016年10月正式進入ISO國際標準化組織的ISO標準學習期，現已納入可信計算組織(TCG)發布的可信平臺模塊庫規范(TPM2.0)。SM2橢圓曲線公鑰密碼算法的安全性建立在橢圓曲線離散對數問題上，與ECC算法的密碼機制類似。橢圓曲線最初由Koblitz和Miller分別應用在公鑰密碼系統。相比RSA算法，ECC算法具有低耗能、低內存占用、低耗時的優勢。在ECC基礎上，SM2算法又加以改進，使用了安全性更強的簽名和密鑰交換機制，該算法輸出位長為256的雜湊值，系統參數為256比特素數域上的橢圓曲線，SM2算法包括總則、數字簽名算法、密鑰交換協議和公鑰加密解密算法，具體運算流程可參考官方標準文檔[5]。

SM9標識密碼算法是一種基于標識的密碼技術，1984年，Shamir首次提出標識密碼的概念，同時也提出了第一個基于標識的密碼算法，其公鑰是使用對象的手機號碼、電子郵箱等唯一標識，這樣大大簡化了密鑰管理和頻繁申請交換證書的復雜性，提高了工作效率又減少了成本投入，后來這種算法慢慢演變為使用橢圓曲線對實現的標識密碼算法。我國自主研發的SM9標識密碼算法在2016年4月公開發布，具有應用靈活、管理方便的特點。SM9標識密碼算法也是基于橢圓曲線離散對數的問題，同時增加了對橢圓曲線對雙線性的應用，其使用的雙線性對需要滿足雙線性、非退化性、可計算性。SM9算法所使用的數學基礎原理與SM2算法類似，僅是增加了對的相關內容，在附錄中詳盡地描述了使用Miller來計算對的方法以及適于對的橢圓曲線的生成。SM9算法包括總則、數字簽名算法、密鑰交換協議、密鑰封裝機制和密鑰加密算法，具體運算流程可參照官方標準文檔[6]。

3 國產商用密碼安全性和實現效率分析

一個密碼算法最受人們關注的主要是安全性和實現效率兩方面，我國的國產商用密碼體系中的各算法無論是安全性還是實現效率上相比國際的主流算法都是具有優勢的。

3.1 密碼散列算法

國產商用密碼中密碼散列算法有SM3雜湊算法。在安全性方面，針對SM3雜湊算法目前主要有碰撞攻擊、原像攻擊、區分器攻擊三類攻擊方法，SM3雜湊算法與國際上常見散列算法(這里選取SHA-256、RIPEMD-128、KECCAK-256)在這三類攻擊下最好攻擊結果見表1。

從表1可知，SM3算法的碰撞攻擊百分比為31%，僅高于KECCAK類算法，低于其他大部分的算法；SM3算法的原像攻擊百分比為47%，僅高于KECCAK類算法，低于其他大部分的算法；SM3算法的區分器攻擊百分比為58%，遠遠比其他算法低。整體上可以說明SM3雜湊算法具有較高的安全性。在實現效率方面，SM3雜湊算法與SHA-256相當，但又增加了一些顯著改進的技術，不僅節省了硬件開銷，而且提升了算法的適用性和運算效率，例如使用了P置換函數，加速了雪崩效應，提高了運算速度。

3.2 對稱密碼算法

國產商用密碼中的對稱密碼算法目前已公開的有SM4分組密碼算法和祖沖之序列密碼算法兩種，因此國內對對稱密碼的使用和研究幾乎是圍繞這兩種算法展開的，這兩種算法在國內擁有完全的自主權和極大的創新性，在國際上也受到了各國的認可。

在安全性方面，對稱密碼體制加密解密的結構相同，一旦密鑰泄露，任何人都能對信息進行加密和解密，所以對稱密碼算法是存在一定的安全風險的。SM4分組密碼算法目前尚未發現有任何一種攻擊方法能將其攻破，SM4分組密碼算法、祖沖之序列密碼算法(ZUC)與國際上其他分組密碼算法(這里選取AES-128、CAST-128、SEED、Camellia-128)對抗各種攻擊的結果對比如表2所示。

表2 SM4算法、ZUC算法與其他分組密碼對抗不可能攻擊結果

可見，國產密碼中SM4分組密碼算法在安全性上比國際上大多數分組算法都具有優勢，能夠抵抗常見的多種攻擊且表現十分優秀。ZUC算法作為序列密碼的安全性要求從體制本身就優于分組密碼，僅從其窮盡搜索的結果看來，ZUC算法的安全性也是很樂觀的。

在實現效率方面，吳筱等[27]曾測算出128位密鑰的SM4算法，運算速率為2.29 Gbps，而64位的DES算法，運算速度為1.28 Gbps，可見SM4算法在實現效率上是優于DES算法的。

3.3 非對稱密碼算法

國產商用密碼中目前自主設計的非對稱密碼算法僅有SM2橢圓曲線公鑰密碼算法和SM9標識密碼算法兩種，是我國密碼技術的跨越性創造成果，尤其是SM2算法是我國目前使用最為廣泛的一種國產密碼算法，可見非對稱密碼算法對國內密碼技術發展的重大意義。

在安全性方面，非對稱密碼算法與算法的橢圓曲線、數字簽名、密鑰交換協議、加解密算法均有密切關系。

汪朝暉等[28]曾對SM2算法的安全性進行了詳盡分析，可以總結為：第一，橢圓曲線的安全性關系著算法的安全，一條安全的橢圓曲線需滿足抗MOV攻擊條件、抗異常曲線攻擊條件、抗Pohlig-Hellman方法和Pollard方法攻擊條件、抗GHS方法攻擊條件，SM2算法采用的橢圓曲線完全滿足。第二，SM2算法中數字簽名算法具有防御自主選擇消息攻擊和密鑰替換攻擊的能力。第三，SM2算法中密鑰交換協議在ECDH密鑰交換協議較低安全性的基礎上，在信息互換過程中增加了信息認證。第四，SM2算法中加密解密算法中使用了Hash函數(SM3密碼雜湊算法等)來驗證涉及的明文和密文信息，增強了算法的博可延展性，從而具備了抵御強攻擊的能力。SM2橢圓曲線公鑰密碼算法在安全性上不亞于ECC算法、RSA算法，是屬于完全指數級的高復雜度算法。有數據[29]表明SM2算法210位的密鑰強度相當于RSA算法2 048位的密鑰長度，SM2算法160位的密鑰強度相當于RSA算法1 024位的密鑰長度，可見相同安全性水平下，SM2算法需要的密鑰長度更短，證明其算法的安全性是高于RSA算法的。

SM9標識密碼算法由于公布時間過晚，相關研究還十分稀少。袁峰等[30]曾對SM9算法的安全性進行了詳盡分析，可以總結為：第一，SM9算法中數字簽名算法安全性通過考察是否存在一個基于攻擊者的多項式算法可以求解τ-DHI問題。第二，SM9算法中公鑰加密算法安全性通過考察是否存在一個基于攻擊者的多項式算法可以求解τ-Gap-BDHI問題。第三，SM9算法中密鑰交換協議的安全性通過考察是否存在一個基于攻擊者的多項式算法可以求解τ-Gap-BDHI問題。由于τ-DHI問題和τ-Gap-BDHI問題計算難度和復雜度極高，因此SM9標識密碼算法的安全性是十分可觀的。

在實現效率方面，非對稱密碼體制由于要維護其高安全性，因此算法過于復雜，遠不及對稱密碼效率高，但是SM2算法的實現效率還是遠遠高過國際上的典型密碼算法RSA、DSA的。有數據[29]表明256位密鑰的SM2算法的簽名速度和驗簽速度分別為4 095次/秒和871次/秒，2 048位密鑰的RSA算法的簽名速度和驗簽速度分別為455次/秒和15 122次/秒，可見SM2算法具有簽名速度慢、驗簽速度快的特點，與RSA算法相反。

4 國產商用密碼的應用

國產商用密碼體系算法的應用具有數量大、范圍廣、認同度高的三個基本特點，可以從SM系列算法和ZUC序列算法的應用情況上充分體現出來。SM3密碼雜湊算法應用十分廣泛，目前支持該算法的產品多達1千多款，是我國金融系統、安全登錄系統、電子簽名類系統、云計算平臺、網絡安全設施等諸多領域的基礎技術。SM4分組密碼算法主要應用在無線局域網芯片中,支持該算法的產品多達700多種，滿足了國內各行業對對稱加密算法的需求,國際上與IBM公司合作，實現SM4與IBM主機兼容。SM7分組密碼算法在IC卡應用、票務應用、支付卡應用中發揮著重要作用，例如電子門票、門禁卡、校園一卡通、公交卡等[8]。祖沖之序列密碼算法主要在通信領域使用，手機終端已實現全部支持該算法，未來在物聯網、智能移動、語音加密等新興技術也將進一步推廣該算法。SM2橢圓曲線公鑰密碼算法的支持產品多達1 000多種，全國多家第三方機構、銀行、交通、海關等重要單位都完成了對SM2算法的支持工作。SM9標識密碼算法主要應用在安全郵件、身份識別方面，目前支持該算法的產品還很少，但是基于標識的密碼技術受到了越來越多人的重視，標識密碼的需求十分旺盛，發展前景和應用潛力相當樂觀。總之，國產商用密碼在短短幾年實現了飛躍式的成長和壯大。

以稅務行業為例,稅務數據的真實性和有效性是制約稅務信息化發展進程的瓶頸，在稅務行業主要通過發票控制稅源，因此發票的防偽至關重要。不法分子常常在發票上做文章，擾亂了社會秩序，損害了人民利益。傳統的利用紙張制造技術、油墨制造技術、特種印刷技術、激光全息技術防偽很難起到防止“買假用假”、“真票假開”、“套購倒賣”等現象，密碼技術的應用解決了這些難題[31]。我國在1994年提出了稅務系統“金稅工程”——全國增值稅專用發票計算機稽核網絡系統。這是我國商用密碼技術在稅務領域應用最早、時間最長、效益最好的一個典型示范。它包括全國從國家稅務總局到省、地市、縣四級統一的計算機主干網以及若干個覆蓋全國的增值稅一般子系統[32]，是利于覆蓋全國稅務機關的計算機網絡，對增值稅發票和企業納稅狀況進行嚴密監控的一個體系。這套系統在全國各地推廣近上百萬套，每年可為國家挽回數百億元的損失。正是因為有了國產商用密碼的中國“芯”，過去國內猖獗一時的利用增值稅專用發票偷逃稅款的現象得到了有效遏制，促進了市場經濟健康有序的發展。稅務系統只是國產商用密碼應用的一個縮影，卻充分反映出國產商用密碼對國家信息安全保障工作具有不可估量的經濟價值和社會價值。

盡管我國現有的密碼技術從無到有、從摸索到應用取得了巨大的技術成果，但國產商用密碼體系面對日新月異的世界絕不能止步于此，而是需要不斷改進和創新的。

第一，人類現有的密碼算法中找不到任何一種是完美無缺的，或多或少都存在一些棘手的問題，如密鑰管理難，數據共享難度大，用戶自主性低，難以防御丟失攻擊、盜竊攻擊、假冒攻擊等。常用的解決方案是將各有優缺點的密碼算法重構(融合或替換)，形成混合多種密碼算法思想的新型算法，這樣確實能達到去粗取精，但又帶來了有關算法使用權限自主性和可控性的新問題。

第二，算法的各種特性不能片面地評價為好與不好，隨著應用范圍的不斷擴大，應用場景需求的改變常常使算法的優點反而成為不可避免的詬病，例如：SM3算法由于其散列的高復雜度計算降低了使用中的適用性；SM2算法由于要保證其高安全性，算法實現的效率遠不如對稱密碼算法等等。因此算法的選取和性能的權衡至關重要。

第三，國際上量子密碼學、智能身份認證、同態密碼等前沿密碼技術的研究不斷更進，既是對國內的現有商用密碼體系發展新技術的機會又是對其中存在弊端的舊密碼算法機制的沖擊和變革。

第四，大數據、云計算、知識共享、物聯網、區塊鏈等新型技術的發展，激發了人們對高安全性和高效性需求的日益增長，給人們的生活模式帶來了電子支付、數字貨幣、電子交易、互聯網金融等的巨大轉變，這對我國的密碼體制提出了更新更高的要求。

第五，我國網絡安全投入相比國際上眾多國家是遠遠不夠的，僅占整個IT產業的1%～2%，而世界平均水平是5%～10%，其中歐美國家水平為8%～12%。

第六，“中興事件”、“棱鏡門”事件的發生，在一定程度上揭示了國際上沒有永遠的合作只有互斥利益的爭奪，披露了中國信息化基礎設施上對國外產品和國外技術重度使用的巨大隱患。

綜上所述，在密碼技術的實際應用中應結合各類算法的特點，權衡利弊，讓算法實現最優的性能發揮最大的作用。國家對于密碼技術的研究應更深入更廣泛更有針對性，加大資金、設備、信息的投入，積極培養相關領域的專業人才，對于國際的新型技術進行積極而充分的交流，在維護國家密碼體系自主權和控制權的基礎上注入新技術的活力。此外國家有關部門還應加強對密碼規范性的監管力度，對密碼的安全性進行嚴格地評估，從而推動國家的信息安全事業又穩又快地發展。

5 結 語

本文首先通過一些歷史大事件對國內外密碼技術的演進歷史和分類進行了提煉，從國產商用密碼體系切入，系統詳細地論述了我國現有商用密碼體系主要包括SM系列及祖沖之算法在內的各類商用密碼的算法特點、安全性分析和性能分析，最后分析了該體系的具體應用情況并對國產商用密碼體系的完善和發展進行了探討。相比大多數國際上的典型同類算法，國產商用密碼算法在安全性和實現效率方面都具有明顯的優勢，但在具體應用和推廣中還存在不足。國家相關部門應在完善現有國產密碼算法弊端的基礎上繼續對密碼新型技術和發展趨勢的創新開展研究，同時加強對密碼技術推廣和使用的監管力度，在保證國家對密碼算法完全自主性和可控性的前提下，實現對信息安全的強力保護和對信息攻擊的有效對抗。