基于GmSSL实现SM2无证书方案：原理、实践与安全考量

1. 项目概述：为什么我们需要SM2无证书方案？

最近在做一个对安全要求极高的内部系统，涉及到大量的身份认证和密钥交换。传统的公钥基础设施（PKI）方案，比如大家熟悉的RSA+CA证书那一套，用起来总觉得有点“重”。每次部署都要申请证书、管理证书链、处理过期和吊销，运维成本不低。尤其是在一些轻量级、快速迭代的物联网或者微服务场景下，证书管理成了负担。正好团队在国密改造，SM2是必选项，我就琢磨着，能不能用SM2，但把证书这个“包袱”给卸了？

这就是“无证书公钥密码体制”吸引我的地方。它本质上是一种基于身份的密码学，你的公钥可以直接从你的身份标识（比如邮箱、手机号、设备ID）推导出来，私钥则由一个可信的密钥生成中心（KGC）和你自己共同生成。这样，既避免了复杂的证书管理，又继承了非对称密码学的安全优势。而GmSSL，作为国内支持国密算法最全面的开源密码库，自然成了我的首选工具。不过，GmSSL官方主要提供的是基于证书的SM2实现，无证书方案需要我们自己动手“搭积木”。这过程踩了不少坑，也积累了一些心得，今天就详细拆解一下基于GmSSL实现SM2无证书方案的全过程。

2. 核心原理与架构设计拆解

在动手写代码之前，我们必须把无证书方案的核心逻辑吃透。这不同于简单的调用一个API，你需要理解背后的密码学协议和交互流程。

2.1 无证书密码学的基本思想

传统的PKI体系中，用户公钥的真实性依赖于第三方CA签发的数字证书。无证书体制则移除了这个显式的证书。它的核心在于将用户的公钥与其身份标识进行绑定。通常，系统会有一个密钥生成中心（KGC）。KGC掌握一个主私钥，并公开对应的主公钥和一些系统参数。

当用户（假设身份为ID_A）加入系统时，流程大致如下：

  1. KGC根据ID_A和主公钥，计算出一个部分私钥（Partial Private Key）发送给用户。这个过程中，用户需要向KGC证明自己拥有该身份（例如，通过控制该身份对应的邮箱）。
  2. 用户自己再随机生成一个秘密值（Secret Value）。
  3. 用户的完整私钥由“部分私钥”和“秘密值”共同合成。用户的公钥则由“主公钥”、“身份ID”和“秘密值对应的公钥分量”推导或计算得出。

这样，攻击者要冒充用户，要么需要攻破KGC拿到主私钥来伪造部分私钥，要么需要破解用户自己保管的秘密值。安全性建立在两个难题之上，这就是所谓的“双困难问题”安全模型。

2.2 基于SM2的无证书方案设计

SM2本身是一个椭圆曲线密码算法，包含数字签名、密钥交换和公钥加密。我们要在无证书环境中使用它，关键在于如何将上述无证书的思想，映射到SM2的椭圆曲线数学框架上。

一个典型的基于SM2的无证书签名方案（CL-SM2）可以这样设计：

  • 系统建立：KGC选择一条SM2推荐的椭圆曲线，并选定一个基点G。然后随机生成主私钥s，并计算主公钥Ppub = s * G。公开系统参数：曲线参数、G、Ppub、哈希函数等。
  • 部分私钥生成：对于用户ID，KGC计算Q_id = H1(ID)，这里H1是一个将身份映射到曲线上一个点的哈希函数。然后计算部分私钥D_id = s * Q_id。将D_id安全地发送给用户。
  • 用户密钥生成：用户随机选择秘密值x，计算P_x = x * G。用户的完整私钥是(D_id, x)，公钥是(Q_id, P_x)。注意，公钥中的Q_id是公开可计算的（通过H1(ID)），P_x是用户公开的。
  • 签名：当用户要用私钥(D_id, x)对消息M签名时，签名算法会同时用到D_id和x。生成的签名，验证者则需要使用用户的公钥(Q_id, P_x)和系统主公钥Ppub来进行验证。

这个设计巧妙之处在于，验证方程中会同时包含Ppub（证明部分私钥的有效性）和P_x（证明秘密值的有效性），从而无需证书即可确认公钥的真实性。

2.3 为什么选择GmSSL？

首先当然是国密合规的刚性需求。其次，GmSSL提供了完整的SM2底层原语，包括椭圆曲线点运算、标量乘法、哈希函数等。我们不需要从头实现椭圆曲线数学，这避免了大量容易出错的基础工作。我们可以将GmSSL当作一个强大的“数学计算引擎”，在其上构建无证书协议的逻辑层。当然，GmSSL的文档和接口对新手不算友好，这也是我们需要克服的难点。

3. 开发环境搭建与GmSSL集成

理论清晰了，接下来就是实战环境。我选择在Linux系统上开发，语言用C++，因为GmSSL原生API是C的，集成起来最直接。

3.1 编译与安装支持SM2的GmSSL

这里就遇到了第一个热搜词相关的问题：“openssl 怎么编译支持sm2”。虽然说的是OpenSSL，但GmSSL同理。很多教程让你下载预编译包，但我强烈建议从源码编译，确保所有国密特性都开启。

# 1. 从GitHub克隆最新代码 git clone https://github.com/guanzhi/GmSSL.git cd GmSSL # 2. 创建构建目录并配置 mkdir build cd build # 关键配置项：启用静态库、指定安装路径、确保SM2/SM3/SM4等算法被包含 ../configure --prefix=/usr/local/gmssl --openssldir=/usr/local/gmssl/ssl # 3. 编译并安装 make sudo make install # 4. 将GmSSL库路径加入系统环境 echo '/usr/local/gmssl/lib' | sudo tee /etc/ld.so.conf.d/gmssl.conf sudo ldconfig # 5. 验证安装，检查SM2算法是否可用 /usr/local/gmssl/bin/gmssl version /usr/local/gmssl/bin/gmssl ecparam -list_curves | grep -i sm2

编译过程如果遇到缺失的依赖（如perl），根据报错安装即可。这一步确保我们有一个纯净、功能完整的GmSSL环境。

3.2 项目工程配置

我的项目使用CMake管理。关键点在于正确链接GmSSL的库和头文件。

cmake_minimum_required(VERSION 3.10) project(CL_SM2_Demo) set(CMAKE_CXX_STANDARD 11) # 关键：找到GmSSL的安装路径 set(GMSSL_ROOT /usr/local/gmssl) find_path(GMSSL_INCLUDE_DIR NAMES gmssl/sm2.h PATHS ${GMSSL_ROOT}/include) find_library(GMSSL_CRYPTO_LIB NAMES gmssl PATHS ${GMSSL_ROOT}/lib) include_directories(${GMSSL_INCLUDE_DIR}) add_executable(cl_sm2_demo main.cpp kgc.cpp user.cpp) target_link_libraries(cl_sm2_demo ${GMSSL_CRYPTO_LIB})

注意，GmSSL的头文件可能位于gmssl/子目录下，包含时要写#include <gmssl/sm2.h>。

4. 核心模块实现详解

我们的demo主要分为三个部分：KGC（密钥生成中心）、用户（签名方）、验证者。这里我重点讲KGC和用户端的核心代码实现。

4.1 KGC模块：系统参数与部分私钥生成

KGC的首要任务是初始化系统。我们需要生成SM2曲线参数，实际上GmSSL已经内置了标准SM2曲线（sm2p256v1），我们直接使用即可。

// kgc.h #include <gmssl/sm2.h> #include <string> #include <vector> class KGC { public: KGC(); bool setup(); // 系统初始化 std::vector<uint8_t> generatePartialPrivateKey(const std::string& user_id); // 生成部分私钥 const std::vector<uint8_t>& getMasterPublicKey() const { return master_pub_key_; } private: SM2_KEY master_key_; // 主密钥对 std::vector<uint8_t> master_pub_key_; // 主公钥（压缩或未压缩格式） // 其他系统参数，如曲线ID等 };

setup函数的实现：

bool KGC::setup() { // 1. 生成SM2密钥对作为主密钥对 if (sm2_key_generate(&master_key_) != 1) { std::cerr << "Failed to generate SM2 master key pair." << std::endl; return false; } // 2. 提取主公钥。SM2_KEY结构体里包含公钥点。 // 我们需要将其编码为字节流以便分发。这里使用未压缩格式（04 || X || Y）。 uint8_t pub_key_buf[65]; // 未压缩公钥为65字节 size_t pub_key_len = sizeof(pub_key_buf); // 注意：GmSSL的sm2_key_get_public_key函数可能需要根据版本调整 // 这里假设一个将公钥点编码到缓冲区的辅助函数 if (!encode_public_key_to_uncompressed(master_key_, pub_key_buf, &pub_key_len)) { return false; } master_pub_key_.assign(pub_key_buf, pub_key_buf + pub_key_len); std::cout << "KGC Setup Successful. Master Public Key length: " << master_pub_key_.size() << std::endl; return true; }

generatePartialPrivateKey是核心，它需要实现将用户ID映射到曲线点，并用主私钥进行标量乘。

std::vector<uint8_t> KGC::generatePartialPrivateKey(const std::string& user_id) { // 1. 将用户ID哈希并映射到椭圆曲线点Q_id。这是一个关键步骤。 // SM2的签名算法中本身有一个将消息哈希到曲线点的函数（sm2_compute_z）， // 我们可以借鉴其思想，或者使用一个标准的哈希到曲线（Hash-to-Point）算法。 // 这里简化演示，使用SM3哈希后，取哈希值作为标量，计算 Q_id = hash * G。 // !!! 注意：这只是为了演示原理，生产环境必须使用密码学安全的哈希到曲线算法 !!! uint8_t hash[32]; sm3_digest((const uint8_t*)user_id.data(), user_id.size(), hash); SM2_POINT Q_id; // 此处需要实现一个函数，将哈希值转换成一个合理的曲线点。 // 一种简单（非标准）方法：将哈希值视为私钥，计算其对应的公钥点作为Q_id。 SM2_KEY temp_key; // 将哈希值拷贝到私钥结构（需确保在曲线阶范围内） memcpy(temp_key.private_key, hash, 32); // 计算公钥点 sm2_key_generate_public_key(&temp_key); // 这个函数名可能是假设的，实际需调用点乘基点的函数 // 获取temp_key中的公钥点，赋值给Q_id // ... (具体GmSSL API调用) // 2. 计算部分私钥 D_id = s * Q_id (s是主私钥) SM2_POINT D_id_point; // 使用GmSSL的点乘函数，用主私钥s去乘点Q_id // 这需要调用底层的椭圆曲线点乘函数，如 ec_point_mul。 // GmSSL的API可能封装在SM2相关函数内部，可能需要直接使用EC_KEY或BN_*系列函数。 // 伪代码：EC_POINT_mul(group, D_id_point, NULL, Q_id, master_private_key_bn, ctx); // 3. 将D_id_point编码为字节流，发送给用户。 std::vector<uint8_t> partial_priv_key; // ... 编码逻辑 return partial_priv_key; }

注意：哈希到曲线（Hash-to-Point）是密码学中的一个重要且容易出错的操作。上述简化方法仅用于理解流程。在实际的无证书方案标准（如一些IEEE或国密标准草案）中，会有明确指定的、安全的哈希到曲线算法。切勿在真实系统中使用自行设计的简易映射方法，这可能导致严重的安全漏洞。

4.2 用户模块：密钥生成与签名

用户端收到部分私钥D_id后，需要生成自己的秘密值x，并合成完整密钥。

// user.h class User { public: User(const std::string& id); bool generateKeyPair(const std::vector<uint8_t>& partial_priv_key, const std::vector<uint8_t>& master_pub_key); std::vector<uint8_t> sign(const std::string& message); const std::vector<uint8_t>& getPublicKey() const { return full_pub_key_; } private: std::string user_id_; SM2_POINT partial_priv_key_point_; // 部分私钥D_id对应的点 BIGNUM* secret_value_bn_; // 秘密值x SM2_POINT public_key_point_; // 完整公钥对应的点（由Q_id和P_x合成） std::vector<uint8_t> full_pub_key_; // 编码后的完整公钥 // 需要存储主公钥用于后续计算 };

generateKeyPair函数：

bool User::generateKeyPair(const std::vector<uint8_t>& partial_priv_key, const std::vector<uint8_t>& master_pub_key) { // 1. 解码得到部分私钥点 D_id_point // 2. 随机生成秘密值 x (一个BIGNUM大数) secret_value_bn_ = BN_new(); BN_rand_range(secret_value_bn_, curve_order); // curve_order是曲线阶n // 3. 计算 P_x = x * G SM2_POINT P_x_point; // EC_POINT_mul(group, P_x_point, secret_value_bn_, NULL, NULL, ctx); // 4. 计算完整公钥点。根据具体方案设计，完整公钥可能是 (Q_id, P_x) 的某种组合或单独一个点。 // 例如，在某些方案中，完整公钥 P = Q_id + P_x。 // 这里假设方案为 P = Q_id + P_x。 // 首先需要从用户ID计算 Q_id (必须和KGC计算方式一致！) SM2_POINT Q_id_point; // ... 计算Q_id (同KGC算法) // 然后点加：EC_POINT_add(group, public_key_point_, Q_id_point, P_x_point, ctx); // 5. 编码完整公钥点，存储。 // ... 编码逻辑 return true; }

签名函数sign是整个无证书方案的精髓，它需要将协议融入SM2的标准签名流程。标准的SM2签名需要用户私钥d和消息M。在我们的无证书方案中，等效的“私钥”是(D_id, x)。我们需要修改SM2签名的内部计算，使其在生成签名(r, s)时，同时用到这两个分量。

这通常意味着我们需要重写或深度定制sm2_do_sign函数。核心是修改其中计算e（哈希值）和k（临时密钥）后，生成r和s的方程。原始的SM2签名方程是：s = ((1 + d)^-1 * (k - r * d)) mod n，其中d是私钥。

在无证书方案中，d不再是一个简单的标量，而是与D_id和x相关的函数。例如，可能定义为d = (hash(x) + partial_priv_key_scalar) mod n，其中partial_priv_key_scalar是从点D_id派生出的一个标量（例如，取其x坐标的哈希）。具体方程必须严格遵循你所采用的、经过密码学证明的无证书SM2方案论文或标准。

std::vector<uint8_t> User::sign(const std::string& message) { // 1. 计算消息的哈希值 Z_A 和 e，这部分与标准SM2相同。 uint8_t z[32]; uint8_t e[32]; // sm2_compute_z(...); // 计算Z_A // 将Z_A || M 一起哈希得到e // 2. 生成临时随机数 k (BIGNUM) BIGNUM* k = BN_new(); BN_rand_range(k, curve_order); // 3. 计算椭圆曲线点 (x1, y1) = k * G SM2_POINT kG_point; // EC_POINT_mul(group, kG_point, k, NULL, NULL, ctx); // 将点kG的x坐标转换为大数 x1 BIGNUM* x1 = BN_new(); // ... 从kG_point提取x坐标到x1 // 4. 计算 r = (e + x1) mod n BIGNUM* r = BN_new(); BIGNUM* e_bn = BN_bin2bn(e, 32, NULL); BN_mod_add(r, e_bn, x1, curve_order, ctx); // 5. 关键修改：计算 s。 // 标准SM2: s = ((1 + d)^-1 * (k - r * d)) mod n // 无证书SM2: 这里的 d 是合成私钥，由 secret_value_bn_ 和 partial_priv_key_point_ 派生。 // 假设合成私钥 d = (hash(secret_value) + d_id) mod n，其中d_id是partial_priv_key_point_的某种标量表示。 BIGNUM* d = BN_new(); // 计算 hash_of_x = SM3(secret_value_bn_的字节表示) // 计算 d_id_scalar = 从 partial_priv_key_point_ 派生的标量（例如，取其x坐标的哈希） // BN_mod_add(d, hash_of_x_bn, d_id_scalar_bn, curve_order, ctx); // 计算 (1+d) mod n BIGNUM* tmp1 = BN_new(); BN_one(tmp1); BN_mod_add(tmp1, tmp1, d, curve_order, ctx); // 计算 (1+d)^-1 mod n BIGNUM* inv_1_plus_d = BN_mod_inverse(NULL, tmp1, curve_order, ctx); // 计算 r * d mod n BIGNUM* r_times_d = BN_new(); BN_mod_mul(r_times_d, r, d, curve_order, ctx); // 计算 k - r * d mod n BIGNUM* k_minus_rd = BN_new(); BN_mod_sub(k_minus_rd, k, r_times_d, curve_order, ctx); // 最终计算 s = inv_1_plus_d * k_minus_rd mod n BIGNUM* s = BN_new(); BN_mod_mul(s, inv_1_plus_d, k_minus_rd, curve_order, ctx); // 6. 将r和s编码为DER或简单拼接格式输出 std::vector<uint8_t> signature; // ... 编码逻辑 (注意处理r,s可能小于32字节的情况，需补零) // 7. 清理所有BIGNUM和点 BN_free(k); BN_free(x1); BN_free(e_bn); BN_free(r); BN_free(d); // ... 清理所有 return signature; }

这段代码是概念性伪代码，重点展示了在签名计算环节需要如何介入合成私钥d。你必须依据所选定的、经过安全论证的无证书SM2方案的具体数学公式来实现，绝不能自行发明。

5. 验证模块与系统联调

验证者持有主公钥Ppub、用户的身份ID和用户公开的完整公钥P（或(Q_id, P_x)）。验证签名时，也需要使用修改后的SM2验证方程。

标准SM2验证方程是检查r = (e + x1') mod n是否成立，其中(x1', y1') = (s + r) * G + s * P，P是公钥点。

在无证书方案中，验证方程会变得更加复杂，需要同时用到主公钥Ppub和用户公钥分量。例如，可能需要验证一个等式，该等式中包含了r,s,e,Ppub,Q_id,P_x等所有元素。验证函数的实现同样必须严格遵循方案定义。

联调测试时，需要构建一个完整的流程：

  1. KGC启动，生成主公钥。
  2. 用户A向KGC注册身份ID_A，获得部分私钥D_id。
  3. 用户A生成秘密值x，合成完整密钥对，并公开其完整公钥P_A。
  4. 用户A对消息M签名，得到签名Sig。
  5. 验证者V获取Ppub,ID_A,P_A,M,Sig，进行验证。

测试用例应覆盖签名/验证成功、错误身份、错误公钥、篡改消息等场景。

6. 常见问题、踩坑记录与优化建议

实现过程中，我遇到了无数问题，下面挑几个典型的来说。

6.1 GmSSL API的晦涩与兼容性

GmSSL的API文档较少，很多函数需要阅读源码头文件来理解。例如，直接操作椭圆曲线点和大数的函数，可能隐藏在<gmssl/ec.h>或<gmssl/bn.h>中，而不是在sm2.h里。经常需要混合使用不同层次的API。

踩坑1：内存管理。GmSSL的许多结构体（如SM2_KEY,SM2_POINT）以及底层的BIGNUM、EC_POINT，需要手动管理内存。忘记释放会导致内存泄漏。建议使用RAII（资源获取即初始化）思想封装成C++类，在析构函数中自动清理。

踩坑2：字节序与编码格式。椭圆曲线点有多种编码格式（未压缩04||X||Y，压缩02/03||X）。GmSSL函数输入输出所用的格式必须仔细核对。主公钥、用户公钥在系统间传递时，必须统一编码格式。签名值(r, s)的编码也要注意，是简单的拼接（各32字节），还是ASN.1 DER编码。我们的无证书方案签名输出，建议也定义为固定的二进制格式。

6.2 哈希到曲线（Hash-to-Point）的实现

这是最大的技术难点和安全隐患。如前所述，绝对不能简单地将身份ID的哈希值当作标量或坐标。需要寻找标准化的算法。可以研究RFC 9380 (Hashing to Elliptic Curves) 或国密相关标准草案。一个相对安全的过渡方案是：使用一个密码学安全的密钥派生函数（KDF），将ID和额外信息（如计数器）反复哈希，直到输出的值能映射到曲线上一个有效的点。但这仍然需要谨慎设计和评审。

6.3 性能考量

无证书方案的签名和验证过程，由于涉及更多的点运算和哈希，通常会比标准的基于证书的SM2慢一些。在性能敏感的场景，需要做好基准测试。可以考虑缓存一些中间结果，比如用户公钥Q_id（由ID计算得出）可以预先计算并存储。

6.4 关于网络热词的联想

  • “gmssl connect failed”：这通常是SSL/TLS握手失败。在我们的无证书场景下，意味着你需要自己实现一套基于无证书SM2密钥交换（CL-SM2-KE）的握手协议，来替代标准的TLS。这又是一个庞大的工程，需要设计消息交互流程、协商临时密钥、计算共享秘密等。
  • “python 实现 sm2签名验签”：如果你想用Python快速原型验证无证书方案逻辑，可以先用gmssl-python绑定库或者cryptography库结合python-gmssl来实现核心的SM2运算，而将复杂的无证书协议逻辑用Python表达。这有助于快速验证算法正确性，再移植到C++。
  • “sm2在线加密/解密”：在线工具通常用于标准SM2。无证书方案的加密解密同样需要定制。加密时，不仅要用到接收方的公钥，可能还要用到其身份ID和系统主公钥。解密方则需要自己的部分私钥和秘密值来合成解密私钥。

7. 安全注意事项与生产级思考

  1. KGC安全是根本：KGC的主私钥是整个系统的信任根。必须采用最高级别的物理和逻辑安全措施保护，如硬件安全模块（HSM）。一旦主私钥泄露，攻击者可以为任意身份生成有效的部分私钥。
  2. 部分私钥的安全分发：KGC将部分私钥D_id发送给用户时，必须使用安全的、认证的通道，防止被窃听或篡改。可以考虑使用用户预先注册的公钥（临时密钥对）进行加密。
  3. 抵抗恶意KGC攻击：在无证书方案中，KGC知道用户的部分私钥，但不知道用户的秘密值。一个好的方案应该能证明是“抵抗恶意KGC的”，即即使KGC作恶，它也无法冒充用户（因为不知道用户的秘密值）。在选择具体方案时，要确认其安全证明中包含了这一属性。
  4. 密钥更新与撤销：无证书方案同样需要密钥更新和身份撤销机制。对于密钥更新，用户可以定期生成新的秘密值x'，从而更新公钥P_x'，而部分私钥D_id可以不变（除非系统主密钥更新）。对于身份撤销，则需要维护一个撤销列表（RL），验证者在验证时需检查用户ID是否在RL中。这引入了轻量的状态管理，但比证书吊销列表（CRL）要简单。
  5. 标准化与合规：目前无证书密码体制的国际标准（如ISO/IEC 14888-3）和国密标准体系仍在发展和完善中。在关键系统中应用，务必关注相关标准的进展，并考虑与现有PKI体系的兼容与过渡方案。

实现基于GmSSL的SM2无证书方案，是一次深入密码学协议和底层库的实践。它让你超越简单的API调用者，真正理解密钥如何产生、如何关联、如何被使用。虽然过程充满挑战，但对于构建无需中心化CA的轻量级安全体系，是一个非常有价值的探索方向。在真正部署前，务必进行充分的安全审计和测试，最好能邀请密码学专家对方案实现进行评审。