共计 3923 个字符，预计需要花费 10 分钟才能阅读完成。
01 引言 -TLS 1.3 协定及 SM 算法
说起 TLS，大家肯定不会生疏，TLS 能够说是整个互联网安全的基石，保障着咱们的通信数据的平安。自从 2014 年 Heartbleed 破绽被发现以来，网络安全受人关注的水平越来越高，出于更平安更快捷的需要，TLS 1.3 协定也随之被提出，其相应的 RFC 于 2018 年正式公布。随着网络安全越来越受到重视，平安策略也逐渐回升到国家策略的高度，国家明码局在 2010 年底颁布了我国自主研制的“椭圆曲线公钥明码算法”（SM2 算法），并随后陆续公布了国密算法 SM1-SM9（SM 代表商密的拼音大写）。明天咱们要分享的货色，就和 TLS 1.3 及国密无关。
首先先让大家对这两者之间的关系有一个根本的概念，咱们以一个典型的 TLS 1.2 中的密钥套件为例：
对应到咱们的国密的算法上，则各个算法对应的套件如下：
1、密钥替换算法：ECC-SM2，ECDHE-SM2（这里先不具体开展，只简略介绍一下，国密的密钥替换算法基于以后的椭圆曲线算法设计了两种专门的算法，而对应的曲线则是 SM2 曲线）；
2、数字签名算法：SM2（SM2 既是签名算法的名称，同时在椭圆曲线算法中对应的曲线名也叫 SM2，有的博客文档里也将密钥替换算法称作 SM2，读者请留神不要混同）；
3、对称加密算法：SM4；
4、hash 算法：SM3。
也就是说，国密局针对平安握手各个阶段所须要的算法都出台了一份自主可控的算法。
02 why 国密？why not 国密？
先说说为什么要用国密，国密算法作为国密局的主力产品，必定是在很多中央有劣势的，先来总结下国密的典型劣势：
1、更平安：SM2 作为一种 ECC 算法（256 位）的安全性是要高于 2048 位的 RSA 的。同时 SM3 的摘要长度为 256 bit，平安强度也是要高于过后支流的 MD5 算法及 SHA1 算法的。
2、更疾速：在通信过程中，256 位的 SM2 算法相比于 2048 位的 RSA 算法（国密算法在设计时，RSA2048 是支流签名算法，所以这里暂不探讨 ECDSA 等算法），能够传输更少的数据，也就意味着更少的传输工夫，并且在实践上来说，SM2 签名算法的计算速度是要快过 RSA2048 不少的。
3、自主可控：在目前这个国际形势下，这是最最最要害的一点！
国密听起来像是中国明码的一次变革，但这些年却始终没有大面积推广开来，阐明其自身必定有一些问题的，这里抛开一些细节的小问题，谈一谈国密算法在大规模落地过程中遇到的一些比拟辣手的问题：
1. 速度不够快（麻烦指数★★★）
国密整个 TLS 会话流程中波及到的几个算法，绝对支流国内算法来说，大部分状况下性能均绝对弱势，这里针对一些给出一些简略的性能比照表：
对称加密算法性能比照 ：
签名算法性能比照 ：
hash 算法性能比照 ：
从比照中咱们能够看到，国密的这些算法目前和国内算法性能经常不在一个量级，无论是对称加密还是非对称加密的局部。究极根本原因，还是因为各种通用的国内算法遍及水平太大，在工程上有着相应的多层次的优化（硬件计算和各种软减速伎俩），以对称加密为例：国密对称加密算法 SM4 对标的算法是 aes-128，从自身的加密原理上来看，SM4 在实践上不会和 aes-128 产生如此大的差距，然而 AES 因为普遍性切实太强，典型的 AES 实现都基于 Intel 的 SIMD 指令集对其进行了并行化减速，而 SM4 目前只有纯软的实现，性能上天然有不小的差距。不仅如此，目前的支流对称加密模式为 GCM 及 CCM 模式，其背地的思维为加密即认证技术（AEAD），而国密算法尚不反对这种模式，在安全性上也存在着一些弱点。
2. 须要双证书（★★★★）
要把双证书讲清楚首先须要大家了解下 PKI 密钥协商机制，典型的密钥协商算法分为两种：RSA，ECDHE。国密的 ECC-SM2 密钥协商流程和 RSA 比拟相似，算法外围的性质在于用公钥加密的数据能够用私钥解密，整个密钥协商流程简化如下图：
而 ECDHE-SM2 比拟相似 ECDHE 算法，均是基于 DH 和 ECC 的算法，了解起来更加容易，流程简化如下图：
咱们再来谈双证书这个事件，双证书分为签名证书和加密证书，这套体系的目标是满足国家对于敏感数据强管控诉求，即只有能抓到所有数据包，则管控机构则能够在实践上复原出所有明文数据，由此催生出了加密证书这个货色，加密证书的私钥须要在专门的机构留底。咱们来看 RSA 的密钥替换流程，只有领有了私钥，则两头的密钥生成的资料（随机数）也就能够在实践上进行导出。而对于 ECDHE-SM2 来说，对称密钥的导出流程不仅仅只由随机数 a/c 来决定，同时也须要加密证书对应的私钥参加到计算中（具体流程比拟繁琐，这里不开展，读者可参考 GM/T 0024 规范浏览具体的细节），也就意味着当私钥被监管，则对称密钥能够实践上被导出。
这套体系很强悍，但难就难在目前所有支流明码库如 openssl，boringssl 都不反对，那么这也就意味着如果要推动这套体系的普适度，要么基于支流明码库开发，并推动开源社区承受，进而缓缓渗透到国内用户把这套体系用起来，要么在尽可能兼容目前明码体系的状况下开发一套新的明码库并强制国内用户替换，每一种方法都存在不小的难度。
3. 须要客户端也持有证书（★★★★★）
国密在 GM/T 0024 规范外面定义了基于 ECDHE-SM2 算法的密钥替换流程，但这个算法的要求非常刻薄，必须要求 Client 也持有证书，确实这对于安全性有肯定晋升，但麻烦也就随之而来，支付宝的客户端目前没有证书，如果加上证书会让 App 更重，握手交互的数据更多，极大升高用户体验。这些问题还不够致命，如何治理海量的端上证书，才是真正令人头疼的麻烦。
兴许你会问：不必 ECDHE 不就好了嘛，但从技术的演进趋势来看，高效 / 平安是咱们手不释卷的谋求，而类 RSA 的握手流程则从本源上限度了国密 ECC 密钥替换流程无奈演进到 1-RTT 握手，0-RTT 信息传输。不仅如此，ECHDE 的安全性及性能，也要好很多。在 TLS 1.3 的 1RTT 规范握手流程中，明确定义了破除 RSA 握手，只反对 ECDHE。目前这个状况就造成了一个死锁，想用 TLS 1.3-> 须要 ECDHE-> 须要 Client 有证书 -> 没有证书且不想用证书 -> 问题无解。
03 重磅推出，TLS 1.3+ 国密算法套件
针对国密落地过程中的这些痛点问题，2019 年 8 月份，由蚂蚁的同学牵头，撰写了一份 TLS 1.3+ 国密算法 draft，并最终成为了一份 IETF 规范文档：
整个规范设计的核心思想是：整合目前国密算法劣势，全面贴合国内上的平安技术思路，把不好用的货色先临时剔除掉，晋升国密算法在国内及国内上的影响力，从而让更多组织及集体参加到国密算法的应用和建设中来。基于这个思路，咱们联结了 360 等公司，通过和国密局的屡次沟通，正式推出了相干规范。在整个流程上，咱们在 ECDHE 算法上勾销了 Client 证书的要求，并临时放宽了双证书的需要，由此推出了两个残缺的国密算法套件，并确定了签名算法及曲线的规范号。同时咱们基于 TLS 1.3 的 AEAD 需要，定义了 SM4 的 GCM 模式和 CCM 模式，并对此做了实现。
整个 draft 定义了以下几个规范（目前这几个规范都曾经拿到了对应的规范号）：
国密 SM2 曲线的规范号：curveSM2（41），这个规范号的作用容许 Client 和 server 在进行 TLS 1.3 握手时，应用 curveSM2 作为约定曲线，相当于让 ECDHE_SM2 成为了 TLS 1.3 中的国际标准（当然这里不须要 Client 持有证书）。
基于 SM2 及 SM3 的签名算法规范号：sm2sig_sm3（0x0708），这个规范号的性能在于当前在 TLS 1.3 的流程中，如果 server 持有的是国密证书，则能够默认采纳 sm2sig_sm3 作为签名算法，而它的意义在于：国密证书从此也成了规范。
基于 TLS 1.3 及 SM2,SM3,SM4 算法的密钥套件：
TLS_SM4_GCM_SM3（0x00,0xC6）以及 TLS_SM4_CCM_SM3（0x00,0xC7），它意味着从此你能够依照规范应用 TLS 1.3 的 1RTT 握手 + 国密算法，既满足国家标准要求，又可能疾速不便。同时 SM4 算法也用上了更平安的 GCM/CCM 模式。
当然，规范也须要工程化的落地实现，而往往工程实现才是真正决定一份算法是否好用的相对因素。针对 SM2/3/4 性能较差的问题，咱们设计并落地了很多计划来进行优化，诸如：异步化的 SM2 硬件加速流程；基于 SIMD 的 SM4 软优化实现等。基于这些技术，真正做到了让国密在生产可用，开销可控。
04 总结
当日长缨在手，今朝终缚苍龙。回头看来，协定从一份草案落地成为正式的 IETF 规范文档，差不多通过了两年左右的工夫，期间和 IETF 工作组进行多轮，多方的探讨，草案也通过了多轮订正，最终能修成正果，实属不易。随着 TLS 1.3+ 国密正式成为了国家 / 国内层面均认可的规范（RFC8998），咱们也正式在 BabaSSL 中反对了相干能力并将其开源，并建设了 BabaSSL 社区。
所谓鹏北海，凤向阳，又携书剑路茫茫，BabaSSL 建设的初心是为经济体打造对立 / 易用的国密明码库，但仅仅一份国密的规范的落地与实现绝不会是 BabaSSL 的起点，BabaSSL 会始终朝着更远的星辰大海奋斗，咱们正在踊跃落地着量子随机数，MPK，Delegated Crendential 等前沿技术，当然，那又是另一些故事了。
本周举荐浏览
- 揭秘 AnolisOS 国密生态，想要看懂这一篇就够了
- MOSN 子项目 Layotto：开启服务网格 + 利用运行时新篇章
- 开启云原生 MOSN 新篇章 — 交融 Envoy 和 GoLang 生态
- MOSN 多协定扩大开发实际
更多文章请扫码关注“金融级分布式架构”公众号
