国密算法简介
国密算法，即国家商用密码算法。是由国家密码管理局认定和公布的密码算法标准及其应用规范，其中部分密码算法已经成为国际标准。如SM系列密码，SM代表商密，即商业密码，是指用于商业的、不涉及国家秘密的密码技术。
商用密码有很多，作为一览，我整理出下表，列举了常用的国际跟国产商密：
下面逐个介绍下几种常用的国密算法：
SM1是一种分组加密算法
对称加密算法中的分组加密算法，其分组长度、密钥长度都是128bit，算法安全保密强度跟 AES 相当，但是算法不公开，仅以IP核的形式存在于芯片中，需要通过加密芯片的接口进行调用。
采用该算法已经研制了系列芯片、智能IC卡、智能密码钥匙、加密卡、加密机等安全产品，广泛应用于电子政务、电子商务及国民经济的各个应用领域(包括国家政务通、警务通等重要领域)。
SM2是非对称加密算法
它是基于椭圆曲线密码的公钥密码算法标准，其密钥长度256bit，包含数字签名、密钥交换和公钥加密，用于替换RSA/DH/ECDSA/ECDH等国际算法。可以满足电子认证服务系统等应用需求，由国家密码管理局于2010年12月17号发布。
SM2采用的是ECC 256位的一种，其安全强度比RSA 2048位高，且运算速度快于RSA。
SM3是一种密码杂凑算法
用于替代MD5/SHA-1/SHA-2等国际算法，适用于数字签名和验证、消息认证码的生成与验证以及随机数的生成，可以满足电子认证服务系统等应用需求，于2010年12月17日发布。
它是在SHA-256基础上改进实现的一种算法，采用Merkle-Damgard结构，消息分组长度为512bit，输出的摘要值长度为256bit。
SM4是分组加密算法
跟SM1类似，是我国自主设计的分组对称密码算法，用于替代DES/AES等国际算法。SM4算法与AES算法具有相同的密钥长度、分组长度，都是128bit。于2012年3月21日发布，适用于密码应用中使用分组密码的需求。
国密即国家密码局认定的国产密码算法。主要有SM1，SM2，SM3，SM4。密钥长度和分组长度均为128位。
由于SM1、SM4加解密的分组大小为128bit，故对消息进行加解密时，若消息长度过长，需要进行分组，若消息长度不足，则要进行填充。
国密算法的安全性
SM2算法：SM2椭圆曲线公钥密码算法是我国自主设计的公钥密码算法，包括SM2-1椭圆曲线数字签名算法，SM2-2椭圆曲线密钥交换协议，SM2-3椭圆曲线公钥加密算法，分别用于实现数字签名密钥协商和数据加密等功能。SM2算法与RSA算法不同的是，SM2算法是基于椭圆曲线上点群离散对数难题，相对于RSA算法，256位的SM2密码强度已经比2048位的RSA密码强度要高。
SM3算法：SM3杂凑算法是我国自主设计的密码杂凑算法，适用于商用密码应用中的数字签名和验证消息认证码的生成与验证以及随机数的生成，可满足多种密码应用的安全需求。为了保证杂凑算法的安全性，其产生的杂凑值的长度不应太短，例如MD5输出128比特杂凑值，输出长度太短，影响其安全性。SHA-1算法的输出长度为160比特，SM3算法的输出长度为256比特，因此SM3算法的安全性要高于MD5算法和SHA-1算法。
SM4算法：SM4分组密码算法是我国自主设计的分组对称密码算法，用于实现数据的加密/解密运算，以保证数据和信息的机密性。要保证一个对称密码算法的安全性的基本条件是其具备足够的密钥长度，SM4算法与AES算法具有相同的密钥长度分组长度128比特，因此在安全性上高于3DES算法。
随着国密算法推广的延伸，金融领域引入SM2、SM3、SM4等算法逐步替换原有的RSA、ECC等国外算法。现有银联银行卡联网、银联IC两项规范都引入了国密算法相关要求。如下图所示为金融活动中会应用到国密算法的业务。
ALTEON支持国密的准备工作
Alteon支持国密的SSL卸载需要前期的一些设置：
1、Alteon需下载支持国密的软件版本（本次实验测试版本为：33.5.1.0）
2、Alteon需要指定的国密SSL卸载的License支持
测试拓扑
配置方法
该配置仅提供web界面配置：
基础配置见Radware Alteon负载均衡SLB详解及配置
证书导入见Radware Alteon负载均衡-SSL卸载
国密证书Policy配置：
1、点击Configuration>Application Delivery>SSL>SSL Policy
2、点击+创建新的SSL Policy策略
1、点击启用SSL Policy
2、输入Policy ID
3、启用GMSSL优先（本次实验需要进行国密和国际两种SSL卸载，当浏览器支持国密时，则通过国密算法加解密，若不支持，则通过国际算法进行加解密）
4、按照需要进行勾选，此处勾选TLS和GmSSL，保证两种加密方式都可以。
5、点击Submit提交，点击Apply应用，点击Save保存。
业务调用证书及Policy：
其他配置不过多赘述了，之前的文章都有
1、传统的国际证书引用，若Policy中没有TLS，则可以不选，留空即可
2、选择刚才配置的Policy
3、选择GMSSL Server Encryption Certificate（仅限国密证书）
4、选择GMSSL Server Sign Certificate:（仅限国密证书）
结果展示
访问结果
常规浏览器访问：
支持国密的浏览器访问：
（因证书均为自签发，故均不受信任）
抓包结果
常规浏览器访问：显示TLSv1.3
支持国密的浏览器访问：显示SSL，因wireshark不支持国密SSL协议，故显示为默认的SSL。
| 留言与评论（共有 0 条评论） “” |
