【龙蜥社区】商用密码技术最佳实践白皮书_49页_14mb

商用密码技术最佳实践白皮书总结

核心内容

本白皮书由龙蜥社区（OpenAnolis）发布，旨在为用户在商用密码（国密）开发、优化和融合应用方面提供全面的解决方案和最佳实践。内容涵盖国密算法标准、Linux内核支持、OpenSSL适配、可信计算、安全启动等多个方面，强调国密在保障信息安全、应对技术封锁、构建自主可控安全体系中的重要作用。

主要观点

• 国密的重要性：国密算法（如SM2、SM3、SM4、SM9、ZUC）是保障信息安全的核心技术，已成为国家标准并被纳入ISO/IEC国际标准，有助于构建自主可控的密码体系。
• 龙蜥社区的贡献：龙蜥社区致力于将国密算法集成到操作系统的基础软件栈中，包括Linux内核、OpenSSL、libgcrypt等，推动国密在基础软件中的广泛应用。
• 全栈国密支持：龙蜥社区构建了涵盖固件、引导加载程序、内核、密码库、安全启动、可信计算等领域的全栈国密支持架构，为用户提供安全、高效的国密应用环境。
• 性能优化：针对x86和arm64架构，龙蜥社区实现了国密算法的指令集优化，显著提升了算法执行效率，尤其在SM3和SM4算法上表现突出。
• 法律法规支持：《密码法》、《网络安全等级保护基本要求》等法规推动了国密在关键领域的应用，强化了密码在信息安全中的法律地位。

关键信息

国密算法简介

• SM2：基于椭圆曲线的公钥密码算法，支持数字签名、密钥交换、公钥加密，适用于替换RSA等国际算法。
• SM3：消息摘要算法，输出固定256bit，用于数据完整性校验，与SHA-256性能相当。
• SM4：分组密码算法，支持多种加密模式（如ECB、CBC、CFB、CTR等），广泛用于数据加密和解密。
• SM9：基于双线性对的标识密码算法，无需数字证书，适用于身份认证和加密。
• ZUC：流密码算法，已被纳入ISO/IEC国际标准，用于移动通信系统。

龙蜥社区现状

• 成立与生态：成立于2020年，由阿里云、ARM等24家国内外企业共同发起，目前拥有超过300家合作伙伴，成为国内领先的开源社区。
• 操作系统版本：Anolis OS 8.6已发布，支持X86_64、RISC-V、Arm64、LoongArch架构，提供全栈国密能力。
• 软件栈支持：在OpenSSL、libgcrypt、gnulib等基础组件中实现国密支持，部分功能已进入主线，提升国密在基础软件中的可用性。

开发指南

• OpenSSL国密支持：Anolis OS 23默认集成OpenSSL 3.0，支持SM2、SM3、SM4算法及签名验签能力，通过特殊参数实现可辨别标识。
• 内核国密支持：从5.10版本开始支持国密算法，通过CryptoAPI实现，支持多种模式优化，提升加密效率。
• 安全启动与可信计算：支持基于国密的UEFI安全启动，包括SM2、SM3算法签名验证，以及TPM 2.0国密证书部署，确保系统启动安全。

性能优化

• x86架构：通过AVX/AVX2指令集优化SM3和SM4算法，显著提升性能（如SM4-AESNI-avx2在1024字节块大小时性能提升达793%）。
• arm64架构：利用NEON和Crypto Extensions实现国密算法优化，尤其在SM4算法上支持多种模式（如XTS、CCM、GCM），提升加密效率。

应用场景

• 磁盘加密：支持SM4算法，如LUKS和fsencrypt。
• TLS 1.3：支持国密套件（如TLS_SM4_GCM_SM3）。
• 内核完整性度量：使用IMA和modsign支持SM2/SM3算法进行签名验签。
• 可信启动策略：通过iTrustMidware等工具实现国密安全启动策略的配置和管理。

龙蜥社区国密SIG

• 目标：建立以国密算法为主的操作系统基础软件栈，支持固件、引导加载程序、内核、算法库等。
• 原则：尽可能复用已有软件栈，不重复造轮子。
• 愿景：实现“让天下没有难用的国密”，构建完整的国密应用生态。

未来方向

• 继续推动国密在基础软件中的融合：加强与上游社区合作，提升国密在Linux内核、OpenSSL等中的支持。
• 完善国密安全启动与可信计算：进一步优化国密算法在UEFI安全启动和TPM 2.0中的实现。
• 促进生态发展：通过“生态发展计划”鼓励更多企业参与国密生态建设，推动国密技术的商业化应用。

参与方式

• 文档修订：欢迎开发者参与文档修订，提交issue或PR。
• 社区参与：通过「生态发展计划」加入社区，共同推动国密技术发展。
• 技术交流：加入龙蜥社区钉钉交流群，与开发者和用户实时交流。

总结

本白皮书全面展示了龙蜥社区在商用密码技术领域的实践与成果，涵盖国密算法标准、Linux内核支持、OpenSSL适配、可信计算、安全启动等多个方面。通过持续优化和融合国密算法，龙蜥社区致力于构建安全、高效、自主可控的密码生态，为用户提供全面的国密解决方案。