本发明公开了SM2算法协同签名及解密方法、装置及系统，其协同签名方法：通过计算第一椭圆曲线群元素组并发送给服务端校验后，对服务端反馈的第二椭圆曲线群元素组进行校验，并基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素；根据用户信息杂凑值、待签名消息以及第三椭圆曲线群元素的横坐标，计算第一数值，并根据第一数值、第一随机数以及客户端私钥分量，生成第二数值并发送给服务端；接收服务端根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值；根据第一数值和所述第三数值合成SM2数字签名。该方法具有输入验证和可证明安全特性，更加契合实际应用环境，能够更好地保护用户隐私。
SM2算法协同签名及解密方法、装置及系统
技术领域
[0001] 本发明涉及数字签名技术领域，尤其是涉及SM2算法协同签名及解密方法、装置及系统。
背景技术
[0002] 2010年12月17日，为满足电子认证服务系统等应用需求，国家密码管理局发布了SM2椭圆曲线公钥密码算法，包括SM2‑1椭圆曲线数字签名算法、SM2‑2椭圆曲线密钥协商协
议、SM2‑3椭圆曲线加密算法。其中，SM2签名算法见《GM/T0003.2‑2012SM2椭圆曲线公钥密
码算法》的第2部分：数字签名算法。
[0003] 如今更多的电子商务与交易正在向移动互联网过渡和发展，在移动终端中使用数字证书做电子签名的需求与日俱增。为了提高云计算环境中的私钥的安全性，现有技术中
的解决方案主要包括：
[0004] 1)使用蓝牙、音码和NFC等智能密码钥匙、智能IC卡设备；
[0005] 2)使用本地加密存储的私钥；
[0006] 3)使用共同公钥生成方法，一部分私钥在本地加密存储，一部分私钥在服务端加密存储，由本地和服务端合作完成签名或解密。
[0007] 但是，在对现有技术的研究和实践过程中，本发明的发明人发现：
[0008] 对于解决方案1)，硬件设备需要适配和兼容各种型号智能手机，存在兼容性差及使用复杂的问题，且成本较高；
[0009] 对于解决方案2)，在签名或解密计算过程中，需要将私钥解密后使用，这就导致完整的私钥出现在内存中，攻击者可能从手机内存中将其导出；
[0010] 对于解决方案3)，现有方案存在共同公钥生成方法不符合实际应用环境，共同签名方法缺乏输入验证，协同解密算法隐私性较差的问题。
发明内容
[0011] 本发明实施例提供的SM2算法协同签名及解密方法、装置及系统，更加契合实际应用环境，更好地保护用户隐私并抵抗恶意攻击。
[0012] 为了解决上述技术问题，本发明实施例提供了一种SM2算法协同签名方法，包括：
[0013] 基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端；
[0014] 接收所述服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组；
[0015] 基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素；
[0016] 根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素的横坐标，计算第一数值；并根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值并发
送给所述服务端；
[0017] 接收所述服务端反馈的第三数值；所述第三数值为所述服务端根据所述第二数值、所述第二随机数以及服务端私钥分量计算所得；
[0018] 根据所述第一数值和所述第三数值合成SM2数字签名。
[0019] 进一步地，所述的SM2算法协同签名方法，在所述根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值并发送给所述服务端之后，还包括：
[0020] 使用客户端私钥分量计算关于所述第一椭圆曲线群元素组、所述第二椭圆曲线群元素组以及所述第二数值的第一数字签名并发送给所述服务端，以使所述服务端使用客户
端公钥分量对所述第一数字签名进行验证。
[0021] 进一步地，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”AA＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点；
[0022] 所述的SM2算法协同签名方法，在所述基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端之后，还包括：
[0023] 使所述服务端使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0024] 进一步地，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数；
[0025] 所述的SM2算法协同签名方法，在所述接收服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组之后，还包括：
[0026] 使用客户端私钥分量dA验证 若不成立则退出协议；其中，dA∈[1,n‑1]。
[0027] 进一步地，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA；
[0028] 所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标；
[0029] 所述第一数值的计算公式为：r＝H(ZA||M)+xA modn；
[0030] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算；
[0031] 所述第三数值的计算公式为
[0032] 所述SM2数字签名为(r,t‑r)。
[0033] 进一步地，所述的SM2算法协同签名方法，还包括：
[0034] 选择客户端私钥分量dA∈[1,n‑1]，计算客户端公钥分量PKA＝[dA]G，并将所述客户端公钥分量发送给服务端；
[0035] 接收所述服务端发送的服务端公钥分量PKBA和随机群元素RB；其中，所述服务端公钥分量为PKBA＝[dBA]G，服务端私钥分量为dBA∈[1,n‑1]，所述随机群元素为RB＝[kB]PKA，选
取的随机数为kB∈[1,n‑1]；
[0036] 选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分别为RA的x轴坐标和y轴坐标；
[0037] 计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以在客户端生成证书签名请求CSR的内容，设为MCSR；
[0038] 计算数值r＝H(ZA||MCSR)+xA mod n和数值 并把s'提交给所述服务端，以使所述服务端验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校
验成功后计算数值 返回给所述客户端；
[0039] 计算SM2数字签名(r,t‑r)，合成完整的CSR，提交给所述服务端，使所述服务端验证完整的CSR与接收到的MCSR是否相符，是则向证书颁发机构CA提交，以使证书颁发机构CA
在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0040] 本发明实施例还提供了一种SM2算法协同签名方法，包括：
[0041] 接收客户端发送的第一椭圆曲线群元素组；所述第一椭圆曲线群元素组为所述客户端基于服务端公钥分量以及选取的第一随机数计算所得；
[0042] 基于所述客户端公钥分量以及选取的第二随机数，计算第二椭圆曲线群元素组，并将所述第二椭圆曲线群元素组发送给所述客户端；
[0043] 接收所述客户端发送的第二数值；所述第二数值为所述客户端根据第一数值、所述第一随机数以及客户端私钥分量生成；所述第一数值为所述客户端根据用户信息杂凑
值、待签名消息以及所述第三椭圆曲线群元素的横坐标计算所得；所述第三椭圆曲线群元
素为所述客户端基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组计算所得；
[0044] 根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值并反馈给所述客户端，以使所述客户端根据所述第一数值和所述第三数值合成SM2数字签名。
[0045] 进一步地，所述的SM2算法协同签名方法，在接收所述客户端发送的第二数值之后，还包括：
[0046] 接收所述客户端发送的第一数字签名；所述第一数字签名为所述客户端基于所述第一椭圆曲线群元素组、所述第二椭圆曲线群元素组以及所述第二数值，使用客户端私钥
分量计算所得；
[0047] 使用客户端公钥分量对所述第一数字签名进行验证。
[0048] 进一步地，所述的SM2算法协同签名方法，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”A＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线
基点；
[0049] 所述的SM2算法协同签名方法，在接收客户端发送的第一椭圆曲线群元素组之后，还包括：
[0050] 使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0051] 进一步地，所述的SM2算法协同签名方法，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数；
[0052] 所述的SM2算法协同签名方法，还包括：在将所述第二椭圆曲线群元素组发送给所述客户端之后，使所述客户端使用客户端私钥分量dA验证 若不成立则退出协
议；其中，dA∈[1,n‑1]。
[0053] 进一步地，所述的SM2算法协同签名方法，
[0054] 所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA；
[0055] 所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标；
[0056] 所述第一数值的计算公式为：r＝H(ZA||M)+xA modn；
[0057] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算；
[0058] 所述第三数值的计算公式为
[0059] 所述SM2数字签名为(r,t‑r)。
[0060] 进一步地，所述的SM2算法协同签名方法，还包括：
[0061] 接收客户端基于选择的客户端私钥分量dA∈[1,n‑1]反馈的客户端公钥分量PKA＝[dA]G；
[0062] 基于服务端私钥分量dBA∈[1,n‑1]，计算服务端公钥分量PKBA＝[dBA]G，并选取随机数kB∈[1,n‑1]计算随机群元素RB＝[kB]PKA，且将PKBA和RB返回给所述客户端，以使所述
客户端选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分
别为RA的x轴坐标和y轴坐标；
[0063] 接收所述客户端提交的数值s'；其中，数值 数值r＝H(ZA||MCSR)+xA mod n，MCSR为所述客户端计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以
在客户端所生成证书签名请求CSR的内容；
[0064] 验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校验成功后计算数值返回给所述客户端；
[0065] 接收客户端提交的在计算SM2数字签名(r,t‑r)后合成完整的CSR；
[0066] 验证完整的CSR与接收到的MCSR是否相符，是则向证书颁发机构CA提交，以使证书颁发机构CA在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0067] 本发明实施例还提供了一种SM2算法协同解密方法，包括：
[0068] 基于SM2密文第一分量、客户端私钥分量，以及选取的第三随机数和第四随机数，计算第三椭圆曲线群元素和第四椭圆曲线群元素并发送给服务端；
[0069] 接收服务端发送的第五椭圆曲线群元素和第六椭圆曲线群元素；所述第五椭圆曲线群元素和所述第六椭圆曲线群元素为所述服务端基于选取的第五随机数、服务端私钥分
量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素计算所得；
[0070] 根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素；
[0071] 基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥；
[0072] 将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文；
[0073] 基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值；
[0074] 在所述第四数值不等于所述SM2密文第三分量时，报错并退出；
[0075] 在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0076] 进一步地，所述的SM2算法协同解密方法，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]；
[0077] 所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分量；
[0078] 所述第三随机数和所述第四随机数分别为
[0079] 所述第三椭圆曲线群元素和所述第四椭圆曲线群元素分别为
[0080] 所述第五随机数为 所述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为
[0081] 所述第七椭圆曲线群元素为
[0082] 所述对称密钥t＝KDF(x2||y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并退出；
[0083] 所述明文为 其中， 表示按位异或运算；
[0084] 所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法。
[0085] 进一步地，所述的SM2算法协同解密方法，还包括：
[0086] 计算消息M＝T1||T2的第二数字签名δ，并把所述第二数字签名δ发送给服务端，以使所述服务端使用客户端公钥分量PKA＝[dA]G验证所述第二数字签名δ。
[0087] 本发明实施例还提供了一种SM2算法协同解密方法，包括：
[0088] 接收客户端发送的第三椭圆曲线群元素和第四椭圆曲线群元素；所述第三椭圆曲线群元素和所述第四椭圆曲线群元素为所述客户端基于SM2密文第一分量、客户端私钥分
量，以及选取的第三随机数和第四随机数计算所得；
[0089] 基于选取的第五随机数、服务端私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素，计算第五椭圆曲线群元素和第六椭圆曲线群元素并发送给客户端，
以使所述客户端执行如下步骤：
[0090] 根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素；
[0091] 基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥；
[0092] 将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文；
[0093] 基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值；
[0094] 在所述第四数值不等于所述SM2密文第三分量时，报错并退出；
[0095] 在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0096] 进一步地，所述的SM2算法协同解密方法，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]；
[0097] 所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分量；
[0098] 所述第三随机数和所述第四随机数分别为
[0099] 所述第三椭圆曲线群元素和所述第四椭圆曲线群元素分别为
[0100] 所述第五随机数为 所述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为
[0101] 所述第七椭圆曲线群元素为
[0102] 所述对称密钥t＝KDF(x2||y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并退出；
[0103] 所述明文为 其中， 表示按位异或运算；
[0104] 所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法。
[0105] 进一步地，所述的SM2算法协同解密方法，还包括：
[0106] 接收所述客户端所计算的消息M＝T1||T2的第二数字签名δ；
[0107] 使用客户端公钥分量PKA＝[dA]G验证所述第二数字签名δ。
[0108] 本发明实施例还提供了一种SM2算法协同签名装置，包括：
[0109] 计算单元，用于基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组；
[0110] 通信单元，用于将所述第一椭圆曲线群元素组发送给服务端，以及接收所述服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组；
[0111] 所述计算单元，还用于基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素；
[0112] 所述计算单元，还用于根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素对应的横坐标，计算第一数值；
[0113] 所述计算单元，还用于根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值；
[0114] 所述通信单元，还用于把所述第二数值发送给所述服务端，并接收所述服务端反馈的第三数值；所述第三数值为所述服务端根据所述第二数值、所述第二随机数以及服务
端私钥分量计算所得；
[0115] SM2数字签名单元，用于根据所述第一数值和所述第三数值合成SM2数字签名。
[0116] 进一步地，所述的SM2算法协同签名装置，还包括：
[0117] 所述计算单元，还用于在所述根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值并发送给所述服务端之后，使用客户端私钥分量计算关于所述第一
椭圆曲线群元素组、所述第二椭圆曲线群元素组以及所述第二数值的第一数字签名；
[0118] 所述通信单元，还用于将所述第一签名发送给所述服务端，以使所述服务端使用客户端公钥分量对所述第一数字签名进行验证。
[0119] 本发明实施例还提供了一种SM2算法协同签名装置，包括：
[0120] 通信单元，用于接收客户端发送的第一椭圆曲线群元素组；所述第一椭圆曲线群元素组为所述客户端基于服务端公钥分量以及选取的第一随机数计算所得；
[0121] 计算单元，用于基于所述客户端公钥分量以及选取的第二随机数，计算第二椭圆曲线群元素组；
[0122] 所述通信单元，还用于接收所述客户端发送的第二数值；所述第二数值为所述客户端根据第一数值、所述第一随机数以及客户端私钥分量生成；所述第一数值为所述客户
端根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素的横坐标计算所得；所
述第三椭圆曲线群元素为所述客户端基于所述第一椭圆曲线群元素组和所述第二椭圆曲
线群元素组计算所得；
[0123] 所述计算单元，还用于根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值；
[0124] 所述通信单元，还用于将所述第三数值反馈给所述客户端，以使所述客户端根据所述第一数值和所述第三数值合成SM2数字签名。
[0125] 进一步地，所述的SM2算法协同签名装置，还包括：
[0126] 所述通信单元，还用于在接收所述客户端发送的第二数值之后，接收所述客户端发送的第一数字签名；所述第一数字签名为所述客户端基于所述第一椭圆曲线群元素组、
所述第二椭圆曲线群元素组以及所述第二数值，使用客户端私钥分量计算所得；
[0127] 验证单元，用于使用客户端公钥分量对所述第一数字签名进行验证。
[0128] 本发明实施例还提供了一种SM2算法协同解密装置，包括：
[0129] 计算单元，用于基于SM2密文第一分量、客户端私钥分量，以及选取的第三随机数和第四随机数，计算第三椭圆曲线群元素和第四椭圆曲线群元素；
[0130] 通信单元，用于将所述第三椭圆曲线群元素和所述第四椭圆曲线群元素发送给服务端，以及接收服务端发送的第五椭圆曲线群元素和第六椭圆曲线群元素；所述第五椭圆
曲线群元素和所述第六椭圆曲线群元素为所述服务端基于选取的第五随机数、服务端私钥
分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素计算所得；
[0131] 所述计算单元，还用于根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元
素；
[0132] 所述计算单元，还用于基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥；
[0133] 所述计算单元，还用于将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文；
[0134] 所述计算单元，还用于基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值；
[0135] 判断单元，用于在所述第四数值不等于所述SM2密文第三分量时，报错并退出；在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0136] 进一步地，所述的SM2算法协同解密装置，还包括：
[0137] 所述计算单元，还用于计算消息的第二数字签名；
[0138] 所述通信单元，还用于把所述第二数字签名发送给服务端，以使所述服务端使用客户端公钥分量验证所述第二数字签名。
[0139] 本发明实施例还提供了一种SM2算法协同解密装置，包括：
[0140] 通信单元，用于接收客户端发送的第三椭圆曲线群元素和第四椭圆曲线群元素；所述第三椭圆曲线群元素和所述第四椭圆曲线群元素为所述客户端基于SM2密文第一分
量、客户端私钥分量，以及选取的第三随机数和第四随机数计算所得；
[0141] 计算单元，用于基于选取的第五随机数、服务端私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素，计算第五椭圆曲线群元素和第六椭圆曲线群元素；
[0142] 所述通信单元，还用于将所述第五椭圆曲线群元素和所述第六椭圆曲线群元素发送给客户端，以使所述客户端执行如下步骤：
[0143] 根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素；
[0144] 基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥；
[0145] 将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文；
[0146] 基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值；
[0147] 在所述第四数值不等于所述SM2密文第三分量时，报错并退出；
[0148] 在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0149] 进一步地，所述的SM2算法协同解密装置，还包括：
[0150] 所述通信单元，还用于接收所述客户端所计算并发送的消息的第二数字签名；
[0151] 验证单元，用于使用客户端公钥分量验证所述第二数字签名。
[0152] 本发明实施例还提供了一种SM2算法协同签名系统，包括客户端和服务端，协同签名由客户端发起；
[0153] 所述客户端，用于基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端；
[0154] 所述服务端，用于基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组给所述客户端；
[0155] 所述客户端，还用于基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素；
[0156] 所述客户端，还用于根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素对应的横坐标，计算第一数值；并根据所述第一数值、所述第一随机数以及客户端私钥
分量，生成第二数值并发送给所述服务端；
[0157] 所述服务端，还用于根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值并反馈给所述客户端；
[0158] 所述客户端，还用于根据所述第一数值和所述第三数值合成SM2数字签名。
[0159] 进一步地，所述的SM2算法协同签名系统，还包括：
[0160] 所述客户端，还用于在所述根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值之后，使用客户端私钥分量计算关于所述第一椭圆曲线群元素组、所述
第二椭圆曲线群元素组以及所述第二数值的第一数字签名，并将所述第一签名发送给所述
服务端；
[0161] 所述服务端，还用于使用客户端公钥分量对所述第一数字签名进行验证。
[0162] 进一步地，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”AA＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点；
[0163] 所述服务端，还用于在接收所述客户端发送的第一椭圆曲线群元素组之后，使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0164] 进一步地，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数；
[0165] 所述客户端，还用于使用客户端私钥分量dA验证 若不成立则退出协议；其中，dA∈[1,n‑1]。
[0166] 进一步地，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA；
[0167] 所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标；
[0168] 所述第一数值的计算公式为：r＝H(ZA||M)+xA modn；
[0169] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算；
[0170] 所述第三数值的计算公式为
[0171] 所述SM2数字签名为(r,t‑r)。
[0172] 进一步地，所述的SM2算法协同签名系统，还包括证书颁发机构CA；
[0173] 所述客户端，还用于选择客户端私钥分量dA∈[1,n‑1]，计算客户端公钥分量PKA＝[dA]G，并将所述客户端公钥分量发送给服务端；
[0174] 所述服务端，还用于发送服务端公钥分量PKBA和随机群元素RB给所述客户端；其中，所述服务端公钥分量为PKBA＝[dBA]G，服务端私钥分量为dBA∈[1,n‑1]，所述随机群元素
为RB＝[kB]PKA，选取的随机数为kB∈[1,n‑1]；
[0175] 所述客户端，还用于选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分别为RA的x轴坐标和y轴坐标；
[0176] 所述客户端，还用于计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以在客户端生成证书签名请求CSR的内容，设为MCSR；
[0177] 所述客户端，还用于计算数值r＝H(ZA||MCSR)+xA mod n和数值并把s'提交给所述服务端；
[0178] 所述服务端，还用于验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校验成功后计算数值 返回给所述客户端；
[0179] 所述客户端，还用于计算SM2数字签名(r,t‑r)，合成完整的CSR，提交给所述服务端；
[0180] 所述服务端，还用于验证完整的CSR与接收到的MCSR是否相符，是则向所述证书颁发机构CA提交；
[0181] 所述证书颁发机构CA，用于在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0182] 本发明实施例还提供了一种SM2算法协同解密系统，包括客户端和服务端；
[0183] 所述客户端，用于基于SM2密文第一分量、客户端私钥分量，以及选取的第三随机数和第四随机数，计算第三椭圆曲线群元素和第四椭圆曲线群元素并发送给服务端；
[0184] 所述服务端，用于基于选取的第五随机数、服务端私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素，计算第五椭圆曲线群元素和第六椭圆曲线群元素并
发送给客户端；
[0185] 所述客户端，还用于根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素；
[0186] 所述客户端，还用于基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥；
[0187] 所述客户端，还用于将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文；
[0188] 所述客户端，还用于基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值；
[0189] 所述客户端，还用于在所述第四数值不等于所述SM2密文第三分量时，报错并退出；在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0190] 进一步地，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]；
[0191] 所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分量；
[0192] 所述第三随机数和所述第四随机数分别为
[0193] 所述第三椭圆曲线群元素和所述第四椭圆曲线群元素分别为
[0194] 所述第五随机数为 所述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为
[0195] 所述第七椭圆曲线群元素为
[0196] 所述对称密钥t＝KDF(x2||y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并退出；
[0197] 所述明文为 其中， 表示按位异或运算；
[0198] 所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法。
[0199] 进一步地，所述的SM2算法协同解密系统，还包括：
[0200] 所述客户端，用于计算消息M＝T1||T2的第二数字签名δ，并把所述第二数字签名δ发送给服务端；
[0201] 所述服务端，还用于使用客户端公钥分量PKA＝[dA]G验证所述第二数字签名δ。
[0202] 实施本发明实施例，具有如下有益效果：
[0203] 本发明提供的SM2算法协同签名及解密方法、装置及系统，其协同签名方法：通过计算第一椭圆曲线群元素组并发送给服务端校验后，对服务端反馈的第二椭圆曲线群元素
组进行校验，并基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三
椭圆曲线群元素；根据用户信息杂凑值、待签名消息以及第三椭圆曲线群元素的横坐标，计
算第一数值，并根据第一数值、第一随机数以及客户端私钥分量，生成第二数值并发送给服
务端；接收服务端根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值；
根据第一数值和所述第三数值合成SM2数字签名。该方法具有输入验证和可证明安全特性，
更加契合实际应用环境，能够更好地保护用户隐私。
附图说明
[0204] 图1是本发明实施例提供的SM2算法协同签名方法的流程示意图；
[0205] 图2是本发明实施例提供的SM2算法协同签名方法的另一流程示意图；
[0206] 图3是本发明实施例提供的SM2算法协同签名解密的流程示意图；
[0207] 图4是本发明实施例提供的SM2算法协同签名解密的另一流程示意图；
[0208] 图5是本发明实施例提供的SM2算法协同签名系统的示意图；
[0209] 图6是本发明实施例提供的SM2算法协同解密系统的示意图。
具体实施方式
[0210] 下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于
本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他
实施例，都属于本发明保护的范围。
[0211] 为满足电子认证服务系统等应用需求，国家密码管理局发布了SM2椭圆曲线公钥密码算法，包括SM2‑1椭圆曲线数字签名算法、SM2‑2椭圆曲线密钥协商协议、SM2‑3椭圆曲
线加密算法。
[0212] SM2签名算法见《GM/T 0003.2‑2012SM2椭圆曲线公钥密码算法第2部分：数字签名算法》，设待签名的消息为M，作为签名者的用户A具有长度为entlenA比特的可辨别标识IDA，
具有密钥对包括私钥dA和公钥PA＝[dA]G＝(xA,yA)，为了获取M的数字签名(r,s)，用户A应该
实现以下运算步骤：
[0213] 1)置 其中ZA＝H256(ENTLA||IDA||a||b||xG||yG||xA||yA)；
[0214] 2)计算
[0215] 3)用随机数发生器产生随机数k∈[1,n‑1]；
[0216] 4)计算椭圆曲线点(x1,y1)＝[k]G；
[0217] 5)计算r＝(e+x1)modn，若r＝0或r+k＝n则返回3)；
[0218] 6)计算s＝((1+dA)‑1·(k‑r·dA))mod n，若s＝0则返回3)；
[0219] 7)得到消息M的签名(r,s)。
[0220] SM2解密算法见《GM/T 0003.4‑2012SM2椭圆曲线公钥密码算法第4部分：公钥加密算法》，作为解密者的B具有密钥对包括私钥dB和公钥PB＝[dB]G＝(xB,yB)，为了对密文C＝C1
||C2||C3进行解密，B应实现以下运算步骤：
[0221] 从C中取出比特串C1，验证C1是否满足椭圆曲线方程，若不满足则报错并退出；
[0222] 计算椭圆曲线点S＝[h]C1，若S是无穷远点，则报错并退出；
[0223] 计算[dB]C1＝(x2,y2)；
[0224] 计算t＝KDF(x2||y2,klen)，若t为全0比特串，则报错并退出；
[0225] 从C中取出比特串C2，计算
[0226] 计算u＝Hash(x2||M'||y2)，从C中取出比特串C3，若u≠C3，则报错并退出；
[0227] 输出明文M'。
[0228] 针对当前共同公钥生成方法不符合实际应用环境，共同签名方法缺乏输入验证，协同解密算法隐私性较差的问题，本发明实施例给出共同公钥证书的具体生成过程，给出
具有输入验证和可证明安全特性的协同签名方法，以及更好的保护用户隐私的协同解密方
法，使得共同公钥密码体制可以切实的应用在生产实践中，更好的保护用户隐私，提供更好
的安全性。
[0229] 第一方面。
[0230] 请参阅图1，图1是本发明实施例提供的SM2算法协同签名方法的流程示意图。所述SM2算法协同签名方法，由客户端执行，包括如下步骤S101‑S106。
[0231] S101、基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端。
[0232] 其中，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”A＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点。
[0233] 在一优选实施例中，所述的SM2算法协同签名方法，在所述基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端之后，还包括：
[0234] 使所述服务端使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0235] 在具体的实施例当中，R”A＝[kA]PKBA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0236] S102、接收所述服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组。
[0237] 其中，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数。
[0238] 在一优选实施例中，所述的SM2算法协同签名方法，在所述接收服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组之后，还包括：
[0239] 使用客户端私钥分量dA验证 若不成立则退出协议；其中，dA∈[1,n‑1]。
[0240] 在具体的实施例当中，R'B＝[kB]G的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0241] S103、基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素。
[0242] 其中，所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0243] S104、根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素的横坐标，计算第一数值；并根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值
并发送给所述服务端。
[0244] 其中，所述第一数值的计算公式为：r＝H(ZA||M)+xA modn。
[0245] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算。
[0246] S105、接收所述服务端反馈的第三数值；所述第三数值为所述服务端根据所述第二数值、所述第二随机数以及服务端私钥分量计算所得。
[0247] 其中，所述第三数值的计算公式为
[0248] S106、根据所述第一数值和所述第三数值合成SM2数字签名。
[0249] 其中，所述SM2数字签名为(r,t‑r)。
[0250] 在具体的实施例当中，客户端合成SM2数字签名(r,t‑r)后，验证数字签名的正确性，验证无效退出协议，否则获得签名。
[0251] 客户端和服务端分别持有部分私钥分量，攻击者在劫持其中一方的条件下无法获得完整的私钥，也无法实现私钥脱机使用，提升了私钥存储的安全性。签名需要客户端和服
务端共同完成，任意一方都无法单独完成签名，保证了签名的安全性。
[0252] 在一优选的实施例中，所述的SM2算法协同签名方法，在所述根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值并发送给所述服务端之后，还包括：
[0253] 使用客户端私钥分量计算关于所述第一椭圆曲线群元素组、所述第二椭圆曲线群元素组以及所述第二数值的第一数字签名并发送给所述服务端，以使所述服务端使用客户
端公钥分量对所述第一数字签名进行验证。
[0254] 其中，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA。
[0255] 在具体的实施例当中，δA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了验证客户端的身份(服务端对客户端的身份鉴别)，防止任意客
户端都能使用服务端的私钥分量，即避免了服务端私钥的非授权使用。
[0256] 在一优选的实施例中，所述的SM2算法协同签名方法，还包括：
[0257] 选择客户端私钥分量dA∈[1,n‑1]，计算客户端公钥分量PKA＝[dA]G，并将所述客户端公钥分量发送给服务端。
[0258] 接收所述服务端发送的服务端公钥分量PKBA和随机群元素RB；其中，所述服务端公钥分量为PKBA＝[dBA]G，服务端私钥分量为dBA∈[1,n‑1]，所述随机群元素为RB＝[kB]PKA，选
取的随机数为kB∈[1,n‑1]。
[0259] 选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0260] 计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以在客户端生成证书签名请求CSR的内容，设为MCSR。
[0261] 在具体的实施例当中，计算共同公钥PK分别需要客户端和服务端各自的私钥分量参与计算才能获得。其中，本实施例已绑定证书签发过程，由客户端计算共同公钥PK。。
[0262] 计算数值r＝H(ZA||MCSR)+xA mod n和数值 并把s'提交给所述服务端，以使所述服务端验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校
验成功后计算数值 返回给所述客户端。
[0263] 计算SM2数字签名(r,t‑r)，合成完整的CSR，提交给所述服务端，使所述服务端验证完整的CSR与接收到的MCSR是否相符，是则向证书颁发机构CA提交，以使证书颁发机构CA
在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0264] 在具体的实施例当中，在产生公钥之后，按GM/T 0003.1‑2012标准6.2给出的方法验证公钥是否有效。
[0265] 本实施例中，共同公钥证书申请兼容当前的CA证书颁发流程，过程中包含服务端对客户端的身份认证，并且身份与完整的CSR绑定，有效的防止客户端提供虚假信息。
[0266] 需要说明的是，客户端或者服务端都可以获取证书库中的共同公钥证书，客户端在本地存储该共同公钥证书和服务端的公钥分量，服务端在本地存储该共同公钥证书和客
户端的公钥分量。
[0267] 请参阅图2，图2是本发明实施例提供的SM2算法协同签名方法的另一流程示意图。所述SM2算法协同签名方法，由服务端执行，包括如下步骤S201‑S204。
[0268] S201、接收客户端发送的第一椭圆曲线群元素组；所述第一椭圆曲线群元素组为所述客户端基于服务端公钥分量以及选取的第一随机数计算所得。
[0269] 其中，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”A＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点。
[0270] 在一优选实施例中，所述的SM2算法协同签名方法，在接收客户端发送的第一椭圆曲线群元素组之后，还包括：
[0271] 使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0272] 在具体的实施例当中，R”A＝[kA]PKBA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0273] S202、基于所述客户端公钥分量以及选取的第二随机数，计算第二椭圆曲线群元素组，并将所述第二椭圆曲线群元素组发送给所述客户端。
[0274] 其中，所述的SM2算法协同签名方法，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数。
[0275] 在一优选实施例中，所述的SM2算法协同签名方法，还包括：在将所述第二椭圆曲线群元素组发送给所述客户端之后，使所述客户端使用客户端私钥分量dA验证
若不成立则退出协议；其中，dA∈[1,n‑1]。
[0276] 在具体的实施例当中，R'B＝[kB]G的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0277] S203、接收所述客户端发送的第二数值；所述第二数值为所述客户端根据第一数值、所述第一随机数以及客户端私钥分量生成；所述第一数值为所述客户端根据用户信息
杂凑值、待签名消息以及所述第三椭圆曲线群元素的横坐标计算所得；所述第三椭圆曲线
群元素为所述客户端基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组计算
所得。
[0278] 其中，所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0279] 所述第一数值的计算公式为：r＝H(ZA||M)+xA modn。
[0280] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算。
[0281] S204、根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值并反馈给所述客户端，以使所述客户端根据所述第一数值和所述第三数值合成SM2数字签名。
[0282] 其中，所述第三数值的计算公式为 所述SM2数字签名为(r,t‑r)。
[0283] 在具体的实施例当中，客户端合成SM2数字签名(r,t‑r)后，验证数字签名的正确性，验证无效退出协议，否则获得签名。
[0284] 客户端和服务端分别持有部分私钥分量，攻击者在劫持其中一方的条件下无法获得完整的私钥，也无法实现私钥脱机使用，提升了私钥存储的安全性。签名需要客户端和服
务端共同完成，任意一方都无法单独完成签名，保证了签名的安全性。
[0285] 在一优选的实施例中，所述的SM2算法协同签名方法，在接收所述客户端发送的第二数值之后，还包括：
[0286] 接收所述客户端发送的第一数字签名；所述第一数字签名为所述客户端基于所述第一椭圆曲线群元素组、所述第二椭圆曲线群元素组以及所述第二数值，使用客户端私钥
分量计算所得；
[0287] 使用客户端公钥分量对所述第一数字签名进行验证。
[0288] 其中，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA。
[0289] 在具体的实施例当中，δA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了验证客户端的身份(服务端对客户端的身份鉴别)，防止任意客
户端都能使用服务端的私钥分量，即避免了服务端私钥的非授权使用。
[0290] 在一优选的实施例中，所述的SM2算法协同签名方法，还包括：
[0291] 接收客户端基于选择的客户端私钥分量dA∈[1,n‑1]反馈的客户端公钥分量PKA＝[dA]G。
[0292] 基于服务端私钥分量dBA∈[1,n‑1]，计算服务端公钥分量PKBA＝[dBA]G，并选取随机数kB∈[1,n‑1]计算随机群元素RB＝[kB]PKA，且将PKBA和RB返回给所述客户端，以使所述
客户端选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分
别为RA的x轴坐标和y轴坐标。
[0293] 接收所述客户端提交的数值s'；其中，数值 数值r＝H(ZA||MCSR)+xA mod n，MCSR为所述客户端计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以
在客户端所生成证书签名请求CSR的内容。
[0294] 在具体的实施例当中，计算共同公钥PK分别需要客户端和服务端各自的私钥分量参与计算才能获得。其中，本实施例已绑定证书签发过程，由客户端计算共同公钥PK。
[0295] 验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校验成功后计算数值返回给所述客户端。
[0296] 接收客户端提交的在计算SM2数字签名(r,t‑r)后合成完整的CSR。
[0297] 验证完整的CSR与接收到的MCSR是否相符，是则向证书颁发机构CA提交，以使证书颁发机构CA在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0298] 在具体的实施例当中，在产生公钥之后，按GM/T 0003.1‑2012标准6.2给出的方法验证公钥是否有效。
[0299] 本实施例中，共同公钥证书申请兼容当前的CA证书颁发流程，过程中包含服务端对客户端的身份认证，并且身份与完整的CSR绑定，有效的防止客户端提供虚假信息。
[0300] 需要说明的是，客户端或者服务端都可以获取证书库中的共同公钥证书，客户端在本地存储该共同公钥证书和服务端的公钥分量，服务端在本地存储该共同公钥证书和客
户端的公钥分量。
[0301] 第二方面。
[0302] 请参阅图3，图3是本发明实施例提供的SM2算法协同解密方法的流程示意图。所述SM2算法协同解密方法，由客户端执行，包括如下步骤S301‑S307。
[0303] S301、基于SM2密文第一分量、客户端私钥分量，以及选取的第三随机数和第四随机数，计算第三椭圆曲线群元素和第四椭圆曲线群元素并发送给服务端。
[0304] S302、接收服务端发送的第五椭圆曲线群元素和第六椭圆曲线群元素；所述第五椭圆曲线群元素和所述第六椭圆曲线群元素为所述服务端基于选取的第五随机数、服务端
私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素计算所得。
[0305] S303、根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素。
[0306] S304、基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥。
[0307] S305、将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文。
[0308] S306、基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值。
[0309] S307、在所述第四数值不等于所述SM2密文第三分量时，报错并退出；在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0310] 其中，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]。所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分
量。所述第三随机数和所述第四随机数分别为 所述第三椭圆曲线群元素和
所述第四椭圆曲线群元素分别为 所述第五随机数为
所述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为
所述第七椭圆曲线群元素为 所述对称密钥t＝KDF
(x2||y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T0003.4‑2012保持一致，
klen为输出比特长度，若t为全0比特串，则报错并退出；所述明文为 其中，
表示按位异或运算。所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码
杂凑算法。
[0311] 在具体的实施例当中，客户端接收到共同公钥PK加密的密文(C1,C2,C3)之后，需要与服务端通信完成解密，流程如下：
[0312] 客户端选择随机数 计算椭圆曲线群元素使用客户端私钥分量计算消息M＝T1||T2的普通SM2数字签名δ，然后把
(T1,T2,δ)发送给服务端；
[0313] 服务端使用客户端公钥分量PKA验证数字签名δ，验证不通过则退出，否则选择随机数 计算椭圆曲线群元素 然后把(T3,T4)发
送给客户端；
[0314] 客户端计算椭圆曲线群元素
[0315] 客户端计算对称密钥t＝KDF(x2||y2,klen)，其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并
退出；
[0316] 客户端计算明文 其中， 表示按位异或运算；
[0317] 客户端计算验证数据u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法，若u≠C3，则报错并退出；
[0318] 客户端输出明文M'。
[0319] 本实施例中，解密过程引入混淆因子，避免攻击者监听密文和过程数据后解密出密文，更好的保护用户隐私。解密需要客户端和服务端共同完成，任意一方都无法单独完成
解密，保证了解密的安全性。
[0320] 在一优选实施例中，所述的SM2算法协同解密方法，还包括：
[0321] 计算消息M＝T1||T2的第二数字签名δ，并把所述第二数字签名δ发送给服务端，以使所述服务端使用客户端公钥分量PKA＝[dA]G验证所述第二数字签名δ。
[0322] 需要说明的是，所述第二数字签名δ为非必需的，在具体的实施例当中，δ的计算和验证不影响正常的解密流程，即使删除也能够完成解密流程，此处是为了验证客户端的身
份(服务端对客户端的身份鉴别)，防止任意客户端都能使用服务端的私钥分量，即避免了
服务端私钥的非授权使用。
[0323] 请参阅图4，图4是本发明实施例提供的SM2算法协同解密方法的另一流程示意图。所述SM2算法协同解密方法，由服务端执行，包括如下步骤S401‑S402。
[0324] S401、接收客户端发送的第三椭圆曲线群元素和第四椭圆曲线群元素；所述第三椭圆曲线群元素和所述第四椭圆曲线群元素为所述客户端基于SM2密文第一分量、客户端
私钥分量，以及选取的第三随机数和第四随机数计算所得。
[0325] S402、基于选取的第五随机数、服务端私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素，计算第五椭圆曲线群元素和第六椭圆曲线群元素并发送给客户
端，以使所述客户端执行如下步骤：
[0326] 根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素；
[0327] 基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥；
[0328] 将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文；
[0329] 基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值；
[0330] 在所述第四数值不等于所述SM2密文第三分量时，报错并退出；
[0331] 在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0332] 其中，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]。所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分
量。所述第三随机数和所述第四随机数分别为 所述第三椭圆曲线群元素和所
述第四椭圆曲线群元素分别为 所述第五随机数为
所述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为 所
述第七椭圆曲线群元素为 所述对称密钥t＝KDF(x2|
|y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T0003.4‑2012保持一致，klen
为输出比特长度，若t为全0比特串，则报错并退出；所述明文为 其中， 表示
按位异或运算。所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑
算法。
[0333] 在具体的实施例当中，客户端接收到共同公钥PK加密的密文(C1,C2,C3)之后，需要与服务端通信完成解密，流程如下：
[0334] 客户端选择随机数 计算椭圆曲线群元素使用客户端私钥分量计算消息M＝T1||T2的普通SM2数字签名δ，然后把
(T1,T2,δ)发送给服务端；
[0335] 服务端使用客户端公钥分量PKA验证数字签名δ，验证不通过则退出，否则选择随机数 计算椭圆曲线群元素 然后把(T3,T4)发
送给客户端；
[0336] 客户端计算椭圆曲线群元素
[0337] 客户端计算对称密钥t＝KDF(x2||y2,klen)，其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并
退出；
[0338] 客户端计算明文 其中， 表示按位异或运算；
[0339] 客户端计算验证数据u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法，若u≠C3，则报错并退出；
[0340] 客户端输出明文M'。
[0341] 本实施例中，解密过程引入混淆因子，避免攻击者监听密文和过程数据后解密出密文，更好的保护用户隐私。解密需要客户端和服务端共同完成，任意一方都无法单独完成
解密，保证了解密的安全性。
[0342] 在一优选实施例中，所述的SM2算法协同解密方法，还包括：
[0343] 接收所述客户端所计算的消息M＝T1||T2的第二数字签名δ；
[0344] 使用客户端公钥分量PKA＝[dA]G验证所述第二数字签名δ。
[0345] 需要说明的是，所述第二数字签名δ为非必需的，在具体的实施例当中，δ的计算和验证不影响正常的解密流程，即使删除也能够完成解密流程，此处是为了验证客户端的身
份(服务端对客户端的身份鉴别)，防止任意客户端都能使用服务端的私钥分量，即避免了
服务端私钥的非授权使用。
[0346] 第三方面。
[0347] 本发明实施例还提供了一种SM2算法协同签名装置，包括：
[0348] 计算单元，用于基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组。
[0349] 其中，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”A＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点。
[0350] 在一优选实施例中，所述的SM2算法协同签名方法，在所述基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端之后，还包括：
[0351] 使所述服务端使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0352] 在具体的实施例当中，R”A＝[kA]PKBA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0353] 通信单元，用于将所述第一椭圆曲线群元素组发送给服务端，以及接收所述服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组。
[0354] 其中，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数。
[0355] 在一优选实施例中，所述的SM2算法协同签名方法，在所述接收服务端基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组之后，还包括：
[0356] 使用客户端私钥分量dA验证 若不成立则退出协议；其中，dA∈[1,n‑1]。
[0357] 在具体的实施例当中，R'B＝[kB]G的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0358] 所述计算单元，还用于基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素。
[0359] 其中，所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0360] 所述计算单元，还用于根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素对应的横坐标，计算第一数值。
[0361] 所述计算单元，还用于根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值。
[0362] 其中，所述第一数值的计算公式为：r＝H(ZA||M)+xA modn。
[0363] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算。
[0364] 所述通信单元，还用于把所述第二数值发送给所述服务端，并接收所述服务端反馈的第三数值；所述第三数值为所述服务端根据所述第二数值、所述第二随机数以及服务
端私钥分量计算所得。
[0365] 其中，所述第三数值的计算公式为
[0366] SM2数字签名单元，用于根据所述第一数值和所述第三数值合成SM2数字签名。
[0367] 其中，所述SM2数字签名为(r,t‑r)。
[0368] 在具体的实施例当中，客户端合成SM2数字签名(r,t‑r)后，验证数字签名的正确性，验证无效退出协议，否则获得签名。
[0369] 客户端和服务端分别持有部分私钥分量，攻击者在劫持其中一方的条件下无法获得完整的私钥，也无法实现私钥脱机使用，提升了私钥存储的安全性。签名需要客户端和服
务端共同完成，任意一方都无法单独完成签名，保证了签名的安全性。
[0370] 在一优选的实施例中，所述的SM2算法协同签名装置，还包括：
[0371] 所述计算单元，还用于在所述根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值并发送给所述服务端之后，使用客户端私钥分量计算关于所述第一
椭圆曲线群元素组、所述第二椭圆曲线群元素组以及所述第二数值的第一数字签名；
[0372] 所述通信单元，还用于将所述第一签名发送给所述服务端，以使所述服务端使用客户端公钥分量对所述第一数字签名进行验证。
[0373] 其中，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA。
[0374] 在具体的实施例当中，δA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了验证客户端的身份(服务端对客户端的身份鉴别)，防止任意客
户端都能使用服务端的私钥分量，即避免了服务端私钥的非授权使用。
[0375] 在一优选的实施例中，所述的SM2算法协同签名装置，还用于：
[0376] 选择客户端私钥分量dA∈[1,n‑1]，计算客户端公钥分量PKA＝[dA]G，并将所述客户端公钥分量发送给服务端。
[0377] 接收所述服务端发送的服务端公钥分量PKBA和随机群元素RB；其中，所述服务端公钥分量为PKBA＝[dBA]G，服务端私钥分量为dBA∈[1,n‑1]，所述随机群元素为RB＝[kB]PKA，选
取的随机数为kB∈[1,n‑1]。
[0378] 选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0379] 计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以在客户端生成证书签名请求CSR的内容，设为MCSR。
[0380] 在具体的实施例当中，计算共同公钥PK分别需要客户端和服务端各自的私钥分量参与计算才能获得。其中，本实施例已绑定证书签发过程，由客户端计算共同公钥PK。
[0381] 计算数值r＝H(ZA||MCSR)+xA mod n和数值 并把s'提交给所述服务端，以使所述服务端验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校
验成功后计算数值 返回给所述客户端。
[0382] 计算SM2数字签名(r,t‑r)，合成完整的CSR，提交给所述服务端，使所述服务端验证完整的CSR与接收到的MCSR是否相符，是则向证书颁发机构CA提交，以使证书颁发机构CA
在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0383] 在具体的实施例当中，在产生公钥之后，按GM/T 0003.1‑2012标准6.2给出的方法验证公钥是否有效。
[0384] 本实施例中，共同公钥证书申请兼容当前的CA证书颁发流程，过程中包含服务端对客户端的身份认证，并且身份与完整的CSR绑定，有效的防止客户端提供虚假信息。
[0385] 需要说明的是，客户端或者服务端都可以获取证书库中的共同公钥证书，客户端在本地存储该共同公钥证书和服务端的公钥分量，服务端在本地存储该共同公钥证书和客
户端的公钥分量。
[0386] 本发明实施例还提供了一种SM2算法协同签名装置，包括：
[0387] 通信单元，用于接收客户端发送的第一椭圆曲线群元素组；所述第一椭圆曲线群元素组为所述客户端基于服务端公钥分量以及选取的第一随机数计算所得。
[0388] 其中，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”A＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点。
[0389] 在一优选实施例中，所述的SM2算法协同签名方法，在接收客户端发送的第一椭圆曲线群元素组之后，还包括：
[0390] 使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA∈[1,n‑1]。
[0391] 在具体的实施例当中，R”A＝[kA]PKBA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0392] 计算单元，用于基于所述客户端公钥分量以及选取的第二随机数，计算第二椭圆曲线群元素组。
[0393] 其中，所述的SM2算法协同签名方法，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数。
[0394] 在一优选实施例中，所述的SM2算法协同签名方法，还包括：在将所述第二椭圆曲线群元素组发送给所述客户端之后，使所述客户端使用客户端私钥分量dA验证
若不成立则退出协议；其中，dA∈[1,n‑1]。
[0395] 在具体的实施例当中，R'B＝[kB]G的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0396] 所述通信单元，还用于接收所述客户端发送的第二数值；所述第二数值为所述客户端根据第一数值、所述第一随机数以及客户端私钥分量生成；所述第一数值为所述客户
端根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素的横坐标计算所得；所
述第三椭圆曲线群元素为所述客户端基于所述第一椭圆曲线群元素组和所述第二椭圆曲
线群元素组计算所得。
[0397] 其中，所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0398] 所述第一数值的计算公式为：r＝H(ZA||M)+xA modn。
[0399] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算。
[0400] 所述计算单元，还用于根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值。
[0401] 所述通信单元，还用于将所述第三数值反馈给所述客户端，以使所述客户端根据所述第一数值和所述第三数值合成SM2数字签名。
[0402] 其中，所述第三数值的计算公式为 所述SM2数字签名为(r,t‑r)。
[0403] 在具体的实施例当中，客户端合成SM2数字签名(r,t‑r)后，验证数字签名的正确性，验证无效退出协议，否则获得签名。
[0404] 客户端和服务端分别持有部分私钥分量，攻击者在劫持其中一方的条件下无法获得完整的私钥，也无法实现私钥脱机使用，提升了私钥存储的安全性。签名需要客户端和服
务端共同完成，任意一方都无法单独完成签名，保证了签名的安全性。
[0405] 在一优选的实施例中，所述的SM2算法协同签名装置，还包括：
[0406] 所述通信单元，还用于在接收所述客户端发送的第二数值之后，接收所述客户端发送的第一数字签名；所述第一数字签名为所述客户端基于所述第一椭圆曲线群元素组、
所述第二椭圆曲线群元素组以及所述第二数值，使用客户端私钥分量计算所得；
[0407] 验证单元，用于使用客户端公钥分量对所述第一数字签名进行验证。
[0408] 其中，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA。
[0409] 在具体的实施例当中，δA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了验证客户端的身份(服务端对客户端的身份鉴别)，防止任意客
户端都能使用服务端的私钥分量，即避免了服务端私钥的非授权使用。
[0410] 在一优选的实施例中，所述的SM2算法协同签名装置，还用于：
[0411] 接收客户端基于选择的客户端私钥分量dA∈[1,n‑1]反馈的客户端公钥分量PKA＝[dA]G。
[0412] 基于服务端私钥分量dBA∈[1,n‑1]，计算服务端公钥分量PKBA＝[dBA]G，并选取随机数kB∈[1,n‑1]计算随机群元素RB＝[kB]PKA，且将PKBA和RB返回给所述客户端，以使所述
客户端选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分
别为RA的x轴坐标和y轴坐标。
[0413] 接收所述客户端提交的数值s'；其中，数值 数值r＝H(ZA||MCSR)+xA mod n，MCSR为所述客户端计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以
在客户端所生成证书签名请求CSR的内容。
[0414] 在具体的实施例当中，计算共同公钥PK分别需要客户端和服务端各自的私钥分量参与计算才能获得。其中，本实施例已绑定证书签发过程，由客户端计算共同公钥PK。
[0415] 验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校验成功后计算数值返回给所述客户端。
[0416] 接收客户端提交的在计算SM2数字签名(r,t‑r)后合成完整的CSR。
[0417] 验证完整的CSR与接收到的MCSR是否相符，是则向证书颁发机构CA提交，以使证书颁发机构CA在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0418] 在具体的实施例当中，在产生公钥之后，按GM/T 0003.1‑2012标准6.2给出的方法验证公钥是否有效。
[0419] 本实施例中，共同公钥证书申请兼容当前的CA证书颁发流程，过程中包含服务端对客户端的身份认证，并且身份与完整的CSR绑定，有效的防止客户端提供虚假信息。
[0420] 需要说明的是，客户端或者服务端都可以获取证书库中的共同公钥证书，客户端在本地存储该共同公钥证书和服务端的公钥分量，服务端在本地存储该共同公钥证书和客
户端的公钥分量。
[0421] 第四方面。
[0422] 本发明实施例还提供了一种SM2算法协同解密装置，包括：
[0423] 计算单元，用于基于SM2密文第一分量、客户端私钥分量，以及选取的第三随机数和第四随机数，计算第三椭圆曲线群元素和第四椭圆曲线群元素。
[0424] 通信单元，用于将所述第三椭圆曲线群元素和所述第四椭圆曲线群元素发送给服务端，以及接收服务端发送的第五椭圆曲线群元素和第六椭圆曲线群元素；所述第五椭圆
曲线群元素和所述第六椭圆曲线群元素为所述服务端基于选取的第五随机数、服务端私钥
分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素计算所得。
[0425] 所述计算单元，还用于根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元
素。
[0426] 所述计算单元，还用于基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥。
[0427] 所述计算单元，还用于将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文。
[0428] 所述计算单元，还用于基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值。
[0429] 判断单元，用于在所述第四数值不等于所述SM2密文第三分量时，报错并退出；在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0430] 其中，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]。所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分
量。所述第三随机数和所述第四随机数分别为 所述第三椭圆曲线群元素和所
述第四椭圆曲线群元素分别为 所述第五随机数为 所
述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为
所述第七椭圆曲线群元素为 所述对称密钥t＝KDF
(x2||y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T0003.4‑2012保持一致，
klen为输出比特长度，若t为全0比特串，则报错并退出；所述明文为 其中，
表示按位异或运算。所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码
杂凑算法。
[0431] 在具体的实施例当中，客户端接收到共同公钥PK加密的密文(C1,C2,C3)之后，需要与服务端通信完成解密，流程如下：
[0432] 客户端选择随机数 计算椭圆曲线群元素使用客户端私钥分量计算消息M＝T1||T2的普通SM2数字签名δ，然后把
(T1,T2,δ)发送给服务端；
[0433] 服务端使用客户端公钥分量PKA验证数字签名δ，验证不通过则退出，否则选择随机数 计算椭圆曲线群元素 然后把(T3,T4)发送
给客户端；
[0434] 客户端计算椭圆曲线群元素
[0435] 客户端计算对称密钥t＝KDF(x2||y2,klen)，其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并
退出；
[0436] 客户端计算明文 其中， 表示按位异或运算；
[0437] 客户端计算验证数据u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法，若u≠C3，则报错并退出；
[0438] 客户端输出明文M'。
[0439] 本实施例中，解密过程引入混淆因子，避免攻击者监听密文和过程数据后解密出密文，更好的保护用户隐私。解密需要客户端和服务端共同完成，任意一方都无法单独完成
解密，保证了解密的安全性。
[0440] 在一优选实施例中，所述的SM2算法协同解密装置，还包括：
[0441] 所述计算单元，还用于计算消息的第二数字签名；
[0442] 所述通信单元，还用于把所述第二数字签名发送给服务端，以使所述服务端使用客户端公钥分量验证所述第二数字签名。
[0443] 需要说明的是，所述第二数字签名δ为非必需的，在具体的实施例当中，δ的计算和验证不影响正常的解密流程，即使删除也能够完成解密流程，此处是为了验证客户端的身
份(服务端对客户端的身份鉴别)，防止任意客户端都能使用服务端的私钥分量，即避免了
服务端私钥的非授权使用。
[0444] 本发明实施例还提供了一种SM2算法协同解密装置，包括：
[0445] 通信单元，用于接收客户端发送的第三椭圆曲线群元素和第四椭圆曲线群元素；所述第三椭圆曲线群元素和所述第四椭圆曲线群元素为所述客户端基于SM2密文第一分
量、客户端私钥分量，以及选取的第三随机数和第四随机数计算所得。
[0446] 计算单元，用于基于选取的第五随机数、服务端私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素，计算第五椭圆曲线群元素和第六椭圆曲线群元素。
[0447] 所述通信单元，还用于将所述第五椭圆曲线群元素和所述第六椭圆曲线群元素发送给客户端，以使所述客户端执行如下步骤。
[0448] 根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素。
[0449] 基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥。
[0450] 将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文。
[0451] 基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值。
[0452] 在所述第四数值不等于所述SM2密文第三分量时，报错并退出。
[0453] 在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0454] 其中，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]。所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分
量。所述第三随机数和所述第四随机数分别为 所述第三椭圆曲线群元素和所述
第四椭圆曲线群元素分别为 所述第五随机数为 所述
第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为 所
述第七椭圆曲线群元素为 所述对称密钥t＝KDF(x2|
|y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T0003.4‑2012保持一致，klen
为输出比特长度，若t为全0比特串，则报错并退出；所述明文为 其中， 表示
按位异或运算。所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑
算法。
[0455] 在具体的实施例当中，客户端接收到共同公钥PK加密的密文(C1,C2,C3)之后，需要与服务端通信完成解密，流程如下：
[0456] 客户端选择随机数 计算椭圆曲线群元素使用客户端私钥分量计算消息M＝T1||T2的普通SM2数字签名δ，然后把(T1,T2,δ)发送给服
务端；
[0457] 服务端使用客户端公钥分量PKA验证数字签名δ，验证不通过则退出，否则选择随机数 计算椭圆曲线群元素 然后把(T3,T4)发
送给客户端；
[0458] 客户端计算椭圆曲线群元素
[0459] 客户端计算对称密钥t＝KDF(x2||y2,klen)，其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并
退出；
[0460] 客户端计算明文 其中， 表示按位异或运算；
[0461] 客户端计算验证数据u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法，若u≠C3，则报错并退出；
[0462] 客户端输出明文M'。
[0463] 本实施例中，解密过程引入混淆因子，避免攻击者监听密文和过程数据后解密出密文，更好的保护用户隐私。解密需要客户端和服务端共同完成，任意一方都无法单独完成
解密，保证了解密的安全性。
[0464] 在一优选实施例中，所述的SM2算法协同解密装置，还包括：
[0465] 所述通信单元，还用于接收所述客户端所计算并发送的消息的第二数字签名；
[0466] 验证单元，用于使用客户端公钥分量验证所述第二数字签名。
[0467] 需要说明的是，所述第二数字签名δ为非必需的，在具体的实施例当中，δ的计算和验证不影响正常的解密流程，即使删除也能够完成解密流程，此处是为了验证客户端的身
份(服务端对客户端的身份鉴别)，防止任意客户端都能使用服务端的私钥分量，即避免了
服务端私钥的非授权使用。
[0468] 第五方面。
[0469] 请参阅图5，图5是本发明实施例提供的SM2算法协同签名系统的示意图。
[0470] 所述SM2算法协同签名系统，包括客户端和服务端，协同签名由客户端发起。
[0471] 所述客户端，用于基于服务端公钥分量以及选取的第一随机数，计算第一椭圆曲线群元素组并发送给服务端。
[0472] 其中，所述第一椭圆曲线群元素组为R'A＝[kA]G和R”A＝[kA]PKBA；其中，PKBA为服务端公钥分量，kA∈[1,n‑1]为第一随机数，G为椭圆曲线基点。
[0473] 在一优选实施例中，所述服务端，还用于在接收所述客户端发送的第一椭圆曲线群元素组之后，使用服务端私钥分量dBA验证 若不成立则退出协议；其中，dBA
∈[1,n‑1]。
[0474] 在具体的实施例当中，R”A＝[kA]PKBA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0475] 所述服务端，用于基于客户端公钥分量以及选取的第二随机数反馈的第二椭圆曲线群元素组给所述客户端。
[0476] 其中，所述第二椭圆曲线群元素组为RB＝[kB]PKA和R'B＝[kB]G，其中，PKA为客户端公钥分量，kB∈[1,n‑1]为第二随机数；
[0477] 在一优选实施例中，所述客户端端，还用于使用客户端私钥分量dA验证[dA‑1]RB＝R'B，若不成立则退出协议；其中，dA∈[1,n‑1]。
[0478] 在具体的实施例当中，R'B＝[kB]G的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了增强签名方案的安全性。
[0479] 所述客户端，还用于基于所述第一椭圆曲线群元素组和所述第二椭圆曲线群元素组，计算第三椭圆曲线群元素。
[0480] 其中，所述第三椭圆曲线群元素基于以下公式生成：RA＝R'A+RB，且RA＝(xA,yA)，其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0481] 所述客户端，还用于根据用户信息杂凑值、待签名消息以及所述第三椭圆曲线群元素对应的横坐标，计算第一数值；并根据所述第一数值、所述第一随机数以及客户端私钥
分量，生成第二数值并发送给所述服务端。
[0482] 其中，所述第一数值的计算公式为：r＝H(ZA||M)+xA modn。
[0483] 所述第二数值的计算公式为： 其中，H表示预先定义的密码杂凑算法，ZA表示用户的可辨识标识、部分椭圆曲线系统参数和公钥的用户信息杂凑值，
M为待签名消息，定义与GM/T 0003.2‑2012保持一致，mod n表示模n运算。
[0484] 所述服务端，还用于根据所述第二数值、所述第二随机数以及服务端私钥分量计算第三数值并反馈给所述客户端。
[0485] 其中，所述第三数值的计算公式为
[0486] 所述客户端，还用于根据所述第一数值和所述第三数值合成SM2数字签名。
[0487] 其中，所述SM2数字签名为(r,t‑r)。
[0488] 在具体的实施例当中，客户端合成SM2数字签名(r,t‑r)后，验证数字签名的正确性，验证无效退出协议，否则获得签名。
[0489] 客户端和服务端分别持有部分私钥分量，攻击者在劫持其中一方的条件下无法获得完整的私钥，也无法实现私钥脱机使用，提升了私钥存储的安全性。签名需要客户端和服
务端共同完成，任意一方都无法单独完成签名，保证了签名的安全性。
[0490] 在一优选的实施例中，所述的SM2算法协同签名系统，还包括：
[0491] 所述客户端，还用于在所述根据所述第一数值、所述第一随机数以及客户端私钥分量，生成第二数值之后，使用客户端私钥分量计算关于所述第一椭圆曲线群元素组、所述
第二椭圆曲线群元素组以及所述第二数值的第一数字签名，并将所述第一签名发送给所述
服务端；
[0492] 所述服务端，还用于使用客户端公钥分量对所述第一数字签名进行验证。
[0493] 其中，所述第一数字签名为关于(R'A,R”A,RB,R'B,s')的普通SM2数字签名δA。
[0494] 在具体的实施例当中，δA的计算和验证不影响正常的签名流程，即使删除也能够完成签名流程，此处是为了验证客户端的身份(服务端对客户端的身份鉴别)，防止任意客
户端都能使用服务端的私钥分量，即避免了服务端私钥的非授权使用。
[0495] 在一优选的实施例中，所述的SM2算法协同签名系统，还包括证书颁发机构CA。
[0496] 所述客户端，还用于选择客户端私钥分量dA∈[1,n‑1]，计算客户端公钥分量PKA＝[dA]G，并将所述客户端公钥分量发送给服务端。
[0497] 所述服务端，还用于发送服务端公钥分量PKBA和随机群元素RB给所述客户端；其中，所述服务端公钥分量为PKBA＝[dBA]G，服务端私钥分量为dBA∈[1,n‑1]，所述随机群元素
为RB＝[kB]PKA，选取的随机数为kB∈[1,n‑1]。
[0498] 所述客户端，还用于选取随机数kA∈[1,n‑1]，计算随机群元素RA＝[kA]G+RB，RA＝(xA,yA)；其中，xA、yA分别为RA的x轴坐标和y轴坐标。
[0499] 所述客户端，还用于计算共同公钥PK＝[dA]PKBA‑G，并获取用户身份信息以在客户端生成证书签名请求CSR的内容，设为MCSR。
[0500] 在具体的实施例当中，计算共同公钥PK分别需要客户端和服务端各自的私钥分量参与计算才能获得。其中，本实施例已绑定证书签发过程，由客户端计算共同公钥PK。
[0501] 所述客户端，还用于计算数值r＝H(ZA||MCSR)+xA mod n和数值并把s’提交给所述服务端。
[0502] 所述服务端，还用于验证证书签名请求CSR的内容MCSR，核对用户身份信息，并在校验成功后计算数值 返回给所述客户端。
[0503] 所述客户端，还用于计算SM2数字签名(r,t‑r)，合成完整的CSR，提交给所述服务端。
[0504] 所述服务端，还用于验证完整的CSR与接收到的MCSR是否相符，是则向所述证书颁发机构CA提交。
[0505] 所述证书颁发机构CA，用于在验证CSR后，颁发共同公钥证书，并存储到证书库中。
[0506] 在具体的实施例当中，在产生公钥之后，按GM/T 0003.1‑2012标准6.2给出的方法验证公钥是否有效。
[0507] 本实施例中，共同公钥证书申请兼容当前的CA证书颁发流程，过程中包含服务端对客户端的身份认证，并且身份与完整的CSR绑定，有效的防止客户端提供虚假信息。
[0508] 需要说明的是，客户端或者服务端都可以获取证书库中的共同公钥证书，客户端在本地存储该共同公钥证书和服务端的公钥分量，服务端在本地存储该共同公钥证书和客
户端的公钥分量。
[0509] 第六方面。
[0510] 请参阅图6，图6是本发明实施例提供的。
[0511] 所述SM2算法协同解密系统，包括客户端和服务端。
[0512] 所述客户端，用于基于SM2密文第一分量、客户端私钥分量，以及选取的第三随机数和第四随机数，计算第三椭圆曲线群元素和第四椭圆曲线群元素并发送给服务端。
[0513] 所述服务端，用于基于选取的第五随机数、服务端私钥分量，以及所述第三椭圆曲线群元素和所述第四椭圆曲线群元素，计算第五椭圆曲线群元素和第六椭圆曲线群元素并
发送给客户端。
[0514] 所述客户端，还用于根据所述SM2密文第一分量、所述第三随机数和所述第四随机数，以及所述第五椭圆曲线群元素和所述第六椭圆曲线群元素，计算第七椭圆曲线群元素。
[0515] 所述客户端，还用于基于预先定义的密钥派生函数和所述第七椭圆曲线群元素，计算对称密钥。
[0516] 所述客户端，还用于将所述SM2密文第二分量与所述对称密钥按位异或运算，得到明文。
[0517] 所述客户端，还用于基于预先定义的密码杂凑算法，根据所述明文和所述第七椭圆曲线群元素，计算第四数值。
[0518] 所述客户端，还用于在所述第四数值不等于所述SM2密文第三分量时，报错并退出；在所述第四数值等于所述SM2密文第三分量时，输出所述明文。
[0519] 其中，客户端私钥分量为dA∈[1,n‑1]，服务端私钥分量为dBA∈[1,n‑1]。所述SM2密文为(C1,C2,C3)，其中C1为SM2密文第一分量，C2为SM2密文第二分量，C3为SM2密文第三分
量。所述第三随机数和所述第四随机数分别为 所述第三椭圆曲线群元素和所述
第四椭圆曲线群元素分别为 所述第五随机数为 所
述第五椭圆曲线群元素和所述第六椭圆曲线群元素分别为
所述第七椭圆曲线群元素为 所述对称密钥t＝KDF
(x2||y2,klen)；其中，KDF为预先定义的密钥派生函数，定义与GM/T0003.4‑2012保持一致，
klen为输出比特长度，若t为全0比特串，则报错并退出；所述明文为 其中，
表示按位异或运算。所述第四数值为u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码
杂凑算法。
[0520] 在具体的实施例当中，客户端接收到共同公钥PK加密的密文(C1,C2,C3)之后，需要与服务端通信完成解密，流程如下：
[0521] 客户端选择随机数 计算椭圆曲线群元素使用客户端私钥分量计算消息M＝T1||T2的普通SM2数字签名δ，然后把
(T1,T2,δ)发送给服务端；
[0522] 服务端使用客户端公钥分量PKA验证数字签名δ，验证不通过则退出，否则选择随机数 计算椭圆曲线群元素 然后把(T3,T4)发送
给客户端；
[0523] 客户端计算椭圆曲线群元素
[0524] 客户端计算对称密钥t＝KDF(x2||y2,klen)，其中，KDF为预先定义的密钥派生函数，定义与GM/T 0003.4‑2012保持一致，klen为输出比特长度，若t为全0比特串，则报错并
退出；
[0525] 客户端计算明文 其中， 表示按位异或运算；
[0526] 客户端计算验证数据u＝Hash(x2||M'||y2)，其中，Hash表示预先定义的密码杂凑算法，若u≠C3，则报错并退出；
[0527] 客户端输出明文M'。
[0528] 本实施例中，解密过程引入混淆因子，避免攻击者监听密文和过程数据后解密出密文，更好的保护用户隐私。解密需要客户端和服务端共同完成，任意一方都无法单独完成
解密，保证了解密的安全性。
[0529] 在一优选实施例中，所述的SM2算法协同解密系统，还包括：
[0530] 所述客户端，用于计算消息M＝T1||T2的第二数字签名δ，并把所述第二数字签名δ发送给服务端；
[0531] 所述服务端，还用于使用客户端公钥分量PKA＝[dA]G验证所述第二数字签名δ。
[0532] 需要说明的是，所述第二数字签名δ为非必需的，在具体的实施例当中，δ的计算和验证不影响正常的解密流程，即使删除也能够完成解密流程，此处是为了验证客户端的身
份(服务端对客户端的身份鉴别)，防止任意客户端都能使用服务端的私钥分量，即避免了
服务端私钥的非授权使用。
[0533] 第七方面。
[0534] 本发明实施例还提供一种终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述存储器与所述处理器耦接，且所述处
理器执行所述计算机程序时实现上述任一实施例中的SM2算法协同签名方法。
[0535] 本发明实施例还提供一种终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述存储器与所述处理器耦接，且所述处
理器执行所述计算机程序时实现上述任一实施例中的SM2算法协同解密方法。
[0536] 第八方面。
[0537] 本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设
备执行上述任一实施例中的SM2算法协同签名方法。
[0538] 本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设
备执行上述任一实施例中的的SM2算法协同解密方法。
[0539] 以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为
本发明的保护范围。
