密碼引擎-加密API研究

• 密碼引擎-加密API研究
  • 0 任務詳情
  • 1 研究學習原始文件
    • 1.1 CryptoAPI
    • 1.2 PKCS#11
    • 1.3 GM/T 0016-2012 智慧密碼鑰匙密碼應用介面規範
    • 1.4 GM/T 0018-2012 密碼裝置應用介面規範
  • 2 總結這些API在程式設計中的使用方式
    • 2.1 CryptoAPI
      • 2.1.1 體系結構
      • 2.1.2 基本功能
    • 2.2 PKCS#11
      • Cryptoki模型
    • 2.3 SKF
  • 3 對這些API包含的函式進行分類和對比
    • 3.1 CryptoAPI
      • 3.1.1 基本加密函式
        • （1）服務提供者函式
        • （2）金鑰的產生和交換函式
        • （3）編碼/解碼函式
        • （4）資料加密/解密函式
        • （5）雜湊和數字簽名函式
      • 3.1.2 證書和證書庫函式
        • （1）證書庫函式
        • （2）維護函式
        • （3）證書函式
        • （4）證書撤銷列表函式
        • （5）證書信任列表函式
        • （6） 擴充套件屬性函式
      • 3.1.3 證書驗證函式
        • （1）使用CTL的函式
        • （2）證書鏈驗證函式
      • 3.1.4 訊息函式
        • （1）低階訊息函式
        • （2） 簡化訊息函式
      • 3.1.5 輔助函式
        • （1）資料管理函式
        • （2）資料轉換函式
        • （3）增強金鑰用法函式
        • （4）金鑰標示函式
        • （5）證書庫回撥函式
    • 3.2 PKCS#11
      • 3.2.1 通用介面
      • 3.2.2 槽和令牌管理函式
      • 3.2.3 會話管理函式
      • 3.2.3 物件管理函式
      • 3.2.4 加密和解密函式
      • 3.2.5 訊息摘要函式
      • 3.2.5 簽名和驗籤函式
      • 3.2.6 雙重目的的加密
      • 3.2.7 金鑰管理函式
      • 3.2.8 隨機數生成函式
    • 3.3 SFK
      • 3.3.1 裝置管理系列函式
      • 3.3.2 訪問控制系列函式
      • 3.3.3 應用管理系列函式
      • 3.3.4 檔案管理系列函式
      • 3.3.5 容器管理系列函式
      • 3.3.6 密碼服務系列函式
  • 4 介面呼叫（以龍脈GM3000Key為例）
    • 4.1 Crypto API
    • 4.2 PKCS#11
    • 4.3 SFK

0 任務詳情

• 查詢各種標準的原始文件，研究學習（至少包含Crypto API,PKCS#11,GMT 0016-2012,GMT 0018-2012）
• 總結這些API在程式設計中的使用方式
• 列出這些API包含的函式，進行分類，並總結它們的異同
• 以龍脈GM3000Key為例，寫出呼叫不同介面的程式碼（Crypto API,PKCS#11，SKF介面），把執行截圖加入部落格，並提供程式碼連結

1 研究學習原始文件

1.1 CryptoAPI

• Cryptography
• CryptoAPI System Architecture
• Cryptographic Provider Types
• Microsoft Cryptographic Service Providers
• Cryptography API: Next Generation
• wincrypt.h header

1.2 PKCS#11

PKCS #11

1.3 GM/T 0016-2012 智慧密碼鑰匙密碼應用介面規範

• http://www.gmbz.org.cn/main/viewfile/20180110020423162671.html

1.4 GM/T 0018-2012 密碼裝置應用介面規範

• http://www.gmbz.org.cn/main/viewfile/20180110020642562680.html

2 總結這些API在程式設計中的使用方式

2.1 CryptoAPI

2.1.1 體系結構

CryptoAPI體系架構共由五大部分組成：

1. 基本加密函式：用於選擇CSP、建立CSP連線、產生金鑰、交換及傳輸金鑰等操作
2. 證書編解碼函式：用於資料加密、解密、雜湊等操作，建立和校驗數字簽名操作；實現證書、證書撤銷列表、證書請求和證書擴充套件編碼和解碼操作。
3. 證書庫管理函式：用於數字證書及證書管理等操作。這組函式用於管理證書、證書撤銷列表和證書信任列表的使用、儲存、獲取等。
4. 簡單的訊息函式：用於訊息處理，比如訊息編解碼，訊息加解密，數字簽名及簽名驗籤等操作。它是把多個底層訊息函式包裝在一起以完成某個特定任務，方便使用者使用。
5. 底層訊息函式：底層訊息函式對傳輸的PKCS#7資料進行編碼，對接收到的PKCS#7資料進行解碼，並且對接收到的訊息進行解碼和驗證。它可以實現簡單訊息函式可以實現的所有功能，且提供更大的靈活性，但一般需要更多的函式呼叫。

2.1.2 基本功能

1. 金鑰管理

   在CryptoAPI中，支援兩種型別的金鑰：會話金鑰、公私鑰對。會話金鑰也稱為對稱金鑰，用於對稱金鑰演算法。為了保證金鑰的安全性，在CryptoAPI中，這些金鑰都儲存在CSP內部，使用者可以通過CryptExportKey以加密金鑰形式匯出。公私鑰用於非對稱加密演算法。非對稱加密演算法主要用於加解密會話金鑰和數字簽名。在CryptoAPI中，一般來說，大多數CSP產生的金鑰容器包含兩對金鑰對，一對用於加密會話金鑰，稱為交換金鑰對，一對用於產生數字簽名，稱為簽名金鑰對。在CryptoAPI中所有的金鑰都儲存在CSP中，CSP負責金鑰的建立，銷燬，匯入匯出等操作。

2. 資料編解碼

   CryptoAPI採用的編碼方式為ASN.1，編碼規則為DER，表示傳送資料時先把資料抽象為ASN.1物件，然後使用DER編碼規則把ASN.1物件轉化為可傳輸的0,1串；接收方接收到資料後，利用DER解碼規則把0,1串轉化為ASN.1物件，然後把ASN.1物件轉化為具體應用支援的資料物件。

3. 資料加解密

   在CryptoAPI中約定加密較大資料塊時，採用對稱金鑰演算法。通過其封裝好的加解密函式來實現資料加解密操作。

4. 雜湊和數字簽名

   雜湊和數字簽名一般用於資料的完整性校驗和身份鑑別。CryptoAPI中，通過其封裝好的雜湊與數字簽名函式來實現相關操作。微軟公司提供的CSP產生的數字簽名遵循RSA標準（PKCS#6）

5. 數字證書管理

   數字證書主要用於安全通訊中的身份鑑別。CryptoAPI中，對數字證書的使用管理函式分為證書與證書庫函式、證書驗證函式兩大部分。

2.2 PKCS#11

PKCS#11是使用非常普遍的密碼裝置介面，在實際應用中，國密的密碼裝置應用介面規範GM/T 0018-2012與之作用相同，在技術體系架構中處於類似的位置。PKCS#11標準定義了與密碼令牌的獨立於平臺的API，API本身命名為Cryptoki，這個API已經發展成為一個通用的加密令牌的抽象層。PKCS#11主要是應用於智慧卡和HSM。

Cryptoki模型

Cryptoki：Cryptographic Token Interface Standard 密碼令牌介面標準，應用程式與各種各樣行動式密碼裝置間的一種介面。裝置的種類和所支援的能力的種類取決於專用的Cryptoki庫。該標準只定義庫的介面，不定義庫的實現，介面實現由裝置商提供。Cryptoki主要目標是一個低階程式介面，將裝置的細節抽象化，並把密碼裝置的通用模型-密碼令牌提供給應用程式。第二目標是資源共享，單個裝置能為一個以上的應用程式共享。Cryptoki為一個或多個密碼裝置提供一個介面，這些裝置通過大量的槽在系統中執行，密碼裝置可以按照某一命令集執行某些密碼操作，這些命令通常通過標準的裝置驅動程式來實現，Cryptoki的作用就是遮蔽這些硬體的差異。

2.3 SKF

針對支援國密演算法USB KEY裝置的應用，我國頒佈一個行業標準《智慧密碼鑰匙應用介面規範》（GM/T 0016-2012）中給出，市面上銷售的國密演算法的USB KEY裝置必須支援這個介面規範。因此，只要根據這個規範開發的應用程式，就可以相容使用不同廠家及品牌的USB KEY產品。由於此規範中函式名稱都以SKF開頭，所以我們一般把按照此規範提供的裝置開發介面庫叫做SKF庫或SKF介面。

智慧密碼鑰匙密碼應用介面位於智慧密碼鑰匙應用程式和智慧密碼鑰匙裝置驅動之間。

一個裝置中存在裝置認證金鑰和多個應用，應用之間相互獨立。

應用由管理員PIN，使用者PIN、檔案和容器組成，可以存在多個檔案和多個容器。每個應用維護各自的與管理員PIN和使用者PIN相關的許可權狀態。

容器中存放加密金鑰對、簽名金鑰對和會話金鑰。其中加密金鑰對用於保護會話金鑰，簽名金鑰對用於數字簽名和驗證，會話金鑰用於資料加解密和MAC運算。容器中也可以存放與加密金鑰對對應的加密數字證書和與簽名金鑰對對應的簽名數字證書。其中，簽名金鑰對由內部產生，加密金鑰對由外部產生並安全匯入，會話金鑰可由內部產生或者由外部產生並安全匯入。

3 對這些API包含的函式進行分類和對比

3.1 CryptoAPI

3.1.1 基本加密函式

（1）服務提供者函式

應用程式使用服務提供者函式來連線和斷開一個CSP（Cryptographic Service Providers）。

（2）金鑰的產生和交換函式

金鑰產生函式建立、配置和銷燬加密金鑰。他們也用於和其他使用者進行交換金鑰。

（3）編碼/解碼函式

有一些編碼/解碼函式，他們可以用來對證書、證書撤銷列表、證書請求和證書擴充套件進行編碼和解碼。

（4）資料加密/解密函式

這些函式支援資料的加密/解密操作。CryptEncrypt 和CryptDecrypt 要求在被呼叫前指定一個金鑰。這個金鑰可以由CryptGenKey、CryptDeriveKey 或CryptImportKey 產生。建立金鑰時要指定加密演算法。CryptSetKeyParam 函式可以指定額外的加密引數。

（5）雜湊和數字簽名函式

這些函式在應用程式中完成計算雜湊、建立和校驗數字簽名。

3.1.2 證書和證書庫函式

這組函式管理、使用和取得證書、證書撤銷列表和證書信任列表。

（1）證書庫函式

一個使用者站點可以收集許多證書。這些證書是為這個站點的使用者所使用的，證書描述了這個使用者的具體身份。對於每個人，可能有一個以上的證書。證書庫和其相關的函式提供了對庫獲得、列舉、驗證和使用證書庫裡的資訊。

（2）維護函式

（3）證書函式

下列函式是針對於證書的。大多數函式都是處理CRL 和CTL 的。

（4）證書撤銷列表函式

（5）證書信任列表函式

（6） 擴充套件屬性函式

3.1.3 證書驗證函式

證書驗證是通過CTL 和證書列表進行的。

（1）使用CTL的函式

（2）證書鏈驗證函式

3.1.4 訊息函式

CryptoAPI 訊息函式包括兩組：

• 低階訊息函式
• 簡化訊息函式。

低階訊息函式直接和PKCS#7 訊息工作。這些函式對傳輸的PKCS#7 資料進行編碼，對接收到的PKCS#7 資料進行解碼，並且對接收到的訊息進行解密和驗證。簡化訊息函式是比較高階的函式，是對幾個低階訊息函式和證書函式的封裝，用來執行指定任務。這些函式在完成一個任務時，減少了函式呼叫的數量，因此簡化了CryptoAPI的使用。

（1）低階訊息函式

（2） 簡化訊息函式

3.1.5 輔助函式

（1）資料管理函式

（2）資料轉換函式

（3）增強金鑰用法函式

（4）金鑰標示函式

（5）證書庫回撥函式

具體函式和功能參考：CryptoAPI

3.2 PKCS#11

3.2.1 通用介面

3.2.2 槽和令牌管理函式

3.2.3 會話管理函式

3.2.3 物件管理函式

3.2.4 加密和解密函式

3.2.5 訊息摘要函式

3.2.5 簽名和驗籤函式

3.2.6 雙重目的的加密

3.2.7 金鑰管理函式

3.2.8 隨機數生成函式

具體函式內容和功能參考：PKCS#11

3.3 SFK

3.3.1 裝置管理系列函式

3.3.2 訪問控制系列函式

3.3.3 應用管理系列函式

3.3.4 檔案管理系列函式

3.3.5 容器管理系列函式

3.3.6 密碼服務系列函式

4 介面呼叫（以龍脈GM3000Key為例）

4.1 Crypto API

程式碼連結：Gitee

4.2 PKCS#11

程式碼和編譯指令碼：Gitee

4.3 SFK

程式碼連結和編譯指令碼：Gitee