GMT 0144-2025 基于SM2密码算法的协同签名技术规范标准立项发展报告

基于SM2密码算法的协同签名技术规范标准立项发展报告StandardizationDevelopmentReport:TechnicalSpecificationforCooperativeSignatureBasedonSM2CryptographicAlgorithm摘要随着数字经济的快速发展和移动互联网的深度普及，基于PKI体系的数字签名技术已成为网络身份认证、电子交易合规、数据完整性保障的核心技术之一。然而，传统数字签名机制中私钥集中存储的安全隐患日益凸显，移动终端环境下的密钥保护能力不足、侧信道攻击风险加剧等挑战对密码应用安全提出了更高要求。在此背景下，协同签名技术通过将私钥分割存储、协同计算的方式，在不暴露完整私钥的前提下完成数字签名操作，有效解决了传统模式中密钥单点存储的安全脆弱性问题。SM2算法作为我国自主设计的椭圆曲线公钥密码算法，已于2016年正式成为国家标准（GB/T32918），并在政务、金融、能源等重要行业得到广泛应用。本标准《基于SM2密码算法的协同签名技术规范》（GM/T0144-2025）由密码行业标准化技术委员会归口管理，旨在统一基于SM2算法的协同签名技术框架、协议流程、接口要求和安全要求，填补我国在协同签名领域密码行业标准的空白。本报告对该标准的立项背景、编制过程、核心技术内容及其行业应用价值进行了系统论述，并就标准实施预期效果与未来发展方向提出了展望。关键词：SM2算法；协同签名；密码标准；私钥分割；安全协议；GM/T0144-2025AbstractWiththerapiddevelopmentofthedigitaleconomyandthedeepproliferationofmobileinternet,digitalsignaturetechnologybasedonPKIhasbecomeoneofthecoretechnologiesfornetworkidentityauthentication,electronictransactioncompliance,anddataintegrityassurance.However,thesecurityrisksofcentralizedprivatekeystorageintraditionaldigitalsignaturemechanismsareincreasinglyprominent,andtheinsufficientkeyprotectioncapabilityandheightenedside-channelattackrisksinmobileterminalenvironmentshaveimposedhigherrequirementsonthesecurityofcryptographicapplications.Inthiscontext,cooperativesignaturetechnologyeffectivelyaddressesthesecurityvulnerabilitiesofsingle-pointkeystorageintraditionalmodelsbysplittingtheprivatekeyintosharesandperformingcooperativecomputation,therebycompletingdigitalsignatureoperationswithoutexposingthecompleteprivatekey.AsChina'sindependentlydesignedellipticcurvepublic-keycryptographicalgorithm,SM2wasofficiallyestablishedasanationalstandard(GB/T32918)in2016andhasbeenwidelyadoptedincriticalindustriessuchasgovernmentaffairs,finance,andenergy.Thisstandard,*TechnicalSpecificationforCooperativeSignatureBasedonSM2CryptographicAlgorithm*(GM/T0144-2025),isadministeredbytheCryptographicIndustryStandardizationTechnicalCommittee,aimingtounifythetechnicalframework,protocolprocedures,interfacerequirements,andsecurityrequirementsforSM2-basedcooperativesignaturetechnology,fillingthegapincryptographicindustrystandardsinthefieldofcooperativesignatureinChina.Thisreportsystematicallyelaboratesontheprojectbackground,compilationprocess,coretechnicalcontent,andindustryapplicationvalueofthestandard,andpresentsprospectsfortheexpectedeffectsofstandardimplementationandfuturedevelopmentdirections.Keywords:SM2Algorithm;CooperativeSignature;CryptographicStandard;PrivateKeySplitting;SecurityProtocol;GM/T0144-2025一、引言1.1立项背景数字签名技术是保障电子数据真实性、完整性和不可否认性的关键密码技术，在电子政务、电子商务、金融交易、司法存证等众多领域发挥着不可替代的作用。我国《密码法》明确要求对密码实行分类管理，推进商用密码标准化工作，保障网络与信息安全。《网络安全法》《数据安全法》《个人信息保护法》等法律法规的相继出台，也对密码技术的合规应用提出了更高要求。传统数字签名方案中，签名私钥通常以密文形式集中存储于USBKey、智能卡等专用硬件介质中，或存储于终端设备的安全区域。然而，随着移动办公、云计算、物联网等新业态的迅猛发展，上述密钥管理方式面临严峻挑战：硬件介质不便携、易丢失；移动终端安全环境复杂，难以有效抵御恶意代码和侧信道攻击；云端密钥托管模式则面临大规模泄露的潜在风险。协同签名技术（CooperativeSignature，亦称门限签名或分布式签名）为解决上述问题提供了新的技术路径。其核心思想是：将签名私钥通过秘密共享等方式分割为多个份额（share），分别存储于不同的参与方设备中；签名过程中，各参与方在本地使用各自的密钥份额执行部分计算，通过交互协议协同产生最终的完整签名值。整个过程既不重构完整私钥，也不在任何单一设备中暴露私钥信息，从而有效降低了私钥泄露风险，实现了"密钥不落地"的安全目标。1.2国外相关标准现状在国际标准化领域，IETF（互联网工程任务组）先后发布了RFC9608（ThresholdSignatures）等技术文档，对门限签名的一般性框架进行了描述。ISO/IECJTC1/SC27（信息安全、网络安全与隐私保护分技术委员会）也启动了多方密码协议相关国际标准的研制工作。然而，上述国际标准多基于ECDSA、EdDSA等国外签名算法，未覆盖我国自主设计的SM2算法，且各国在密钥管理合规要求、密码产品认证体系等方面存在显著差异，直接采用国际标准无法满足我国密码应用的安全可控要求。1.3国内标准现状与立项必要性在国内，SM2算法标准化工作已取得系列成果。GB/T32918《信息安全技术SM2椭圆曲线公钥密码算法》规定了SM2算法的基础数学原理和签名、加密、密钥交换等基本密码运算；GM/T0003《SM2椭圆曲线公钥密码算法》作为密码行业标准，在商用密码领域得到广泛应用；GB/T35276《信息安全技术SM2密码算法使用规范》进一步细化了SM2算法的工程实现要求。但是，上述标准均基于传统的单密钥持有模型，未涉及私钥分割和协同计算场景。在协同签名领域，目前尚无统一的密码行业标准可循，导致各厂商的协同签名产品在协议流程、数据格式、接口设计和安全保障等方面各行其是，产品互操作性差，安全水平参差不齐，严重制约了该技术的规模化推广和合规应用。因此，制定《基于SM2密码算法的协同签名技术规范》行业标准具有突出的紧迫性和必要性。本标准将统一基于SM2算法的协同签名技术框架和协议要求，为密码产品的研发、检测、应用提供标准化依据，填补我国在该领域的标准空白。1.4标准编制单位与流程本标准由密码行业标准化技术委员会（以下简称"标委会"）提出并归口管理。主要起草单位包括北京信安世纪科技股份有限公司、中国科学院软件研究所、中国电子技术标准化研究院等国内密码领域的优势企业和科研机构。编制工作遵循《国家标准管理办法》和《行业标准管理办法》规定的标准制定程序，经历了预研论证、立项评审、草案编制、征求意见、技术审查和报批发布等阶段。标准于2025年正式发布，标准编号为GM/T0144-2025，实施日期为2026年7月1日。二、标准编制原则与技术路线2.1编制原则本标准的编制遵循以下基本原则：（1）安全性优先原则。协同签名涉及私钥分割存储和多方交互计算，安全是首要考量。标准在协议设计、密钥管理、随机数生成、安全审计等方面设置了严格的安全要求，确保方案能够抵御已知的密码分析攻击和侧信道攻击。（2）兼容性原则。标准严格遵循GB/T32918中规定的SM2签名算法的密码学语义，确保协同签名产生的签名结果与标准SM2算法生成的签名完全兼容，可由任何符合标准的验签方进行验证，不改变现有PKI体系的验证逻辑。（3）实用性原则。标准充分考虑了移动终端、云服务、浏览器插件等典型应用场景的实际需求，在协议设计和接口定义上兼顾了实现简洁性和部署灵活性，降低产品和系统的集成门槛。（4）开放性原则。标准的制定过程广泛吸纳了产业界、学术界和检测机构的意见建议，关键技术方案经过多轮论证和测试验证，确保标准的技术先进性和产业适配性。2.2技术路线本标准的技术路线以SM2签名算法的代数结构为基础，利用椭圆曲线群上标量乘法的可加同态性质，将SM2签名私钥$d_A$分割为两个（或多个）份额$d_1,d_2,\ldots,d_n$，满足$d_A\equivd_1+d_2+\cdots+d_n\pmodn$（其中$n$为SM2算法的基点和阶）。在签名过程中，各参与方分别使用自身持有的密钥份额生成部分签名数据，通过安全交互完成协作计算，最终合成可在标准验签流程下验证通过的完整签名$(r,s)$。该技术路线的核心优势在于：私钥的各份额之间具有数学上的保密性，任一参与方无法从自身的份额和其他参与方披露的信息中推导出完整私钥；签名过程中不涉及私钥的恢复或重构，从根本上杜绝了私钥在内存中被截获的风险；签名结果与标准SM2签名在数学上等价，验证端无需任何修改即可完成验签。三、标准主要技术内容3.1标准范围与适用场景本标准规定了基于SM2密码算法的协同签名技术的总体架构、参与方角色、密钥份额生成与管理、协同签名协议流程、数据格式要求、接口要求和安全要求。适用于采用协同签名技术的密码产品（包括但不限于移动端SDK、服务端签名组件、云密码服务平台等）的设计、开发、检测和应用部署。标准的典型适用场景包括但不限于：-移动终端与远程服务端协同完成签名操作（如移动办公签批、移动支付授权）；-多终端设备之间的协同签名（如PC端与手机端配合完成签名）；-云环境下用户与云密码服务之间的协同签名（如密钥托管于云端，用户端持有部分份额）；-需要多人授权才能完成签名的多方签名场景（如企业大额资金转账的多级审批）。3.2总体架构与角色定义标准定义了协同签名系统的基本架构，包含以下核心参与角色：-密钥生成参与方：负责参与系统初始化阶段密钥份额的生成和分发。根据具体应用场景，密钥份额可由各参与方联合生成（分布式密钥生成），也可由可信中心生成后安全分发至各参与方（中心化密钥分发）。-签名发起方：发起协同签名请求的参与方，通常持有待签名消息并负责汇总签名结果。-签名协同方：与签名发起方协作完成签名运算的其他参与方。-验签方：使用签名者公钥对协同签名结果进行验证的一方，验证过程与标准SM2签名验证流程一致。-密钥管理服务方（可选角色）：负责密钥份额的生命周期管理，包括备份恢复、轮换更新和吊销销毁等操作。标准明确要求，系统涉及的角色应实现职责分离，且各参与方之间应建立安全通信通道以保障交互过程中的消息机密性和完整性。3.3密钥份额管理要求密钥份额的安全管理是协同签名安全性的根基。标准在密钥份额的生命周期管理方面提出了系统性要求，覆盖密钥份额的生成、分发、存储、使用、更新、备份、恢复和销毁等环节。标准强调，各参与方密钥份额的存储应使用硬件安全模块（HSM）、安全单元（SE）、可信执行环境（TEE）等具有高安全等级的载体，确保密钥份额在静态存储和动态使用过程中的保密性和完整性。具体而言，密钥份额生成应使用经批准的随机数发生器，确保份额的不可预测性；密钥份额分发的过程中应采用SM2或SM4等经批准的密码算法进行加密保护，确保传输机密性；密钥份额的更新机制应确保在份额泄露或人员变动时能够在不更换完整密钥的前提下完成安全轮换；密钥份额的销毁应确保数据不可恢复。此外，标准还对分布式密钥生成（DKG）协议提出了明确的安全要求，要求协议具备可验证性，即各参与方能够验证其他参与方是否正确执行了协议步骤，防止恶意参与方注入有偏份额。在极端场景下，标准要求至少需持有规定数量以上的密钥份额方可完成签名，低于阈值时无法生成有效签名，以此实现强制授权控制。3.4协同签名协议流程协同签名协议是整个标准的核心内容。标准定义了两方协同签名协议，并在此基础上给出了扩展到多方协同签名的一般性方法。其中两方协同签名协议的基本流程包括：阶段一：系统初始化。双方协商确定椭圆曲线参数、SM2算法参数以及协议所需的哈希函数等公共参数。阶段二：密钥份额生成。双方按照标准规定的协议联合生成SM2签名私钥的两份密钥份额，并计算对应的签名公钥。标准同时支持分布式生成和中心化生成两种模式，各参与方对密钥份额进行一致性验证。阶段三：协同签名。签名发起方对待签名消息计算摘要值，并与签名协同方执行协同签名协议。协议过程包含多个轮次的交互消息，包括随机数的承诺与交换、部分签名的计算与验证等步骤，最终由一方合成完整的SM2签名值$(r,s)$。阶段四：签名验证。签名方或任意第三方使用签名者的SM2公钥，按照GB/T32918标准规定的验签流程对签名结果进行验证。标准对各协议步骤中输入输出数据的具体格式、编码规则、错误处理机制和异常终止条件进行了精确规定，确保不同厂商实现之间的互操作性。同时，标准要求协议在设计上应能够抵抗恶意参与方发起的主动攻击，包括但不限于密钥篡改攻击、部分签名拒绝服务攻击和中间人攻击。3.5安全要求标准从系统层面、协议层面和实现层面三个维度提出了全面的安全要求：系统安全要求。使用协同签名技术的系统应满足GB/T39786《信息安全技术信息系统密码应用基本要求》中规定的密码应用合规性要求。密钥份额的存储介质安全等级、访问控制策略、审计日志记录等均需满足相应等级的保护要求。协议安全要求。协同签名协议应满足以下安全属性：不可伪造性——在恶意参与方存在的情况下，攻击者无法在没有获得足够数量密钥份额的条件下伪造有效签名；前向安全性——即使某一参与方的密钥份额在某个时间点泄露，攻击者也无法恢复该时间点之前产生的签名相关的敏感信息；抵抗密钥一致性攻击——各参与方必须能够验证其他参与方的密钥份额与最终公钥之间的一致性，防止恶意实体通过使用不一致的密钥份额实施攻击。实现安全要求。密码运算应遵循GM/T0003等标准的使用规范，随机数生成应符合GB/T32915《信息安全技术二元序列随机性检测方法》等标准要求，侧信道防护应采用掩码、隐藏等对策措施。标准明确要求各参与方的实现应通过国家密码管理局认可的检测机构的安全性审查。四、标准实施的意义与应用前景4.1行业影响本标准的发布与实施将对密码产业和网络安全生态产生深远影响。首先，标准填补了我国协同签名领域行业标准的空白，使协同签名产品有据可依、有标可循，有效改变了此前各厂商产品技术路线分散、安全水平参差不齐的混乱局面。其次，标准为商用密码产品的检测认证提供了明确的技术依据，有助于主管部门开展标准符合性检测，提升密码产品的整体安全质量。再者，标准的实施将有力促进密钥全生命周期管理从"单点防护"向"多方共担"的范式转变，推动密码应用安全架构的整体升级。4.2应用前景协同签名技术具有广泛的行业应用前景，对密码算法的合规应用和业务系统的安全能力提升具有直接推动作用。在政务领域，协同签名可用于移动政务办公中的电子签批、电子公文流转，实现"随时随地安全签章"。在金融领域，协同签名可用于大额转账的多级授权审批、移动支付的交易签名以及区块链数字资产的托管签名服务，显著降低因私钥泄露导致的资金被盗风险。在医疗健康领域，协同签名可为电子病历的医生签名、处方流转中的多重身份认证提供合规的密码支撑。在大型企业中，协同签名技术可应用于合同审批流中的多人会签，确保合同签署的合规性和安全性。此外，协同签名技术在数字人民币、车联网V2X通信身份认证、工业互联网设备标识等新兴应用场景中也展现出广阔的应用潜力，标准的出台将有力支撑上述新兴领域密码应用的安全规范化发展。4.3标准实施预期效果