从理论到跑通：一个Python示例带你彻底搞懂SM2协同签名的每一步交互

刘子栋

228人浏览 · 2026-06-10 15:58:07

刘子栋 · 2026-06-10 15:58:07 发布

从理论到跑通：一个Python示例带你彻底搞懂SM2协同签名的每一步交互

密码学协议的实现往往伴随着复杂的数学公式和抽象描述，这让许多开发者望而却步。SM2作为我国自主设计的椭圆曲线公钥密码算法标准，其协同签名机制在分布式系统中具有重要应用价值。本文将用Python代码一步步拆解SM2协同签名的完整流程，让你不仅能运行出正确结果，更能理解每个参数背后的数学意义。

1. 环境准备与基础参数

在开始编码前，我们需要明确几个核心概念。SM2协同签名涉及两个参与方：客户端和服务端，各自持有部分私钥。整个过程需要双方交互完成签名，但任何一方都无法获取完整的私钥信息。

首先安装必要的Python库：

pip install pycryptodome

定义SM2标准参数（来自GMT 0003.5-2012）：

from Crypto.Util.number import bytes_to_long, long_to_bytes

# 定义SM2椭圆曲线参数
N = 0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFF7203DF6B21C6052B53BBF40939D54123
A = 0xFFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFC
B = 0x28E9FA9E9D9F5E344D5A9E4BCF6509A7F39789F515AB8F92DDBCBD414D940E93
Gx = 0x32C4AE2C1F1981195F9904466A39C9948FE30BBFF2660BE1715A4589334C74C7
Gy = 0xBC3736A2F4F6779C59BDCEE36B692153D0A9877CC62A474002DF32E52139F0A0

2. 密钥生成与验证

协同签名的安全性建立在双方密钥的正确生成和验证上。让我们先实现密钥对的生成逻辑：

import random
from ecpy.curves import Curve, Point

# 初始化椭圆曲线
curve = Curve.get_curve('sm2p256v1')
G = Point(Gx, Gy, curve)

# 客户端密钥生成
d1 = 0x8778734DD0BE82BEDBC246412B8CFA307F70F0A754863295AA5B68130BE6FCF5
P1 = d1 * G

# 服务端密钥生成
d2 = 0xB09557F5DF806C6D8D74D98B43651108A5F679BDF7EB15B8E0E1608F6E3C7BF4
P2 = d2 * G

# 计算协同公钥P
P = (d1 * d2 - 1) * G

注意：实际应用中d1和d2应为随机生成的大整数，这里使用固定值便于演示验证。

3. 签名过程分步实现

3.1 客户端初始化阶段

客户端需要生成临时密钥对并计算验证参数：

# 客户端生成随机数K1
K1 = 0xEA26ED554E8084D92BF837B8EDD57AA05C4EFA9F21FC3C36858E81B07DBFEEB1
R1 = K1 * G
R1_ = K1 * P2

# 验证点检查（服务端执行）
assert R1 * d2 == R1_, "客户端参数验证失败"

3.2 服务端响应阶段

服务端收到客户端参数后，生成自己的临时密钥对：

# 服务端生成随机数K2
K2 = 0xA1FE69D4FA0467EDBFC91914D13FF8F2086851ADC0C5EC029412EC946930F683
R2_ = K2 * G
R2 = K2 * P1

# 验证点检查（客户端执行）
assert d1 * R2_ == R2, "服务端参数验证失败"

3.3 签名计算阶段

双方通过交互完成最终签名生成：

# 待签名消息
m = b'plaintext'
e = bytes_to_long(m) % N  # 简化的哈希计算，实际应使用SM3

# 客户端计算部分签名
K = (K1 + K2 * d1) % N
x1 = (K * G).x % N
r = (e + x1) % N
s_ = (K1 + r) * pow(d1, -1, N) % N

# 服务端完成签名
t = (s_ + K2) * pow(d2, -1, N) % N

# 客户端生成最终签名
s = (t - r) % N
signature = (r, s)

4. 签名验证与调试技巧

最后我们需要验证生成的签名是否有效：

def verify_signature(P, m, signature):
    r, s = signature
    e = bytes_to_long(m) % N
    
    # 计算验证点
    x1 = (r - e) % N
    R = (x1 + s) * G + s * P
    v = (e + R.x) % N
    
    return v == r

# 验证签名
assert verify_signature(P, m, signature), "签名验证失败"
print(f"签名验证成功: r={hex(r)}, s={hex(s)}")

调试过程中常见的三个问题：

参数验证失败 ：检查R1_和R2的计算是否正确，确保椭圆曲线点乘法实现无误
签名验证不通过 ：逐步打印中间变量，特别是K、r、s_、t的值
模运算错误 ：确认所有模运算都使用曲线阶数N，而不是曲线特征p

提示：在真实场景中，消息哈希应使用SM3算法，本文简化处理直接使用消息字节的整数表示。

5. 安全注意事项与性能优化

实现协同签名时，除了功能正确性，还需要考虑以下安全因素：

随机数生成 ：K1和K2必须使用密码学安全的随机数生成器
参数验证 ：必须严格执行R1_和R2的验证步骤，防止恶意攻击
时序安全 ：确保实现不受时序攻击影响，特别是模逆运算

性能优化建议：

# 预计算加速点乘运算
precomputed_G = {str(G): G}
for i in range(1, 16):
    precomputed_G[str(i*G)] = i*G

# 使用窗口法优化点乘
def fast_point_mul(k, point):
    # 实现窗口法点乘优化
    pass

6. 实际应用场景扩展

SM2协同签名特别适合以下场景：

多方授权系统 ：需要多个管理员共同签署才能生效的操作
分布式密钥管理 ：密钥分片存储在多个节点，避免单点风险
区块链签名 ：多个参与方共同控制一个区块链地址

一个典型的多方签名流程实现：

初始化阶段：各参与方生成并交换公钥分量
签名准备：协商临时密钥并验证参数
签名生成：按顺序交换中间签名参数
结果合并：组合生成最终签名

class SM2CoSigner:
    def __init__(self, private_share):
        self.d = private_share
        self.public_key = self.d * G
    
    def prepare_sign(self):
        self.k = random.randint(1, N-1)
        return self.k * G
    
    def verify_peer(self, peer_R, peer_R_):
        return peer_R * self.d == peer_R_
    
    def generate_partial_sig(self, r, peer_kG):
        s_part = (self.k + r) * pow(self.d, -1, N) % N
        return s_part
    
    def complete_sig(self, partial_sigs, r):
        s = sum(partial_sigs) % N
        return (r, s)

7. 数学原理深度解析

理解SM2协同签名的关键在于掌握其背后的数学原理：

密钥构造 ：协同私钥实际上是d = (d1×d2-1) mod n，但双方都无法单独计算
签名方程 ：s = (k + r)/d mod n被巧妙地分解为两部分计算
安全性基础 ：基于椭圆曲线离散对数问题(ECDLP)的困难性

签名正确性证明：

s = t - r mod n
  = (s_ + K2)/d2 - r mod n
  = [(K1 + r)/d1 + K2]/d2 - r mod n
  = [K1 + r + K2×d1]/(d1×d2) - r mod n
  = (K + r)/(d1×d2) - r mod n
  = (K + r)/(d + 1) - r mod n

通过数学推导可以验证，当使用协同公钥P = (d1×d2-1)×G验证时，签名方程能够成立。