PKI体系中双证书数字信封图文描述支持国密算法

最近做一个猜盲盒（没有示例）对接银行的接口 对报文加签验签使用sm3withsm2算法 数字信封按sm4随机生成一把对称密钥 然后使用sm4密钥对报文进行加密 在使用公钥将其生成数字信封。依据密文生成签名 并以rs编码格式展现 依赖库签名是以ASN.1格式编码。以上为主要实现代码 具体还要根据业务要求。依赖 BouncyCastle 类库。对报文以GBK编码形式进行加密。

本文深度解析国密GMTLS协议中的双证书体系，探讨为何需要分离签名证书和加密证书的设计哲学。通过对比ECC与ECDHE模式的关键差异，揭示双证书在密钥管理、安全合规和性能优化中的重要作用，并提供工程实践中的典型问题解决方案和优化技巧。

往USBKey里面导入双证书专题：概念介绍、执行逻辑

1 背景 国密SSL协议使用双证书体系。本文描述了国密双证书体系的组成和差别，并描述了在U盾里面的使用情况。 2 国密SSL双证书 国密SSL协议使用双证书体系，分别称为签名证书和加密证书，服务器和用户持有两对SM2独立的密钥对。其中加密证书和签名证书主要的区别就是密钥用法(KeyUsage)不一样（当然对应的密钥等也不一样），使用相同的DN。密钥用法具体是： 签名证书：Digital Signature, Non-Repudiation (c0) 加密证书：Key Encipherm..

​​相信了解国密应用的朋友都听说过双证书。那么这个双证书到底是怎么回事呢？但我们今天说的双证书是指国家商用密码体系中的双证书（加密证书+签名证书），而不是站点部署自适应的双证书（SM2算法证书+RSA算法证书），先跟童鞋们讲清楚，以免混淆。好的，今天我们就详细来聊一聊。 什么是双证书？ 首先我们来明确一下双证书到底指的是什么，先来看国家密码管理局颁布的《GMT0024-2014 SSL VPN 技术规范》（以下称“技术规范”）中有关于双证书的描述。在5.2.2章节里就说明了服务端双证书的性质和作

国密双证书的签发，及国密数字信封解析 产生签名密钥对 gmssl ecparam -genkey -name sm2p256v1 -text -out server_sign.key 产生p10签名请求 gmssl req -new -key server_sign.key -out sign_pub_key_csr.req 3.得到第三方国密ca签发的双证书和国密p7数据信封 sign.p7b、encrypt.p7b、private.data 这里面最关键是提取private.data中的加

java 基于国密（SM2，SM3，SM4）的数字信封加密加签实现

一般情况下，设备产生签名密钥对，生成只包含公钥信息的签名证书请求后发送签名证书给CA，CA验证设备的签名密钥对，生成加密密钥对和加密证书，设备获得加密证书和私钥的过程如图所示。但是，数字签名技术还有个问题，如果攻击者更改乙的公钥，甲获得的是攻击者的公钥，攻击者拦截乙发送给甲的信息，用自己的私钥对伪造的信息进行数字签名，然后与使用甲的公钥的加密伪造的信息一起发送给甲。设备不支持对其生成的自签名证书进行生命周期管理（如证书更新、证书撤销等），为了确保设备和证书的安全，建议用户替换为自己的本地证书。

国密gmtls协议-双证书体系的服务端和客户端通信代码

PKI单证书和双证书 1.       单证书的缺点1)      数据恢复：当证书丢失，过期，或者销毁后，无法解密用此证书加密的数据。2)      信息监控：对于中央政府来说，为了加强对贸易活动的监管，打击犯罪，存在对信息进行监控的需要，但经过证书加密的数据中央政府几乎无法解密。2.       双证书介绍1)      签名证书：提供签名服务，不提供加密服务。为了保证

公钥基础设施PKI (Public Key Infrastructure,公开密钥基础设施)是以不对称密钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的具有普适性的安全基础设施。其内容包括数字证书、不对称密钥密码技术、认证中心、证书和密钥的管理、安全代理软件、不可否认性服务、时间邮戳服务、相关信息标准、操作规范等。

公开密钥基础设施（PKI，Public Key Infrastructure），是以不对称密钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的、具有普适性的安全基础设施。具体内容包括：数字证书不对称密钥密码技术认证中心证书和密钥的管理安全代理软件不可否认性服务时间戳服务相关信息标准操作规范等等也就是说，PKI是一个完整的服务体系。PKI用于保证网络数据的安全传输。

前面的文章中已经介绍了国密规范中的数字信封数据envelopedData类型。接下来讲一下怎么构造出这种类型的数据~~\（￣︶￣）/ 1、构造流程 根据RFC规范，在结合GM/T 0010规范的要求，构造数字信封数据的过程如下: a. 产生一个对应于特定加密算法的内容加密密钥(即会话密钥或对称密钥); b. 将内容加密密钥用每个接收者的公钥加密。（算法为：sm2-3 公钥加密算法 OID：1.2.156.10197.1.301.3） c. 对于每一个接收者，把加了密...

国密双秘钥体系的“双”体现在，申请人是有两个证书的，一个是用于认证的证书，一个是用于加密的证书。 1、用于认证的证书的生成：用户自行生成一对公私钥，其中自己保留私钥用于签名，公钥发送给CA机构，请CA来对其签名，生成该用户的签名证书。 2、用于加密的证书的生成：该证书由CA机构从其自身KMC中为用户获取一对公私钥，同时，自己备份这对公私钥。然后，CA将公钥进行签名生成加密证书，CA使用该用户的签名证书将加密私钥、加密证书等进行加密后，返回给用户。 注意：1、CA有用户用于加解密的公私钥对，因此CA是可

Public Key Infrastructure，公钥基础设施是基于公钥密码技术实施的具有普适性的基础设施。保证。美国RSA公司制定的公钥密码学标准（PKCS）对PKI体系的加密和解密、签名、密钥交换、分发格式及行为等内容进行了规范。我国制定的GM/T 0034-2014《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》 等系列标准对我国公众服务的数字证书认证系统的设计、建设、检测、运行及管理进行了规范。1.证书认证机构CA。

本文深度解析国密SM2算法采用签名与加密证书分离的双证书体系设计原理。从非对称加密与数字签名的本质差异出发，阐述了密钥隔离原则带来的安全增强与灵活管理优势，并详细说明了该体系在TLCP协议HTTPS握手流程中的具体应用与差异，为PKI设计与国密应用实践提供清晰指导。

using System; using System.Collections.Generic; using System.Linq; using System.Web; using Org.BouncyCastle.Asn1.X9; using Org.BouncyCastle.Asn1.GM; using Org.BouncyCastle.Crypto.Parameters; using Org.BouncyCastle.Crypto; using Org.BouncyCastle.Security; u

数字信封，英文是Digital Envelope，望文生义，就可以知道将需要传递的数据，通过加密的方式包裹起来。数字信封的准确定义，在《PKCS #7: Cryptographic Message Syntax Standard》标准的第10章中给出，原话是：“”。数字信封的组成如下图所示：从上图可以看出，数字信封和我们日常生活中使用的信封，还是不一样的：日常生活中的信封，仅仅指包裹信件的外壳，不包含信件（内容）；但数字信封其实是包含内容的。...

签名时用户A（简称A）使用自己的私钥加密信息的摘要，即签名操作；B）使用A的公钥进行解密，对比该摘要是否正确，若正确，则B就确定了A的身份，即。加密时加密证书在传递加密数据时使用，其私钥和公钥由CA产生，并由CA保管（存。加密时A用B的公钥将信息加密传递给B，B使用自己的私钥解密，进而获得信息。签名时签名证书仅仅用来验证身份使用，其公钥和私钥均由A自己产生，并且由自己。双证书如果签名私钥遗失，用户再产生一对即可，影响不大，因此签名密钥没。4.用户使用自己的签名私钥解密，获得双证书及加密密钥。...