实验一-密码引擎-3-加密API研究-526互联

密码引擎API的主要标准和规范包括：
1 微软的Crypto API
2 RAS公司的PKCS#11标准
3 中国商用密码标准：GMT 0016-2012 智能密码钥匙密码应用接口规范，GMT 0018-2012密码设备应用接口规范等

研究以上API接口，总结他们的异同，并以龙脉GM3000Key为例，写出调用不同接口的代码，提交博客链接和代码链接。

内容：
0 查找各种标准的原始文档，研究学习（至少包含Crypto API,PKCS#11,GMT 0016-2012,GMT 0018-2012）（5分）
1 总结这些API在编程中的使用方式（5分）
2 列出这些API包含的函数，进行分类，并总结它们的异同（10分）
3 以龙脉GM3000Key为例，写出调用不同接口的代码（Crypto API,PKCS#11，SKF接口），把运行截图加入博客，并提供代码链接（10分）

Crypto API

CryptoAPI 系统体系结构由五个主要功能领域组成：

基本加密函数

用于连接到云解决方案提供商的上下文函数。这些函数使应用程序能够按名称选择特定的云解决方案提供商，或选择可以提供所需功能类的特定云解决方案提供商。
用于生成和存储加密密钥的密钥生成函数。完全支持更改 链接模式、 初始化向量和其他加密功能。有关详细信息，请参阅密钥生成和Exchange函数。
用于交换或传输密钥的密钥交换函数。有关详细信息，请参阅加密密钥存储和Exchange 以及密钥生成和Exchange函数。

证书编码/解码函数

用于加密或解密数据的函数。还支持哈希数据。有关详细信息，请参阅数据加密和解密函数和数据加密和解密。

证书Microsoft Store函数

用于管理数字证书集合的函数。有关详细信息，请参阅数字证书和证书Microsoft Store函数。

简化的消息函数

用于加密和解密消息和数据的函数。
用于对消息和数据进行签名的函数。
用于验证已接收消息和相关数据的签名的真实性的函数。

有关详细信息，请参阅简化的消息和简化的消息函数。

CryptoAPI体系结构

CryptoAPI体系架构共由五大部分组成：

（1）基本加密函数：用于选择CSP、建立CSP连接、产生密钥、交换及传输密钥等操作

（2）证书编解码函数：用于数据加密、解密、哈希等操作，创建和校验数字签名操作；实现证书、证书撤销列表、证书请求和证书扩展编码和解码操作。

（3）证书库管理函数：用于数字证书及证书管理等操作。这组函数用于管理证书、证书撤销列表和证书信任列表的使用、存储、获取等。

（4）简单的消息函数：用于消息处理，比如消息编解码，消息加解密，数字签名及签名验签等操作。它是把多个底层消息函数包装在一起以完成某个特定任务，方便用户使用。

（5）底层消息函数：底层消息函数对传输的PKCS#7数据进行编码，对接收到的PKCS#7数据进行解码，并且对接收到的消息进行解码和验证。它可以实现简单消息函数可以实现的所有功能，且提供更大的灵活性，但一般需要更多的函数调用。

CrpytoAPI基本功能

利用CryptoAPI，开发者可以给基于windows的应用程序添加安全服务，包括：ANS.1编码/解码、数据加解密、身份认证、数字证书管理、同时支持PKI、对称密码技术等。

（1）密钥管理

在CryptoAPI中，支持两种类型的密钥：会话密钥、公私钥对。会话密钥也称为对称密钥，用于对称密钥算法。为了保证密钥的安全性，在CryptoAPI中，这些密钥都保存在CSP内部，用户可以通过CryptExportKey以加密密钥形式导出。公私钥用于非对称加密算法。非对称加密算法主要用于加解密会话密钥和数字签名。在CryptoAPI中，一般来说，大多数CSP产生的密钥容器包含两对密钥对，一对用于加密会话密钥，称为交换密钥对，一对用于产生数字签名，称为签名密钥对。在CryptoAPI中所有的密钥都存储在CSP中，CSP负责密钥的创建，销毁，导入导出等操作。

（2）数据编解码

CryptoAPI采用的编码方式为ASN.1，编码规则为DER，表示发送数据时先把数据抽象为ASN.1对象，然后使用DER编码规则把ASN.1对象转化为可传输的0,1串；接收方接收到数据后，利用DER解码规则把0,1串转化为ASN.1对象，然后把ASN.1对象转化为具体应用支持的数据对象。

（3）数据加解密

在CryptoAPI中约定加密较大数据块时，采用对称密钥算法。通过其封装好的加解密函数来实现数据加解密操作。

（4）哈希和数字签名

哈希和数字签名一般用于数据的完整性校验和身份鉴别。CryptoAPI中，通过其封装好的哈希与数字签名函数来实现相关操作。微软公司提供的CSP产生的数字签名遵循RSA标准（PKCS#6）

（5）数字证书管理

数字证书主要用于安全通信中的身份鉴别。CryptoAPI中，对数字证书的使用管理函数分为证书与证书库函数、证书验证函数两大部分。

PKCS#11

PKCS#11是公钥加密标准Public-Key Cryptography Standards中的一份子，由RSA实验室发布。

PKCS#11标准定义了与密码令牌的独立于平台的API，API本身命名为Cryptoki，这个API已经发展成为一个通用的加密令牌的抽象层。

PKCS#11主要是应用于智能卡和HSM。

PKCS#11为使用加密Token的应用程序提供统一的编程接口，独立于设备，屏蔽加密设备的复杂性，应用程序可以方便地更换设备。

27213192-6d869c07a1d0e0f0

PKCS#11创建和支持下列对象：

对象	说明
CKO_DATA	应用程序定义的对象。对象的数据结构可由应用程序任意定义，但是数据意义的解释由应用程序负责。
CKO_SECRET_KEY	对称加密算法使用的密钥。
CKO_CERTIFICATE	X.509
CKO_PUBLIC_KEY	RSA
CKO_PRIVATE_KEY	RSA
CKO_MECHANISM	算法对象

GMT 0016-2012

本标准规定了基于PKI密码体制的智能密码钥匙密码应用接口，描述了密码应用接口的函数、数据类型、参数的定义和设备的安全要求。

本标准适用于智能密码钥匙产品的研制、使用和检测。

（3）GMT 0016-2012

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
①GM/T 0006 密码应用标识规范
②GM/T0009 SM2密码算法使用规范

术语和定义

下列术语和定义适用于本文件

应用 application

包括容器、设备认证密钥和文件的一种结构，具备独立的权限管理。

容器container

密码设备中用于保存密钥所划分的唯一性存储空间。

设备device

本标准中将智能密码钥匙统称为设备

设备认证 device authentication智能密码钥匙对应用程序的认证

设备认证密钥 device authentication key用于设备认证的密钥。

设备标签 label

设备的别名，可以由用户进行设定并存储于设备内部。

消息鉴别码 message authentication code; MAC消息鉴别算法的输出。

管理员PIN administrator PIN管理员的口令，为ASCII字符串

用户PIN user PIN

用户的口令，为ASCII字符串。

缩略语

下列缩略语适用于本规范: API 应用编程接口(Application Programming Interface)
PKI 公钥基础设施(Public Key Infrastructure)
PKCS#1
公钥密码使用标准系列规范中的第1部分，定义RSA公开密钥算法加密和签名机制(the Public-Key Cryptography Standard Part 1)
PKCS#5 公钥密码使用标准系列规范中的第5部分，描述一种利用从口令派生出来的安全密
钥加密字符串的方法(the Public-Key Cryptography Standard Part 5)
PIN 个人身份识别码(Personal Identification Number)
MAC 消息鉴别码(Message Authentication Code)

（4）GMT 0018-2012

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件，凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GM/T0006密用标识规范 GM/T0009SM2密码算法使用规范

术语和定义

以下术语和定义活用干本文件

算法标识algorithm ideutifier

用于对密码算法进行唯一标识的符号。

非对称密码算法/公钥密码算法 asymmetric cryptographic algorithm/public key cryptographic algorithm加解密使用不同密钥的密码算法。

解密 decipherment/decryption加密过程对应的逆过程。

设备密钥device key pair

存储在设备内部的用于设备管理的非对称密钥对包含签名密钥对和加密密钥对。

加密encipherment/encryption

对数据进行密码变换以产生密文的过程。

密钥加密密钥key encrypt key;KEK对密钥进行加密保护的密钥。

公钥基础设施public key infrastructure;PKI

用公钥密码技术建立的普遍适用的基础设施，为用户提供证书管理和密钥管理等安全服务。

私钥访问控制码private key access password

用于验证私钥使用权限的口令字。

对称密码技术/对称密码体制 symmetric cryptographic technique

原发者和接收者均采用同秘密密钥进行变换的密码技术(体制)。其中，加密密钥与解密密钥相同或者一个密钥可以从另一个密钥导出的密码体制。

会话密钥session key

处于层次化密钥结构中的最低层，仅在一次会话中使用的密钥。

用户密钥 user key

存储在设备内部的用于应用密码运算的非对称密钥，包含签名密钥对和加密密钥对。

符号和缩略语

下列缩略语适用于本部分:
ECC 椭圆曲线算法(Elliptic Curve Cryptography)
IPK 内部加密公钥(Internal Public Key)
ISK
内部加密私钥(Interal Private Key) EPK

（三）API函数

设备管理系列函数

访问控制系列函数

应用管理系列函数

文件管理系列函数

容器管理系列函数

密码服务系列函数

GMT 0018-2012密码设备应用接口规范

（一）研究学习

GMT 0018-2012 文件查看

接口标准

GMT 0018-2012标准规定了公钥密码基础设施应用技术体系下服务类密码设备的应用接口标准。适用于服务类密码设备的研制、使用，以及基于该类密码设备的应用开发，也可用于指导该类密码设备的检测。

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件；GM/T 0006密码应用标识规范；GM/T AAAA SM2密码算法使用规范。
其中还包括了对部分术语的规定：

（二）使用方式

在公钥密码基础设施应用技术体系框架中,密码设备服务层由密码机,密码卡,智能密码终端等设备组成,通过本标准规定的密码设备应用接口向通用密码服务层提供基础密码服务。如下图所示。

基础密码服务包括密钥生成、单一的密码运算、文件管理等的服务。
本标准采用C语言描述接口函数。如无特别说明,函数中参数的长度单位均为字节数。

（三）API函数

设备管理类函数

设备管理类函数包括以下具体函数：
A.打开设备:SDF_OpenDevice
B.关闭设备:SDF_CloseDevice
C．创建会话:SDF_OpenSession
D.关闭会话:SDF_CloseSession
E.获取设备信息:SDF_GetDeviceInfo
F.产生随机数:SDF_GenerateRandom
G.获取私钥使用权限:SDF_GetPrivateKeyAccessRight
H.释放私钥使用权限:SDF_ReleasePrivateKeyAccessRight

密钥管理类函数

导出 RSA 签名公钥∶SDF_ExportSignPublicKey_RSA
导出 RSA 加密公钥∶SDF_ExportEncPublicKey_RSA
产生 RSA非对称密钥对并输出∶SDF_GenerateKeyPair_RSA
生成会话密钥并用内部 RSA公钥加密输出∶SDF_GenerateKeyWithIPK_RSA
生成会话密钥并用外部 RSA公钥加密输出∶SDF_GenerateKeyWithEPK_RSA
导入会话密钥并用内部 RSA私钥解密∶SDF_ImportKeyWithISK_RSA
基于 RSA 算法的数字信封转换∶SDF_ExchangeDigitEnvelopeBaseOnRSA
导出 ECC签名公钥∶SDF_ExportSignPublicKey_ECC
导出 ECC 加密公钥∶SDF_ExportEncPublicKey_ECC
产生 ECC非对称密钥对并输出∶SDF_GenerateKeyPair_ECC
生成会话密钥并用内部 ECC公钥加密输出∶SDF_GenerateKeyWithIPK_ECC
生成会话密钥并用外部 ECC公钥加密输出：SDF_GenerateKeyWithEPK ECC
导入会话密钥并用内部 ECC私钥解密∶SDF_ImportKeyWithISK_ECC
生成密钥协商参数并输出;SDF_GenerateAgreementDataWithECC
计算会话密钥∶SDF_GenerateKeyWiuhECC
产生协商数据并计算会话密钥∶SDF_GenerateAgreementDataAndKeyWithECC
基于 ECC算法的数字信封转换∶SDF_ExchangeDigitEnvelopeBaseOnECC
生成会话密钥并用密钥加密密钥加密输出∶SDF_GenerateKeyWithKEK
导入会话密钥并用密钥加密密钥解密∶SDF_ImportKeyWithKEK
销毁会话密钥∶SDF_DestroyKey