1 引言

在数字化时代，数据的安全传输和存储至关重要。无论是网上银行交易、物联网设备固件更新，还是API接口调用，我们都必须确保数据未被篡改、来源真实且不可抵赖。数字签名和消息认证码正是实现这些安全目标的基石技术。

本文将带您全面了解签名技术：从最常见的HMAC-SHA256出发，介绍各类签名算法，深入剖析中国商用密码（国密）体系，最后结合嵌入式设备场景，分享实现HMAC签名的工程实践与安全要点。

---

2 签名技术概览

签名算法主要分为两大类：

• 消息认证码（MAC）：基于对称密钥，通信双方共享同一密钥，用于验证数据完整性和真实性。典型代表：HMAC、CMAC、Poly1305。
• 数字签名：基于非对称密钥，使用私钥签名、公钥验证，提供不可否认性。典型代表：RSA、ECDSA、SM2。

二者的核心区别在于密钥管理方式和法律效力。MAC适用于双方信任的场景，而数字签名可用于公开验证。

---

3 HMAC-SHA256详解

3.1 定义与原理

HMAC-SHA256 是HMAC（Hash-based Message Authentication Code）算法与SHA256哈希函数的结合。它的输入是一个消息和一个密钥，输出一个256位（32字节）的签名值。

HMAC的计算公式为：

HMAC(K, m) = H((K' ⊕ opad) || H((K' ⊕ ipad) || m))

其中：

• H 为哈希函数（SHA256）；
• K’ 为密钥K经过填充后的值（长度等于哈希块大小，SHA256块大小为64字节）；
• ipad、opad 分别为0x36和0x5c重复得到的填充串；
• ⊕ 表示异或运算；
• || 表示连接。

双重哈希结构有效抵御了长度扩展攻击，保证了安全性。

3.2 应用场景

• API请求签名：云服务商要求用户使用Secret Key对请求参数进行HMAC签名，防止请求被篡改或伪造。
• JWT令牌：HS256算法即HMAC-SHA256，用于签发和验证JSON Web Token。
• 固件完整性校验：设备用预置密钥验证固件包的签名，确保固件未被恶意修改。

3.3 代码示例（Python）

import hashlib
import hmac

message = b"hello world"
key = b"my_secret_key"
signature = hmac.new(key, message, hashlib.sha256).hexdigest()
print(signature)  # 输出64位十六进制字符串

---

4 其他常见签名算法一览

除了HMAC-SHA256，密码学领域还有许多重要的签名算法，它们各有所长。

4.1 消息认证码（MAC）家族

算法	描述	应用场景
HMAC-SHA1	与HMAC-SHA256类似，但使用SHA1（输出160位）。SHA1已显陈旧，但HMAC结构仍安全。	旧系统兼容
HMAC-SHA512	使用SHA512，输出512位，安全性更高，计算开销稍大。	高安全需求
CMAC	基于分组密码（如AES）的MAC，适合硬件加速环境。	IPsec、网络协议
GMAC	伽罗瓦MAC，常与AES-GCM认证加密模式结合，效率极高。	高速网络通信
Poly1305	与ChaCha20组成ChaCha20-Poly1305，移动端广泛使用。	TLS 1.3、移动应用

4.2 数字签名（非对称）家族

算法	描述	应用场景
RSA-PKCS#1	经典RSA签名，基于大整数分解，密钥较长（2048位+）。填充方案包括v1.5和PSS。	传统系统、JWT（RS256）
ECDSA	椭圆曲线DSA，密钥短（256位），性能高。	区块链（比特币、以太坊）
Ed25519	基于Edwards曲线的签名，设计现代，速度快，安全性高。	SSH、OpenSSL、新兴系统
SM2	中国商用密码标准椭圆曲线算法，后续详述。	国内合规系统

---

5 国内签名算法：国密体系

在中国，《密码法》及商用密码应用安全性评估要求下，政务、金融、关键基础设施等领域必须采用国密算法。

5.1 SM2（椭圆曲线数字签名算法）

• 功能：数字签名、密钥交换、公钥加密。
• 特点：
  • 基于256位椭圆曲线，安全性等同于3072位RSA，但计算效率更高。
  • 签名速度比RSA快15倍以上，验证速度快约6倍。
  • 参数由国家密码管理局指定，与国际ECDSA不兼容。
• 签名流程（简化）：
  1. 对待签名消息进行SM3哈希，得到摘要e。
  2. 生成随机数k，计算椭圆曲线点 (x1, y1) = k·G。
  3. 计算 r = (e + x1) mod n，若r=0或r+k=n则重新生成k。
  4. 计算 s = ((1 + dA)^(-1) · (k - r·dA)) mod n，其中dA为私钥。
  5. 签名值为 (r, s)。

5.2 SM3（密码杂凑算法）

• 功能：生成256位消息摘要，是SM2签名的必要组成部分，也可独立用于完整性校验。
• 特点：输出长度256位，安全性高于MD5和SHA-1，与SHA-256相当，但压缩函数设计更复杂，抗碰撞能力强。
• 在HMAC中的应用：HMAC-SM3即使用SM3代替SHA256，结构相同。

5.3 SM9（标识密码算法）

• 功能：基于用户标识（如邮箱、手机号）的数字签名与加密。
• 特点：无需数字证书，密钥由密钥生成中心根据标识生成，简化证书管理。
• 应用：适合物联网、工业互联网等海量设备场景，减少证书分发开销。

5.4 国密协同应用实例：微信支付国密改造

微信支付在国密改造方案中，典型流程如下：

• 商户请求签名：使用SM2私钥对请求数据进行SM3哈希后签名。
• 敏感信息加密：使用SM2公钥加密传输。
• 平台回调加密：使用SM4对称密钥加密通知数据，密钥由SM3派生。

SM2（签名）、SM3（哈希）、SM4（加密）三者协同，构成了完整的国密安全体系。

---

6 设备上的HMAC-SHA256：实践与挑战

物联网终端、嵌入式设备普遍资源受限（CPU性能低、内存小、存储有限），且物理可接触，因此实现HMAC-SHA256需要特别关注性能、密钥安全和抗攻击能力。

6.1 常见应用场景

• 安全启动：设备上电时验证固件签名，确保固件未被篡改。
• 云端认证：设备发送请求时附加HMAC签名，云端验证身份。
• 本地配置保护：对Flash中的配置参数进行签名，防止非法修改。

6.2 实现优化要点

选择高效实现方式

• 硬件加速：优先利用MCU内置的SHA256硬件引擎（如STM32某些系列），大幅降低CPU负载和功耗。
• 轻量级软件库：若没有硬件支持，选用mbed TLS、WolfSSL、TinyCrypt等专为嵌入式优化的库，注意裁剪冗余功能。
• 流式处理：对大块数据（如固件）使用分段更新接口（如hmac_update），避免分配大缓冲区。

内存与性能优化

• SHA256处理64字节块，尽量使消息长度对齐块大小，减少填充开销。
• 预计算ipad和opad的中间状态，对于多个消息使用同一密钥时，可节省两次哈希初始化时间。

6.3 密钥安全存储

设备密钥一旦泄露，所有签名机制失效。需根据安全等级选择存储方案：

方案	说明	适用场景
OTP/efuse	一次性写入，不可读出，适合存储根密钥	低成本消费电子
安全元件（SE）	独立安全芯片，密钥永不暴露，签名运算在内部完成	金融支付、车联网
TEE（TrustZone）	利用CPU安全世界隔离密钥，兼顾安全与性能	主流IoT芯片
软件加密存储	用设备唯一ID加密后存Flash，但易受侧信道攻击，需配合白盒密码	极低成本设备

6.4 安全防护措施

• 侧信道攻击防护：实现必须为常量时间，避免密钥相关的条件分支或表查找；使用已知安全的库版本。
• 防重放攻击：在签名消息中加入随机数（nonce）或时间戳，由接收方验证新鲜度。
• 随机数质量：依赖随机数的协议必须使用真随机数发生器（TRNG）或加密安全伪随机数发生器（CSPRNG）。

6.5 国密合规性考量

如果设备需满足国内商用密码合规要求，应评估是否将HMAC-SHA256替换为HMAC-SM3。两者结构完全相同，仅底层哈希函数不同。使用通过国密认证的硬件或软件模块，确保算法实现符合GB/T 32907（SM3）等标准。

---

7 总结与选型建议

需求场景	推荐签名方案	说明
通用网络API签名、JWT	HMAC-SHA256	成熟、高效，生态支持完善
高性能、移动端通信	ChaCha20-Poly1305	软件实现快，适合移动设备
非对称身份认证、区块链	ECDSA / Ed25519	密钥短，安全，Ed25519更优
国内合规、政务金融	SM2 + SM3	符合国密标准，必须使用认证模块
物联网设备，无证书管理	SM9（标识签名）	简化密钥分发，适合海量设备
资源受限设备，需要对称认证	HMAC-SHA256（硬件加速）	兼顾性能与安全，注意密钥保护

无论选择哪种签名算法，安全的核心在于密钥管理与正确实现。对于嵌入式设备，更要结合物理防护、安全启动、生命周期管理等手段，构建纵深防御体系。

希望本文能帮助您全面理解签名技术，并在实际项目中做出合适的选择。如果您有更具体的应用场景需要探讨，欢迎继续交流。

数字签名技术全景解析：从HMAC-SHA256到国密算法及设备端实践

在信息安全领域，签名（或消息认证码）是保障数据完整性、真实性和不可否认性的核心机制。无论是网络通信、软件分发，还是物联网设备的安全启动，签名技术都扮演着不可或缺的角色。本文将从基础的HMAC-SHA256出发，全面介绍各类签名算法，并聚焦国内商用密码（国密）体系，最后深入探讨在资源受限设备上实现HMAC签名的关键技术要点。

---

一、签名是什么？为什么需要签名？

简单来说，签名是一种密码学工具，用于回答以下三个问题：

• 数据是否被篡改？（完整性）
• 数据是否来自声称的发送方？（真实性）
• 发送方能否事后否认？（不可否认性，仅数字签名提供）

签名算法通常分为两大类：

1. 消息认证码（MAC）：基于对称密钥，通信双方共享同一密钥。典型代表：HMAC、CMAC。
2. 数字签名：基于非对称密钥，私钥签名，公钥验证。典型代表：RSA、ECDSA、SM2。

---

二、HMAC-SHA256：最流行的对称签名

1. 什么是HMAC-SHA256？

HMAC（Hash-based Message Authentication Code）是一种基于哈希函数的消息认证码算法。它将密钥与消息混合后，通过两次哈希运算生成固定长度的签名。SHA256是其中一种哈希函数，输出256位（32字节）的摘要。

2. 工作原理

• 输入：消息（任意长度） + 密钥（至少与哈希块大小相当，通常≥32字节）
• 过程：
  1. 对密钥进行填充，得到两个派生密钥：ipad（内填充）和 opad（外填充）。
  2. 计算 hash(ipad || 消息)。
  3. 计算 hash(opad || 第一步结果)。
• 输出：最终哈希值，即HMAC-SHA256签名。

双重哈希结构有效抵御了长度扩展攻击，保证了安全性。

3. 典型应用

• API请求签名：如云服务商要求用户使用Secret Key对请求参数进行HMAC签名，防止请求被篡改或伪造。
• JWT令牌：HS256算法即HMAC-SHA256，用于签发和验证JSON Web Token。
• 固件完整性校验：设备用预置密钥验证固件包的签名，确保固件未被恶意修改。

---

三、其他常见签名算法概览

除了HMAC-SHA256，密码学领域还有许多重要的签名算法，它们各有所长，适用于不同场景。

1. 消息认证码（MAC）家族

• HMAC-SHA1/SHA512：HMAC结构可与任何安全哈希函数搭配。SHA1虽已不再安全，但在HMAC中仍未出现严重漏洞，新系统建议使用SHA256或更高。
• CMAC（基于分组密码）：例如AES-CMAC，适合硬件加速环境，用于网络协议如IPsec。
• GMAC（伽罗瓦MAC）：常与AES-GCM认证加密模式结合，提供高速认证。
• Poly1305：与ChaCha20组成ChaCha20-Poly1305，在移动设备和TLS 1.3中广泛使用，软件实现高效且安全。

2. 数字签名（非对称）家族

• RSA签名：基于大整数分解难题。常用填充方案包括PKCS#1 v1.5（如JWT中的RS256）和更安全的PSS（如PS256）。
• DSA/ECDSA：基于离散对数问题。ECDSA（椭圆曲线DSA）密钥短、性能高，是区块链（如比特币、以太坊）的核心算法。
• EdDSA（如Ed25519）：更安全、快速的椭圆曲线签名，已在OpenSSH、OpenSSL中普及。
• SM2：中国商用密码标准，基于椭圆曲线，后续详述。

---

四、国内签名算法：国密体系

在中国，《密码法》及商用密码应用安全性评估要求下，政务、金融、关键基础设施等领域必须采用国密算法。国密签名相关算法主要包括：

1. SM2（椭圆曲线数字签名算法）

• 功能：数字签名、密钥交换、公钥加密。
• 特点：
  • 基于256位椭圆曲线，安全性等同于3072位RSA，但计算效率更高。
  • 签名速度比RSA快15倍以上，验证速度快约6倍。
  • 采用国家密码管理局批准的曲线参数，与国际ECDSA算法不兼容，但设计思路相似。
• 应用：替代RSA/ECDSA，用于电子政务、金融IC卡、物联网安全等。

2. SM3（密码杂凑算法）

• 功能：生成消息摘要，是SM2签名的必要组成部分，也可单独用于完整性校验。
• 特点：
  • 输出256位，安全性高于MD5和SHA-1，与SHA-256相当。
  • 压缩函数设计更为复杂，抗碰撞能力强。
• 应用：在HMAC-SM3中替代SHA-256，实现国密版消息认证码。

3. SM9（标识密码算法）

• 功能：基于用户标识（如邮箱、手机号）的数字签名与加密。
• 特点：
  • 无需数字证书，密钥由密钥生成中心根据标识生成，简化了证书管理。
  • 适合物联网、工业互联网等海量设备场景。
• 应用：标识认证、无证书加密通信。

4. 国密签名应用实例：微信支付国密改造

微信支付在国密改造方案中，典型流程如下：

• 商户请求签名：使用SM2私钥对请求数据进行SM3哈希后签名。
• 敏感信息加密：使用SM2公钥加密传输。
• 平台回调加密：使用SM4对称密钥加密通知数据，密钥由SM3派生。

SM2（签名）、SM3（哈希）、SM4（加密）三者协同，构成了完整的国密安全体系。

---

五、设备上的HMAC-SHA256：实现与实践

物联网终端、嵌入式设备普遍资源受限，但又面临物理攻击风险，因此实现HMAC-SHA256需要特别关注性能、密钥安全和抗攻击能力。

1. 常见应用场景

• 安全启动：设备上电时验证固件签名，确保固件未被篡改。
• 云端认证：设备发送请求时附加HMAC签名，云端验证身份。
• 本地配置保护：对Flash中的配置参数进行签名，防止非法修改。

2. 实现优化要点

✅ 选择高效实现方式

• 硬件加速：优先利用MCU内置的SHA256硬件引擎（如STM32某些系列），大幅降低CPU负载。
• 轻量级软件库：若没有硬件支持，选用mbed TLS、WolfSSL、TinyCrypt等专为嵌入式优化的库，注意裁剪冗余功能。
• 流式处理：对大块数据（如固件）使用分段更新接口（如HMAC_Update），避免分配大缓冲区。

✅ 内存与性能优化

• SHA256处理64字节块，尽量对齐消息长度，减少填充开销。
• 预计算ipad和opad的中间状态，对于多个消息使用同一密钥时，可节省两次哈希初始化时间。

3. 密钥安全存储

设备密钥一旦泄露，所有签名机制失效。需根据安全等级选择存储方案：

方案	说明	适用场景
OTP/efuse	一次性写入，不可读出，适合存储根密钥	低成本消费电子
安全元件（SE）	独立安全芯片，密钥永不暴露，签名运算在内部完成	金融支付、车联网
TEE（TrustZone）	利用CPU安全世界隔离密钥，兼顾安全与性能	主流IoT芯片
软件加密存储	用设备唯一ID加密后存Flash，但易受侧信道攻击，需配合白盒密码	极低成本设备

4. 安全防护措施

• 侧信道攻击防护：实现必须为常量时间，避免密钥相关的条件分支或表查找；使用已知安全的库版本。
• 防重放攻击：在签名消息中加入随机数（nonce）或时间戳，由接收方验证新鲜度。
• 随机数质量：依赖随机数的协议必须使用真随机数发生器（TRNG）或加密安全伪随机数发生器（CSPRNG）。

5. 国密合规性考量

如果设备需满足国内商用密码合规要求，应评估是否将HMAC-SHA256替换为HMAC-SM3。两者结构完全相同，仅底层哈希函数不同。使用通过国密认证的硬件或软件模块，确保算法实现符合GB/T 32907（SM3）等标准。

---

六、总结与选型建议

需求场景	推荐签名方案	说明
通用网络API签名、JWT	HMAC-SHA256	成熟、高效，生态支持完善
高性能、移动端通信	ChaCha20-Poly1305	软件实现快，适合移动设备
非对称身份认证、区块链	ECDSA / Ed25519	密钥短，安全，Ed25519更优
国内合规、政务金融	SM2 + SM3	符合国密标准，必须使用认证模块
物联网设备，无证书管理	SM9（标识签名）	简化密钥分发，适合海量设备
资源受限设备，需要对称认证	HMAC-SHA256（硬件加速）	兼顾性能与安全，注意密钥保护

无论选择哪种签名算法，安全的核心在于密钥管理与正确实现。对于嵌入式设备，更要结合物理防护、安全启动、生命周期管理等手段，构建纵深防御体系。

希望本文能帮助你全面理解签名技术，并在实际项目中做出合适的选择。如果有更具体的应用场景需要探讨，欢迎继续交流。

1