商密软件栈SIG是以国密算法为主的系统组件，在固件、bootloader、内核以及基础应用中支持国密算法，基于Anolis OS发行版构建国密技术栈及解决方案生态，致力于为行业提供基于国密的信息安全标准。（往期文章参考：技术解析：一文看懂 Anolis OS 国密生态|龙蜥专场）

欢迎更多开发者加入商密软件栈SIG：

网址：https://openanolis.cn/sig/crypto

以下为「商密软件栈SIG」 7月份的运营情况：SIG目标基于Anolis OS，在整个系统软件层面（包括硬件、固件、bootloader、内核以及OS）实现以商密算法为主的操作系统，结束一直以来商密算法生态碎片化的状况，在技术方面打造社区和生态，在资质合规方面致力于为行业提供基于商密的信息安全标准。本月进展

  • IMA场景的国密化技术支持已经全部被upstream社区合入，包括内核的支持和用户态工具ima-evm-utils

  • Linux SM4 的AVX指令集优化实现已经合入上游社区

  • SM4 GCM/CCM，RFC8998技术调研

  • 第一版国密镜像，正在按计划使用BabaSSl替代OpenSSL，经过一些移植和验证，替换后BaseOS运行正常，目前没有发现大的问题，ima-evm-utils的国密支持还在进行backport工作

SIG长期规划商密软件栈涉及到众多的上下游组件，团队，外部合作伙伴，上游社区，要尽可能团结其它团队的力量，消除不必要的重复开发，扩大推广和影响力，成为商密事实上的标准技术实现。全栈国密要求先具备从boot到业务运行环节各安全链路上所需的国密算法，有了通用的算法实现后，再针对各模块或者平台做针对性的优化，扩大社区版本技术影响力。帮助BabaSSL申请国密一级资质，为应用系统提供必要的合规属性，也为有合规需求的用户可以迁移到这个系统上来。目前规划支持的国密场景：

  • IMA场景下使用国密算法替代国际算法

  • 内核模块签名认证流程的国密化支持

  • Web场景下的RFC 8998协议支持，即TLS v1.3协议中支持使用国密算法套件

  • 使用国密算法支持luks，dm-crypt场景

  • SecureBoot中使用国密算法替换国际算法

  • 内核SM4算法的指令集加速实现

  • coreutils 支持sm3sum工具

  • SM2优化，类似于NIST，主要优化点是SM2所用曲线的快速取模算法

  • 集成intel QAT方案，大量哈希算法加速daemon

  • 集成AMD，Hygon CCP加速方案

  • 积极参与openssl 3.0.0 dev开发，加速release

  • coreboot等未来可能替代UEFI的固件支持SM系统算法

Milestone8月提供第一版全栈国密OS镜像，提供默认国密算法的系统基础组件：

  • 使用BabaSSL替换系统默认的OpenSSL1.1.1，提供国密的系统运行支持，也提供给开发者无门槛的国密应用二次开发体验

  • 内置sm3sum工具，用于计算文件SM3哈希算法，提供与md5sum，sha256sum一致的用户体验

  • IMA全场景支持国密算法，包括ima-evm-utils使用国密算法签名，内核使用相应算法认证签名的合法性

  • 内核模块签名支持使用国密算法
12月第二版本国密OS镜像：
  • 基于5.10内核的国密镜像
  • 内核支持SM4的avx/avx2加速实现，性能是纯软件实现的五倍左右，为商用提供必要支持
  • Web场景支持RFC 8998协议，在TLS v1.3中支持使用国密套件，以及提供给用户最佳实践，可以在国密OS上开发自己的国密应用

  • 争取更多的自研patch进入上游社区，减少由此导致的自定义rpm数量

当前国密软件栈的整体支持情况当前相关的主要开源软件栈对国密的支持情况以及社区回馈统计：
开源软件名称 SM2 SM3 SM4 SM4-AVX PKCS#7 x509 commit数量 修改行数
gnulib - ✅ - - - - 5 -5/+1046
libgcrypt ✅ ✅ ✅ Y - - 13 -64/+1630
linux ✅ Y Y ✅ 开发中 ✅ 20 -259/+5810
coreutils - 开发中 - - - - 0 0
RustCrypto ❌ ✅ Y ❌ - - 1 -0/+851
openssl Y Y Y ❌ Y Y 3 -25/+97
ima-evm-utils ✅ ✅ - - - - 5 -13/+97

  • ✅ 表示由OpenAnolis开发并已经贡献到开源软件中的特性

  • “开发中”表示由OpenAnolis开发中的、或是开源软件正在进行review的特性

  • “Y”表示开源软件已经支持且不是由OpenAnolis开发的

  • ❌ 表示开源软件尚未支持

  • “-”表示开源软件无需支持

主要成果：

  • gnulib库中实现了SM3算法的基础实现，gnulib是GNU软件栈中一个通用的基础库

  • 实现了libgcrypt中基础的商密算法SM2/3/4

  • 实现了Linux内核里SM2算法，以及支持了使用SM2/3算法的pkcs#7签名，X509证书

  • 使用x86 avx指令集对内核的SM4算法加速，相比于纯软件实现，性能提升了4倍

  • IMA场景支持使用SM2/3算法组合，包括内核和用户态工具ima-evm-utils的支持

  • 在Rust生态中主流算法库RustCrypto中实现了SM3算法

  • 修复了OpenSSL商密实现上的一些Bug

预告：下周将推出【跟踪诊断技术SIG】7月运营月报，敬请期待。欢迎更多开发者盆友、用户加入龙蜥社区（ 官网：openanolis.cn）—— 完 ——关于龙蜥社区SIG

SIG是开放的，并争取让交付成果成为社区发行的一部分，由组内核心成员主导治理，可通过邮件列表和组内的成员进行交流。龙蜥社区目前有近20个SIG，包括商密软件栈、高性能存储技术SIG、Java语言与虚拟机SIG、跟踪诊断技术SIG、Cloud Kernel、OceanBase SIG等。

 

商密软件栈SIG 7月份运营月报｜龙蜥SIG_openssl

https://openanolis.cn/sig加入龙蜥社群

微信公众号 - OpenAnolis龙蜥（OpenAnolis）。
如有侵权，请 删除。