FISCO BCOS的国密特性¶
作者：李昊轩｜FISCO BCOS 核心开发者
安全是信任的保障，算法则是安全的基础，节点通信信道的建立、签名的生成、数据的加密等，都需要用到密码学的相应算法。FISCO BCOS采用国密算法，实现安全可控的区块链架构。
本期文章讲解国密算法的相关概念，以及国密算法在区块链中的应用。
区块链中的密码学¶
在区块链中，一般使用密码学的场景有以下几种：
1. 数据哈希算法¶
哈希函数是一类单向函数，作用是将任意长度的消息转换为定长的输出值，具有单向性、无碰撞性、确定性、不可逆的性质。 在区块链中，哈希函数用于将消息压缩成定长的输出，以及保证数据真实性，确保数据未被修改。
2. 数据加密解密算法¶
加解密算法主要分为对称加密和非对称加密两种：
- 对称加密具有速度快、效率高、加密强度高等特点，使用时需要提前协商密钥，主要对大规模数据进行加密，如FISCO BCOS的节点数据落盘时进行的加密。
- 非对称加密具有无需协商密钥的特点，相较于对称加密计算效率较低，存在中间人攻击等缺陷，主要用于密钥协商的过程。
针对不同的需求，两者可以互相配合，组合使用。
3. 消息签名的生成和验证¶
在区块链中，需要对消息进行签名，用于消息防篡改和身份验证。如节点共识过程中，需要对其他节点的身份进行验证，节点需要对链上交易数据进行验证等。
4. 握手建立流程¶
前面我们讲过节点TLS的握手过程（点击直达），其中需要使用到密码组件和数字证书，都需要使用到相应的密码学算法。
FISCO BCOS的国密算法¶
国密算法由国家密码局发布，包含SM1\ SM2\ SM3\ SM4\等，为我国自主研发的密码算法标准。 为了充分支持国产密码学算法，金链盟基于国产密码学标准，实现了国密加解密、签名、验签、哈希算法、国密SSL通信协议，并将其集成到FISCO BCOS平台中，实现了对国家密码局认定的商用密码的完全支持。 国密版FISCO BCOS将交易签名验签、p2p网络连接、节点连接、数据落盘加密等底层模块的密码学算法均替换为国密算法。
- 节点TLS握手中采用国密SSL算法；
- 交易签名生成，验证过程采用国密SM2算法；
- 数据加密过程中采用国密SM4算法；
- 数据摘要算法采用国密SM3算法。
国密版FISCO BCOS节点之间的认证选用国密SSL 1.1的ECDHE_SM4_SM3密码套件进行SSL链接的建立，差异如下表所示：
| OpenSSL | 国密SSL | |
|---|---|---|
| 加密套件 | 采用ECDH、RSA、SHA-256、AES256等密码算法 | 采用国密算法 |
| PRF算法 | SHA-256 | SM3 |
| 密钥交换方式 | 传输椭圆曲线参数以及当前报文的签名 | 当前报文的签名和加密证书 |
| 证书模式 | OpenSSL证书模式 | 国密双证书模式，分别为加密证书和签名证书 |
国密版与标准版FISCO BCOS在数据结构上的差异如下：
| 算法类型 | 标准版FISCO BCOS | 国密版FISCO BCOS |
|---|---|---|
| 签名 | ECDSA (公钥长度: 512 bits, 私钥长度: 256 bits) | SM2 (公钥长度：512 bits, 私钥长度：256 bits) |
| 哈希 | SHA3 (哈希串长度: 256 bits) | SM3 (哈希串长度: 256 bits) |
| 对称加解密 | AES (加密秘钥长度: 256 bits) | SM4 (对称密钥长度: 128 bits) |
| 交易长度 | 520bits(其中标识符8bits,签名长度512bits) | 1024bits(128字节，其中公钥512bits,签名长度512bits) |
开启国密特性¶
需要使用国密版FISCO BCOS特性时，有以下几点需要注意：
1. 搭建国密版FISCO BCOS区块链¶
搭建国密版FISCO BCOS的区块链方式主要有2种：
(1). 使用build_chain.sh脚本搭建¶
buildchain.sh脚本的-g为国密编译选项，使用成功后会生成国密版的节点。默认从GitHub下载最新稳定版本可执行程序，操作方式：
curl -LO https://github.com/FISCO-BCOS/FISCO-BCOS/releases/download/v2.9.0/build_chain.sh && chmod u+x build_chain.sh
注解
- 如果因为网络问题导致长时间无法下载build_chain.sh脚本，请尝试 curl -#LO https://gitee.com/FISCO-BCOS/FISCO-BCOS/raw/master-2.0/tools/build_chain.sh && chmod u+x build_chain.sh
运行以下命令，搭建四节点的国密版FISCO BCOS联盟链
./build_chain.sh -l 127.0.0.1:4 -p 30300,20200,8545 -g
执行成功后，会搭建本地四节点的国密版FISCO BCOS联盟链。
(2). 使用企业级部署工具搭建¶
企业级部署工具generator的-g命令为国密相关操作，用户需要在生成相关证书，下载二进制等操作的过程中附带-g选项，操作方式：
参考教程：https://fisco-bcos-documentation.readthedocs.io/zh_CN/latest/docs/tutorial/enterprise_quick_start.html
./generator --download_fisco ./meta -g
./generator --generate_chain_certificate ./dir_chain_ca -g
./generator --generate_agency_certificate ./dir_agency_ca ./dir_chain_ca agencyB -g
...
以下操作与教程中类似
./generator --build_install_package ./meta/peersB.txt ./nodeA -g
2. 使用国密版sdk/控制台¶
国密版sdk和控制台的操作命令与普通版相同，Web3SDK和1.x版本控制台在启用国密特性时需要做如下操作：
- (1). 将applicationContext.xml中的encryptType设置为1；
- (2). 加载私钥时需要加载国密版的私钥；
- (3). 控制台还需要获取国密版jar包。
注解
java sdk和2.6.0+版本的控制台启用国密算法时不需要额外配置
3. 开启国密版落盘加密功能¶
国密版落盘加密需要同时对节点conf/gmnode.key和conf/origin_cert/node.key进行加密，其余操作与普通版相同。
总结¶
FISCO BCOS中的主要算法特性对比如下：
| 标准版FISCO BCOS | 国密版FISCO BCOS | |
|---|---|---|
| SSL链接 | Openssl TLSv1.2协议 | 国密TLSv1.1协议 |
| 签名验证 | ECDSA签名算法 | SM2签名算法 |
| 消息摘要算法 | SHA-256 SHA-3 | SM3消息摘要算法 |
| 落盘加密算法 | AES-256加密算法 | SM4加密算法 |
| 证书模式 | OpenSSL证书模式 | 国密双证书模式 |
| 合约编译器 | 以太坊solidity编译器 | 国密solidity编译器 |