Tudo o que o sgcCrypto faz, mapeado nas 43 unidades em disco. Não há componentes nem propriedades de design-time aqui: cada linha abaixo é uma função ou um procedimento que você chama diretamente. O código-fonte completo acompanha toda licença. As âncoras abaixo levam às seis famílias de capacidades em que as unidades se dividem.
O sgcCrypto não tem componentes. As 43 unidades abaixo exportam funções comuns, não há classe Tsgc* e não existe um sgcCrypto_Reg.pas. Adicione uma unidade à sua cláusula uses e chame a função.
Já incluído. O sgcCrypto vem gratuito dentro do sgcWebSockets Standard, Professional e Enterprise, e também no All-Access. Também é vendido separadamente (com o runtime sgcWebSockets Core embutido) para clientes que possuem apenas o Core. Veja Preços.
AES, CCM, ChaCha20, Poly1305, 5 unidades
SHA-2/3, BLAKE2, Argon2, 11 unidades
Ed25519, X25519, Schnorr, RSA, 10 unidades
X.509, ASN.1, RSA & EC CSR, 5 unidades
ML-KEM, ML-DSA, SLH-DSA, 6 unidades
HOTP/TOTP, codificação, ZIP AES, 6 unidades
Cada unidade sgcCrypto_*.pas em sgcWebSockets/delphi/Source/, agrupada por família.
| Unidade | Família | O que faz |
|---|---|---|
sgcCrypto_AES | Simétrica | AES-CBC, AES-GCM (AEAD), AES-CTR. |
sgcCrypto_Modes | Simétrica | AES-ECB, OFB, CFB, CTS, CCM (AEAD), Key Wrap / Key Wrap with Padding, e os sete esquemas de padding. |
sgcCrypto_CMAC | Simétrica | Autenticação de mensagem AES-CMAC e AES-GMAC. |
sgcCrypto_ChaCha | Simétrica | ChaCha20, XChaCha20, Salsa20, XSalsa20. |
sgcCrypto_Poly1305 | Simétrica | MAC Poly1305, AEAD ChaCha20-Poly1305 e XChaCha20-Poly1305. |
sgcCrypto_SHA2 | Hash & KDF | SHA-1, SHA-224, SHA-256, SHA-384, SHA-512. |
sgcCrypto_Keccak | Hash & KDF | SHA-3, SHAKE128/256, cSHAKE, KMAC. |
sgcCrypto_Blake2b | Hash & KDF | BLAKE2b, com ou sem chave. |
sgcCrypto_Blake2s | Hash & KDF | BLAKE2s, com ou sem chave. |
sgcCrypto_HMAC | Hash & KDF | HMAC-SHA1/256/384/512. |
sgcCrypto_KDF | Hash & KDF | PBKDF2, KDF1, KDF2 e X9.63, hash selecionável. |
sgcCrypto_HKDF | Hash & KDF | HKDF extract-and-expand. |
sgcCrypto_Scrypt | Hash & KDF | KDF memory-hard scrypt. |
sgcCrypto_Argon2 | Hash & KDF | Argon2d, Argon2i, Argon2id. |
sgcCrypto_SipHash | Hash & KDF | Hash com chave SipHash-2-4. |
sgcCrypto_TLSH | Hash & KDF | Hash difuso TLSH e diff de similaridade. |
sgcCrypto_Ed25519 | Assinaturas & troca de chaves | Assinatura / verificação Ed25519. |
sgcCrypto_X25519 | Assinaturas & troca de chaves | Diffie-Hellman X25519. |
sgcCrypto_Ed448 | Assinaturas & troca de chaves | Assinatura / verificação Ed448. |
sgcCrypto_X448 | Assinaturas & troca de chaves | Diffie-Hellman X448. |
sgcCrypto_GF448 | Assinaturas & troca de chaves | Aritmética de corpo interna GF(2^448-2^224-1) para Ed448/X448. |
sgcCrypto_ECCurves | Assinaturas & troca de chaves | ECDSA / ECDH sobre secp256k1, Brainpool P256r1/P384r1/P512r1 e NIST P-256/P-384/P-521, assinaturas DER, exportação/importação de chave, e Schnorr BIP-340. |
sgcCrypto_EC | Assinaturas & troca de chaves | Assinatura/verificação EC geral como JWS (ES256/384/512), ECDH. |
sgcCrypto_RSA | Assinaturas & troca de chaves | Assinatura RSA PKCS#1 v1.5, verificação PKCS#1 v1.5 / PSS, a partir de PEM ou dados brutos. |
sgcCrypto_RSA_Keys | Assinaturas & troca de chaves | Geração de chaves RSA, OAEP (com hash MGF1 independente), PSS, assinatura/verificação/criptografia/descriptografia PKCS#1 v1.5, exportação e importação DER/PEM em PKCS#1 e PKCS#8. |
sgcCrypto_ECIES | Assinaturas & troca de chaves | Criptografia híbrida seal / open ECIES sobre X25519. |
sgcCrypto_ASN1 | PKI | Leitor DER, codec PEM, análise de chaves PKCS#1/SEC 1. |
sgcCrypto_DER | PKI | Primitivas de escrita DER. |
sgcCrypto_BigInteger | PKI | Aritmética interna de inteiros de precisão arbitrária. |
sgcCrypto_X509 | PKI | Análise, verificação, cadeia e CRL/revogação de X.509. |
sgcCrypto_X509_Gen | PKI | Geração de certificado autoassinado e de CSR PKCS#10, assinados com RSA ou EC, com nomes alternativos do subject por URI. |
sgcCrypto_MLKEM | Pós-quântica | Encapsulamento de chave ML-KEM (FIPS 203), 3 conjuntos de parâmetros. |
sgcCrypto_MLKEM_Poly | Pós-quântica | Aritmética interna de anel polinomial por trás do ML-KEM. |
sgcCrypto_MLKEM_Hybrid | Pós-quântica | Encapsulamento de chave híbrido X25519 + ML-KEM. |
sgcCrypto_MLDSA | Pós-quântica | Assinaturas digitais ML-DSA (FIPS 204), 3 conjuntos de parâmetros. |
sgcCrypto_MLDSA_Poly | Pós-quântica | Aritmética interna de anel polinomial por trás do ML-DSA. |
sgcCrypto_SLHDSA | Pós-quântica | Assinaturas SLH-DSA (FIPS 205), 6 conjuntos de parâmetros SHAKE. |
sgcCrypto_OTP | OTP & diversos | HOTP, TOTP, janela de verificação em tempo constante. |
sgcCrypto_Encoding | OTP & diversos | Comparação em tempo constante, zeragem segura, hex/Base64url/Base32. |
sgcCrypto_Zip_AE2 | OTP & diversos | Criptografia WinZip AES para entradas ZIP, AE-1 / AE-2. |
sgcCrypto_Legacy | OTP & diversos | MD4, MD5, HMAC-MD5, DES-ECB, RIPEMD-160 e HMAC-RIPEMD160, apenas para interoperabilidade. |
sgcCrypto_Random | OTP & diversos | CSPRNG multiplataforma. |
sgcCrypto_Int64 | OTP & diversos | Emulação interna de inteiro de 64 bits para o Delphi 7. |
AES nos modos que o código de produção realmente usa, mais a família AEAD ChaCha20/Poly1305.
| Capacidade | Função | Notas |
|---|---|---|
| AES-CBC | sgcAES_CBC_Encrypt / sgcAES_CBC_Decrypt | Padding PKCS#7, IV de 16 bytes. O comprimento da chave seleciona a cifra: 16/24/32 bytes = AES-128/192/256. |
| AES-CBC, sem padding | sgcAES_CBC_Encrypt_NoPad / sgcAES_CBC_Decrypt_NoPad | O modo que o Java escreve como AES/CBC/NoPadding. A entrada já deve ser um múltiplo de 16 bytes; uma entrada desalinhada gera uma exceção em vez de ser silenciosamente preenchida com padding em algo que o outro lado não consegue ler. |
| AES-GCM (AEAD) | sgcAES_GCM_Encrypt / sgcAES_GCM_Decrypt | IV de 12 bytes recomendado. Tag de 16 bytes, comparada em tempo constante; a descriptografia retorna False e texto plano vazio quando a tag falha. |
| AES-CCM (AEAD) | sgcAES_CCM_Encrypt / sgcAES_CCM_Decrypt | O AEAD que as pilhas restritas e de IoT especificam, Zigbee, 802.15.4, Bluetooth e as suítes TLS CCM, porque precisa apenas da cifra de bloco e nenhuma tabela GHASH. Nonce de 7 a 13 bytes, tag de 4 a 16 bytes, verificada em tempo constante. |
| AES-CTR | sgcAES_CTR | AES-CM ao estilo SRTP (RFC 3711). Chamada simétrica, sem padding, contador big-endian de 128 bits. |
| AES-ECB | sgcAES_ECB_Encrypt / sgcAES_ECB_Decrypt | Sem IV, sem encadeamento. Incluído para interoperabilidade com formatos que o exigem. |
| Esquemas de padding | sgcPad_Add / sgcPad_Remove, sgcAES_CBC_EncryptPad / DecryptPad, sgcAES_ECB_EncryptPad / DecryptPad | TsgcPadding cobre None, PKCS#7, Zero, ANSI X9.23, ISO 7816-4, ISO 10126-2 e TBC, para que CBC e ECB possam ler e escrever dados de um sistema que não escolheu PKCS#7. sgcPad_Remove retorna False pelo mesmo caminho para todo tipo de padding malformado. |
| AES-OFB / AES-CFB | sgcAES_OFB, sgcAES_CFB_Encrypt / sgcAES_CFB_Decrypt | Modos de feedback ao estilo cifra de fluxo. |
| AES-CTS | sgcAES_CTS_Encrypt / sgcAES_CTS_Decrypt | Ciphertext stealing: criptografa dados que não são múltiplos do tamanho do bloco sem overhead de padding. |
| AES Key Wrap | sgcAES_KeyWrap / sgcAES_KeyUnwrap | RFC 3394, para envolver uma chave sob outra. |
| AES Key Wrap with Padding | sgcAES_KeyWrapPad / sgcAES_KeyUnwrapPad | RFC 5649, para material de chave que não é múltiplo de 8 bytes. |
| AES-CMAC | sgcAES_CMAC / sgcAES_CMAC_Verify | Código de autenticação de mensagem RFC 4493. |
| AES-GMAC | sgcAES_GMAC / sgcAES_GMAC_Verify | O modo somente-autenticação do GCM: a mensagem inteira viaja como dados adicionais, nada é criptografado. O IV nunca deve se repetir sob uma mesma chave, e a tag de 16 bytes é comparada em tempo constante. |
| Primitivas de bloco de baixo nível | sgcAES_ExpandKey, sgcAES_EncryptBlock, sgcAES_DecryptBlock | Expostas para as unidades de modo e MAC acima; chame-as diretamente apenas para construir um modo ainda não fornecido. |
| ChaCha20 | sgcChaCha20 | RFC 8439, nonce de 96 bits, contador de 32 bits. |
| XChaCha20 | sgcXChaCha20 | Nonce estendido de 192 bits, seguro para geração de nonce aleatório em escala. |
| Salsa20 / XSalsa20 | sgcSalsa20 / sgcXSalsa20 | A família de cifra de fluxo predecessora, nos dois tamanhos de nonce. |
| Derivação de subchave | sgcHChaCha20 / sgcHSalsa20 | O que as variantes X usam internamente para derivar uma subchave a partir dos primeiros 16 bytes do nonce. |
| MAC Poly1305 | sgcPoly1305 / sgcPoly1305_Verify | Autenticador de uso único, RFC 8439. Nunca reutilize uma chave Poly1305. |
| AEAD ChaCha20-Poly1305 | sgcChaCha20Poly1305_Encrypt / _Decrypt | A cifra AEAD por trás da segunda suíte de cifras do TLS 1.3 e do SSH. |
| AEAD XChaCha20-Poly1305 | sgcXChaCha20Poly1305_Encrypt / _Decrypt | O mesmo AEAD, nonce de 192 bits, a construção que a libsodium chama de crypto_aead_xchacha20poly1305_ietf. |
Toda família de hash convencional, mais PBKDF2, HKDF, scrypt e as três variantes do Argon2.
| Capacidade | Função | Notas |
|---|---|---|
| SHA-1 / SHA-2 | sgcSHA1, sgcSHA224, sgcSHA256, sgcSHA384, sgcSHA512 | FIPS 180-4. SHA-1 é mantido para interoperabilidade, não recomendado para novas assinaturas. |
| SHA-3 | sgcSHA3_224 / _256 / _384 / _512 | FIPS 202, a esponja Keccak, estruturalmente independente do SHA-2. |
| SHAKE128 / SHAKE256 | sgcSHAKE128 / sgcSHAKE256 | Funções de saída extensível: peça qualquer comprimento de digest. |
| cSHAKE128 / cSHAKE256 | sgcCSHAKE128 / sgcCSHAKE256 | SHAKE com separação de domínio, NIST SP 800-185, a base do KMAC. |
| KMAC128 / KMAC256 | sgcKMAC128 / sgcKMAC256 | MAC baseado em Keccak com comprimento de saída variável. |
| BLAKE2b | sgcBlake2b / sgcBlake2b_Keyed | RFC 7693, digests de até 64 bytes, chaveamento embutido (sem necessidade de HMAC separado). |
| BLAKE2s | sgcBlake2s / sgcBlake2s_Keyed | RFC 7693, digests de até 32 bytes, otimizado para plataformas de 32 bits. |
| Digests em streaming | sgcBlake2b_Init/_Update/_Final, chamadas equivalentes em Keccak/Blake2s | Para fazer hash de dados grandes demais para caber na memória de uma vez. |
| HMAC | sgcHMAC_SHA1 / _SHA256 / _SHA384 / _SHA512 | Hash com chave RFC 2104 sobre a família SHA-1/2. |
| RIPEMD-160 / HMAC-RIPEMD160 | sgcRIPEMD160, sgcHMAC_RIPEMD160 | ISO/IEC 10118-3 e RFC 2286. O digest de 160 bits que os endereços do Bitcoin sobrepõem ao SHA-256, e o que o OpenPGP nomeia. |
| PBKDF2 | sgcPBKDF2, sgcPBKDF2_SHA1 / _SHA256 / _SHA512 | RFC 8018. Apenas moderadamente memory-hard; prefira Argon2id ou scrypt quando puder escolher. |
| HKDF | sgcHKDF_Extract_SHA256 / _SHA384, sgcHKDF_Expand_SHA256 / _SHA384, sgcHKDF_SHA256 / _SHA384 | RFC 5869, derivação de chave extract-then-expand, a forma padrão de transformar um segredo compartilhado em várias chaves. |
| KDF1 / KDF2 / X9.63 | sgcKDF1, sgcKDF2, sgcKDF_X963 | As derivações em modo contador que a ISO 18033-2, a IEEE 1363a e a ANSI X9.63 definem, e que é o que RSA-KEM e ECIES nomeiam. O KDF1 conta a partir de 0 e o KDF2 a partir de 1, uma diferença que já causou bugs reais de interoperabilidade, então verifique qual dos dois a sua especificação quer dizer. |
| scrypt | sgcScrypt | RFC 7914, memory-hard, resiste muito melhor a ataques de GPU/ASIC do que o PBKDF2. |
| Argon2 | sgcArgon2 (d / i / id), wrapper de conveniência sgcArgon2id | RFC 9106, a vencedora da Password Hashing Competition. Interface completa com secret (pepper) opcional e dados associados. |
| SipHash-2-4 | sgcSipHash24 / sgcSipHash24_Value | PRF rápida com chave para chaves de tabela hash, resiste a negação de serviço por hash-flooding. |
| Hash difuso TLSH | sgcTLSH, sgcTLSH_Init/_Update/_Final | Hash sensível à localidade para detecção de quase-duplicatas, não um digest criptográfico. |
| Score de similaridade TLSH | sgcTLSH_Diff | Distância entre dois digests TLSH; quanto menor, mais similares. |
Assine, verifique e derive segredos compartilhados em cinco famílias de curvas distintas, mais RSA.
| Capacidade | Função | Notas |
|---|---|---|
| Assinatura / verificação Ed25519 | sgcEd25519_Sign / sgcEd25519_Verify | RFC 8032. Chave pública de 32 bytes, assinatura de 64 bytes. A verificação rejeita pontos não canônicos e S >= L conforme a seção 5.1.7. |
| Troca de chaves X25519 | sgcX25519, sgcX25519_PublicKey, sgcX25519_SharedSecret | Diffie-Hellman RFC 7748 sobre a Curve25519. |
| Assinatura / verificação Ed448 | sgcEd448_GenerateKeyPair, sgcEd448_Sign, sgcEd448_Verify | RFC 8032, a curva EdDSA de 448 bits (Goldilocks). |
| Troca de chaves X448 | sgcX448, sgcX448_PublicKey, sgcX448_SharedSecret | Diffie-Hellman RFC 7748 sobre a Curve448. |
| secp256k1 | sgcECDSA_SignHash / VerifyHash com eccSecp256k1 | A curva do Bitcoin/Ethereum, SEC 2, em sgcCrypto_ECCurves. |
| Brainpool P256r1 / P384r1 / P512r1 | mesmas funções com eccBrainpoolP256r1 / P384r1 / P512r1 | RFC 5639, comum em perfis eIDAS e governamentais da UE. |
| NIST P-256 / P-384 / P-521 | mesmas funções com eccP256 / eccP384 / eccP521 | TsgcECCurve agora nomeia sete curvas, então geração de chave, assinatura, verificação, ECDH e compressão de ponto alcançam as curvas primas do NIST a partir de bytes de chave brutos, não apenas de um arquivo PEM. |
| Nonce ECDSA determinístico | embutido em sgcECDSA_SignHash | RFC 6979: o nonce é derivado da chave privada e da mensagem, sem modo de falha por RNG. |
| ECDH (secp256k1 / Brainpool) | sgcECDH_SharedSecret | Segredo compartilhado sobre as mesmas quatro curvas. |
| Compressão de ponto | sgcEC_Compress / sgcEC_Decompress | Armazene ou transmita a forma comprimida mais curta da chave pública. |
| EC como JWS (ES256/384/512) | sgcECDSA_SignJWS / sgcECDSA_VerifyJWS | Curva selecionada automaticamente pelo comprimento de bits solicitado, assina/verifica diretamente a partir de uma chave PEM, irmã voltada para JOSE do ECCurves. |
| ECDH genérico | sgcECDH | Segredo compartilhado a partir de uma chave privada bruta e o ponto público do par. |
| Verificação ECDSA bruta / DER | sgcECDSA_VerifyRaw / sgcECDSA_VerifyDER | Verifica contra uma tupla bruta (Qx, Qy, r, s) ou uma assinatura codificada em DER. |
| Assinatura ECDSA DER & conversão | sgcECDSA_SignDER / sgcECDSA_VerifyDER, sgcECDSA_RawToDER / sgcECDSA_DERToRaw | X.509, CMS e TLS transportam o DER ECDSA-Sig-Value, um SEQUENCE de INTEGER r seguido de INTEGER s. JOSE e WebAuthn transportam em vez disso o par bruto R || S. Assine diretamente em qualquer uma das duas formas, ou converta uma assinatura existente entre elas. |
| Assinaturas Schnorr (BIP-340) | sgcSchnorr_PublicKey, sgcSchnorr_Sign, sgcSchnorr_Verify | Somente secp256k1, com chaves públicas x-only de 32 bytes e assinaturas de 64 bytes: o que Taproot, Nostr e Lightning usam. sgcSchnorr_TaggedHash é exposta para que as tags do BIP-341 e do BIP-342 possam ser construídas sobre a mesma construção. |
| Assinatura RSA (PKCS#1 v1.5) | sgcRSA_SignPKCS1 | A partir de uma chave privada PEM, digest SHA-1/256/384/512. |
| Verificação RSA (PKCS#1 v1.5 / PSS) | sgcRSA_VerifyPKCS1, sgcRSA_VerifyPSS, e variantes _Raw sobre um módulo/expoente | RFC 8017. A verificação funciona a partir de uma chave PEM ou de módulo e expoente brutos, sem necessidade de construir um objeto de chave. |
| Geração de chave RSA | sgcRSA_GenerateKey | Qualquer comprimento de bits solicitado, teste de primalidade de Miller-Rabin. |
| Criptografia RSA-OAEP | sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Padding de criptografia assimétrica ótima RFC 8017. |
| RSA-OAEP com hash MGF1 independente | as sobrecargas de cinco parâmetros sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Fixe o hash do label e o hash do MGF1 separadamente. OAEPWithSHA256AndMGF1Padding significa SHA-256 para ambos no Bouncy Castle, mas SHA-256 com MGF1-SHA1 no SunJCE, e essa incompatibilidade é o motivo mais comum de falha de interoperabilidade com Java. |
| Criptografia RSA PKCS#1 v1.5 | sgcRSA_PKCS1_Encrypt / sgcRSA_PKCS1_Decrypt | RFC 8017 seção 7.2, o modo que o Java chama de RSA/ECB/PKCS1Padding. A descriptografia segue o mesmo caminho para toda falha, então não dá a um padding oracle nada com que trabalhar. Prefira o OAEP para qualquer coisa nova. |
| Assinatura RSA-PSS / PKCS#1 | sgcRSA_PSS_Sign / Verify, sgcRSA_PKCS1_Sign / Verify | Assina diretamente a partir de um TsgcRSAPrivateKey gerado. |
| Exportação de chave RSA | sgcRSA_ExportPrivateKeyPEM, sgcRSA_ExportPublicKeyPEM, chamadas DER equivalentes | Codificações PKCS#1 e SubjectPublicKeyInfo. |
| Exportação de chave PKCS#8 e SEC 1 | sgcRSA_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeySEC1DER / SEC1PEM, sgcEC_ExportSubjectPublicKeyInfo, sgcEC_ExportPublicKeyPEM | O contêiner BEGIN PRIVATE KEY que Java, .NET e a maioria das ferramentas modernas esperam, junto com a forma SEC 1 BEGIN EC PRIVATE KEY e o SubjectPublicKeyInfo que um certificado embute. Não criptografado, então o que volta é material de chave em estado bruto. |
| Importação de chave RSA e EC | sgcRSA_ImportPrivateKeyDER / PEM, sgcRSA_ImportPublicKeyDER / PEM, sgcEC_ImportPrivateKeyDER / PEM, sgcEC_ImportPublicKeyDER / PEM | Isso não existia antes: uma chave gerada podia ser exportada, mas nunca lida de volta. A importação aceita PKCS#1, PKCS#8, SEC 1 e SubjectPublicKeyInfo, em DER ou PEM, recalcula os parâmetros CRT ou o ponto público quando o arquivo os omite, e retorna False em uma entrada malformada em vez de gerar uma exceção, então é seguro entregar a ela arquivos não confiáveis. |
| ECIES seal / open | sgcECIES_GenerateKeyPair, sgcECIES_Seal, sgcECIES_Open | Criptografia híbrida para uma chave pública X25519: ECDH efêmero mais um AEAD, uma chamada em cada sentido. |
Leia um certificado que outra pessoa emitiu, ou gere um você mesmo, com um codificador e decodificador DER embaixo dos dois.
| Capacidade | Função | Notas |
|---|---|---|
| Leitor DER | sgcASN1_Read, sgcASN1_Next, sgcASN1_Content | Percorre uma estrutura DER nó por nó. |
| Codec PEM | sgcPEM_Decode / sgcPEM_Encode | RFC 7468, o invólucro -----BEGIN ... -----END em torno do DER. |
| Análise de chave RSA | sgcASN1_ParseRSAPrivateKey / PublicKey | Estruturas de chave PKCS#1 (RFC 8017). |
| Análise de chave EC | sgcASN1_ParseECPrivateKey / PublicKey | Estruturas de chave SEC 1. |
| Escritor DER, estrutural | sgcDER_Sequence, sgcDER_Set, sgcDER_Tagged, sgcDER_ContextExplicit / Implicit | Os blocos de construção a partir dos quais todo campo de certificado é montado. |
| Escritor DER, valores | sgcDER_Integer, sgcDER_OctetString, sgcDER_BitString, sgcDER_Boolean, sgcDER_Null | Codificadores de valores primitivos. |
| Escritor DER, strings & identificadores | sgcDER_OID, sgcDER_UTF8String, sgcDER_PrintableString, sgcDER_IA5String, sgcDER_Time | Identificadores de objeto, os três tipos de string que o X.509 usa, e UTCTime/GeneralizedTime. |
| Análise de certificado | sgcX509_Parse | Estrutura completa do certificado: subject, issuer, validade, chave pública, extensões. |
| Verificação de assinatura / cadeia | sgcX509_VerifySignedBy, sgcX509_VerifyChain | Verifica um certificado contra um emissor, ou percorre e verifica um array de certificados DER. |
| Análise de CRL & revogação | sgcX509_CRL_Parse, sgcX509_IsRevoked, sgcX509_CRL_VerifySignedBy | Analisa uma Certificate Revocation List e verifica um número de série nela. |
| Formatação de nome | sgcX509_SubjectRFC2253, sgcX509_IssuerRFC2253, sgcX509_SubjectOneLine | Strings de nome distinto RFC 2253, para registro e exibição. |
| Extensões & SANs | sgcX509_GetExtension, sgcX509_GetCRLDistributionURIs | Lê OIDs de extensão arbitrários e URIs de ponto de distribuição de CRL. |
| Geração de certificado autoassinado | sgcX509_CreateSelfSigned | TsgcX509Options completo: DN de subject, janela de validade, número de série, flag de CA com restrição de comprimento de caminho, uso de chave, uso estendido de chave, nomes alternativos do subject (incluindo SANs IPv4). |
| Nomes alternativos do subject (URI) | TsgcX509Options.URIs | SANs do tipo uniformResourceIdentifier, para uma identidade de serviço no estilo SPIFFE em vez de um nome de host. O valor é escrito literalmente como conteúdo IA5String, então passe uma URI completa. |
| Geração de CSR PKCS#10 | sgcX509_CreateCSR | Requisição de assinatura de certificado RFC 2986 a partir do mesmo registro de opções. |
| Certificados & CSRs assinados com EC | sgcX509_CreateSelfSignedEx, sgcX509_CreateCSREx, sgcX509_ECKey, sgcX509_RSAKey | Assine com uma chave EC além de RSA, envolvendo qualquer uma das duas em um TsgcX509SignKey. Um certificado EC tem aproximadamente um terço do tamanho de um RSA e verifica muito mais rápido. TsgcX509Options.Hash continua nomeando apenas o SHA, o algoritmo de assinatura segue a chave, então rhSHA256 com uma chave EC significa ecdsa-with-SHA256. |
| Saída PEM | sgcX509_ToPEM | Envolve o DER gerado como um arquivo PEM pronto para salvar. |
Os três algoritmos que o NIST finalizou em agosto de 2024 como FIPS 203, 204 e 205, mais um combinador híbrido para o período de migração.
| Capacidade | Função | Notas |
|---|---|---|
| Geração de chave ML-KEM | sgcMLKEM_GenerateKeyPair, sgcMLKEM_GenerateKeyPairFromSeed | FIPS 203, antigo Kyber. Três conjuntos de parâmetros: mlkem512, mlkem768, mlkem1024. |
| Encapsulamento ML-KEM | sgcMLKEM_Encapsulate, sgcMLKEM_EncapsulateWithSeed | Produz um segredo compartilhado novo de 32 bytes e o ciphertext que o transporta. |
| Decapsulamento ML-KEM | sgcMLKEM_Decapsulate | Nunca falha: um ciphertext malformado produz um segredo pseudoaleatório (rejeição implícita) em vez de um erro, então nem o tempo nem o comportamento de erro revelam nada. |
| Tamanhos ML-KEM | sgcMLKEM_PublicKeySize, PrivateKeySize, CiphertextSize, SharedSecretSize | Comprimentos em bytes por conjunto de parâmetros, para dimensionar buffers. |
| Híbrido X25519 + ML-KEM | sgcHybrid_GenerateKeyPair, sgcHybrid_Encapsulate, sgcHybrid_Decapsulate | Combina um segredo compartilhado clássico e um pós-quântico através de uma KDF, de modo que o resultado nunca é mais fraco que o X25519 sozinho. A forma recomendada de usar o ML-KEM hoje. |
| Geração de chave ML-DSA | sgcMLDSA_GenerateKeyPair, sgcMLDSA_GenerateKeyPairFromSeed | FIPS 204, antigo Dilithium. Três conjuntos de parâmetros: mldsa44, mldsa65, mldsa87. |
| Assinatura / verificação ML-DSA | sgcMLDSA_Sign / sgcMLDSA_Verify | Assinatura determinística ou aleatorizada conforme a interface da FIPS 204, mais uma string de contexto. |
| Tamanhos ML-DSA | sgcMLDSA_PublicKeySize, PrivateKeySize, SignatureSize | Comprimentos em bytes por conjunto de parâmetros. |
| Geração de chave SLH-DSA | sgcSLHDSA_GenerateKeyPair, sgcSLHDSA_GenerateKeyPairFromSeed | FIPS 205, antigo SPHINCS+. Assinaturas stateless baseadas em hash: a segurança repousa apenas na função de hash, não em uma suposição de reticulado ou curva. |
| Assinatura / verificação SLH-DSA | sgcSLHDSA_Sign / sgcSLHDSA_Verify | Seis conjuntos de parâmetros SHAKE: slhShake128s, slhShake128f, slhShake192s, slhShake192f, slhShake256s, slhShake256f. Os conjuntos s favorecem assinaturas pequenas, os conjuntos f favorecem assinatura rápida. |
| Tamanhos & nomenclatura SLH-DSA | sgcSLHDSA_PublicKeySize, PrivateKeySize, SignatureSize, sgcSLHDSA_ParamsName | As assinaturas SLH-DSA são grandes (7,8 KB a 49 KB dependendo do conjunto); dimensione o buffer antes de assinar. |
O sgcCrypto não afirma suportar ed25519187 ou SPECK. O ed25519187 não tem especificação publicada, e o SPECK foi retirado da padronização ISO em 2018; nenhum dos dois está implementado aqui.
A camada utilitária: códigos de uso único, as codificações que as demais famílias usam, e a criptografia WinZip AES.
| Capacidade | Função | Notas |
|---|---|---|
| HOTP | sgcHOTP | RFC 4226, senha de uso único baseada em contador. |
| TOTP | sgcTOTP, sgcTOTP_FromBase32 | RFC 6238, senha de uso único baseada em tempo; a variante Base32 aceita o segredo exatamente como um aplicativo autenticador o exibe. |
| Verificação TOTP | sgcTOTP_Verify | Verifica um código submetido em uma janela de passos em tempo constante, então nem o resultado nem a posição vazam por tempo. Não impede replay por si só; o chamador rastreia os códigos já usados. |
| Comparação em tempo constante | sgcConstantTimeEquals | Usada em toda a biblioteca para comparações de tag e MAC. |
| Zeragem segura | sgcSecureZero | Sobrescreve um buffer de bytes para que material de chave não permaneça na memória. |
| Hex | sgcHexEncode / sgcHexDecode | Hex em minúsculas, decodificação sem diferenciar maiúsculas/minúsculas. |
| Base64url | sgcBase64UrlEncode / sgcBase64UrlDecode | RFC 4648 seção 5, sem padding, a codificação que JWT e JOSE usam. |
| Base32 | sgcBase32Encode / sgcBase32Decode | RFC 4648 seção 6, a codificação que segredos TOTP e aplicativos autenticadores usam. |
| Derivação de chave WinZip AES | sgcZipAE2_DeriveKeys | Chave baseada em PBKDF2, chave de autenticação e verificador de senha a partir de uma senha e um salt. |
| Criptografia / descriptografia WinZip AES | sgcZipAE2_Encrypt / sgcZipAE2_Decrypt | AE-1 e AE-2, AES-128/192/256, dimensionamento de salt por entrada via TsgcZipAESStrength. |
| Empacotamento de entrada WinZip | sgcZipAE2_PackEntry / sgcZipAE2_UnpackEntry | Combina salt, verificador, ciphertext e código de autenticação no layout em disco. |
| Campo extra WinZip | sgcZipAE2_BuildExtraField / sgcZipAE2_ParseExtraField | O campo extra 0x9901 que marca uma entrada ZIP como criptografada com AES. |
| Hashes legados (apenas interop) | sgcMD4, sgcMD5, sgcHMAC_MD5 | Mantidos para ler formatos e protocolos mais antigos; não use em um novo projeto. |
| Cifra legada (apenas interop) | sgcDES_EncryptECB / sgcDES_DecryptECB, sgcDES_NTLM7to8 | DES-ECB e a etapa de expansão de chave DES do NTLM, ambos retirados (FIPS 46-3), mantidos para interoperabilidade legada. |
| Bytes aleatórios seguros | sgcRandomBytes / sgcRandomFill | Windows CryptoAPI sob MSWINDOWS, /dev/urandom nos demais, uma chamada em qualquer caso. |
O que é suportado, dito com precisão.
| Área | Detalhe |
|---|---|
| Sistema operacional | Nenhuma guarda MSWINDOWS, ou qualquer outra guarda de plataforma, envolve SGC_CRYPTO em sgcVer.inc. Todas as 43 unidades compilam para Win32, Win64, Linux64, macOS, iOS e Android. |
| Fonte de números aleatórios | A única unidade sensível à plataforma, sgcCrypto_Random, seleciona um CSPRNG por alvo: a Windows CryptoAPI sob MSWINDOWS, /dev/urandom em alvos POSIX, por trás da mesma chamada sgcRandomBytes. |
| Delphi | Delphi 7 até o RAD Studio 13 Florence. Nenhum tipo inteiro nativo de 64 bits é assumido em lugar algum: sgcCrypto_Int64 e o tipo TsgcBigInt em sgcCrypto_BigInteger emulam a aritmética de que os hashes, as curvas e as unidades pós-quânticas precisam. |
| C++ Builder | C++ Builder através dos headers gerados, a partir da mesma árvore de código-fonte. |
| Pegada em design-time | Nenhuma. Não existe um sgcCrypto_Reg.pas, nada é registrado com RegisterComponents, e nenhuma unidade aparece em uma página da paleta de componentes. |
| Dependências | Sem vinculação com OpenSSL, sem DLL externa. Cada primitiva é implementada diretamente em Object Pascal dentro da unidade que você referencia. |
| Código-fonte | Código Object Pascal completo em todo tier pago, e nos pacotes de edição que já incluem o sgcCrypto. |
| Redistribuição | Binários que você compila são livres de royalties, sem taxa de runtime por posto ou por servidor. |