Todo lo que hace sgcCrypto, mapeado en las 43 unidades del disco. Aquí no hay componentes ni propiedades en tiempo de diseño: cada fila de abajo es una función o un procedimiento que llamas directamente. El código fuente completo se incluye en todas las licencias. Los anclajes de abajo te llevan a las seis familias de funcionalidades en las que se agrupan las unidades.
sgcCrypto no tiene componentes. Las 43 unidades de abajo exportan funciones normales, no hay ninguna clase Tsgc* ni ningún sgcCrypto_Reg.pas. Añade una unidad a tu cláusula uses y llama a la función.
Ya incluido. sgcCrypto se distribuye gratis dentro de sgcWebSockets Standard, Professional y Enterprise, y dentro de All-Access. También se vende por separado (incluyendo el runtime de sgcWebSockets Core) para los clientes que solo tienen Core. Consulta Precios.
AES, CCM, ChaCha20, Poly1305, 5 unidades
SHA-2/3, BLAKE2, Argon2, 11 unidades
Ed25519, X25519, Schnorr, RSA, 10 unidades
X.509, ASN.1, CSR RSA y EC, 5 unidades
ML-KEM, ML-DSA, SLH-DSA, 6 unidades
HOTP/TOTP, codificación, ZIP AES, 6 unidades
Cada unidad sgcCrypto_*.pas bajo sgcWebSockets/delphi/Source/, agrupada por familia.
| Unidad | Familia | Qué hace |
|---|---|---|
sgcCrypto_AES | Simétrico | AES-CBC, AES-GCM (AEAD), AES-CTR. |
sgcCrypto_Modes | Simétrico | AES-ECB, OFB, CFB, CTS, CCM (AEAD), Key Wrap / Key Wrap with Padding, y los siete esquemas de relleno. |
sgcCrypto_CMAC | Simétrico | Autenticación de mensajes AES-CMAC y AES-GMAC. |
sgcCrypto_ChaCha | Simétrico | ChaCha20, XChaCha20, Salsa20, XSalsa20. |
sgcCrypto_Poly1305 | Simétrico | MAC Poly1305, AEAD ChaCha20-Poly1305 y XChaCha20-Poly1305. |
sgcCrypto_SHA2 | Hash & KDF | SHA-1, SHA-224, SHA-256, SHA-384, SHA-512. |
sgcCrypto_Keccak | Hash & KDF | SHA-3, SHAKE128/256, cSHAKE, KMAC. |
sgcCrypto_Blake2b | Hash & KDF | BLAKE2b, con o sin clave. |
sgcCrypto_Blake2s | Hash & KDF | BLAKE2s, con o sin clave. |
sgcCrypto_HMAC | Hash & KDF | HMAC-SHA1/256/384/512. |
sgcCrypto_KDF | Hash & KDF | PBKDF2, KDF1, KDF2 y X9.63, hash seleccionable. |
sgcCrypto_HKDF | Hash & KDF | HKDF, extraer y expandir. |
sgcCrypto_Scrypt | Hash & KDF | KDF con dureza de memoria scrypt. |
sgcCrypto_Argon2 | Hash & KDF | Argon2d, Argon2i, Argon2id. |
sgcCrypto_SipHash | Hash & KDF | Hash con clave SipHash-2-4. |
sgcCrypto_TLSH | Hash & KDF | Hash difuso TLSH y diferencia de similitud. |
sgcCrypto_Ed25519 | Firmas e intercambio de claves | Firma / verificación Ed25519. |
sgcCrypto_X25519 | Firmas e intercambio de claves | X25519 Diffie-Hellman. |
sgcCrypto_Ed448 | Firmas e intercambio de claves | Firma / verificación Ed448. |
sgcCrypto_X448 | Firmas e intercambio de claves | X448 Diffie-Hellman. |
sgcCrypto_GF448 | Firmas e intercambio de claves | Aritmética de cuerpo interna GF(2^448-2^224-1) para Ed448/X448. |
sgcCrypto_ECCurves | Firmas e intercambio de claves | ECDSA / ECDH sobre secp256k1, Brainpool P256r1/P384r1/P512r1 y NIST P-256/P-384/P-521, firmas DER, exportación/importación de claves, y Schnorr BIP-340. |
sgcCrypto_EC | Firmas e intercambio de claves | Firma/verificación EC general como JWS (ES256/384/512), ECDH. |
sgcCrypto_RSA | Firmas e intercambio de claves | Firma RSA PKCS#1 v1.5, verificación PKCS#1 v1.5 / PSS, desde PEM o en bruto. |
sgcCrypto_RSA_Keys | Firmas e intercambio de claves | Generación de claves RSA, OAEP (con hash MGF1 independiente), PSS, firma/verificación/cifrado/descifrado PKCS#1 v1.5, exportación e importación DER/PEM PKCS#1 y PKCS#8. |
sgcCrypto_ECIES | Firmas e intercambio de claves | Cifrado híbrido ECIES seal / open sobre X25519. |
sgcCrypto_ASN1 | PKI | Lector DER, códec PEM, análisis de claves PKCS#1/SEC 1. |
sgcCrypto_DER | PKI | Primitivas de escritura DER. |
sgcCrypto_BigInteger | PKI | Aritmética interna de enteros de precisión arbitraria. |
sgcCrypto_X509 | PKI | Análisis, verificación, cadena, CRL y revocación X.509. |
sgcCrypto_X509_Gen | PKI | Generación de certificados autofirmados y CSR PKCS#10, firmados con RSA o EC, con nombres alternativos del sujeto de tipo URI. |
sgcCrypto_MLKEM | Poscuántica | Encapsulación de claves ML-KEM (FIPS 203), 3 conjuntos de parámetros. |
sgcCrypto_MLKEM_Poly | Poscuántica | Aritmética interna de anillos de polinomios detrás de ML-KEM. |
sgcCrypto_MLKEM_Hybrid | Poscuántica | Encapsulación de claves híbrida X25519 + ML-KEM. |
sgcCrypto_MLDSA | Poscuántica | Firmas digitales ML-DSA (FIPS 204), 3 conjuntos de parámetros. |
sgcCrypto_MLDSA_Poly | Poscuántica | Aritmética interna de anillos de polinomios detrás de ML-DSA. |
sgcCrypto_SLHDSA | Poscuántica | Firmas SLH-DSA (FIPS 205), 6 conjuntos de parámetros SHAKE. |
sgcCrypto_OTP | OTP y varios | HOTP, TOTP, ventana de verificación en tiempo constante. |
sgcCrypto_Encoding | OTP y varios | Comparación en tiempo constante, puesta a cero segura, hex/Base64url/Base32. |
sgcCrypto_Zip_AE2 | OTP y varios | Cifrado WinZip AES para entradas ZIP, AE-1 / AE-2. |
sgcCrypto_Legacy | OTP y varios | MD4, MD5, HMAC-MD5, DES-ECB, RIPEMD-160 y HMAC-RIPEMD160, solo para interoperabilidad. |
sgcCrypto_Random | OTP y varios | CSPRNG multiplataforma. |
sgcCrypto_Int64 | OTP y varios | Emulación interna de enteros de 64 bits para Delphi 7. |
AES en los modos que realmente usa el código de producción, más la familia AEAD ChaCha20/Poly1305.
| Funcionalidad | Función | Notas |
|---|---|---|
| AES-CBC | sgcAES_CBC_Encrypt / sgcAES_CBC_Decrypt | Relleno PKCS#7, IV de 16 bytes. La longitud de la clave selecciona el cifrado: 16/24/32 bytes = AES-128/192/256. |
| AES-CBC, sin relleno | sgcAES_CBC_Encrypt_NoPad / sgcAES_CBC_Decrypt_NoPad | El modo que Java escribe como AES/CBC/NoPadding. La entrada ya debe ser múltiplo de 16 bytes; una entrada no alineada lanza una excepción en lugar de rellenarse silenciosamente en algo que el otro lado no pueda leer. |
| AES-GCM (AEAD) | sgcAES_GCM_Encrypt / sgcAES_GCM_Decrypt | Se recomienda un IV de 12 bytes. Etiqueta de 16 bytes, comparada en tiempo constante; el descifrado devuelve False y texto plano vacío si la etiqueta falla. |
| AES-CCM (AEAD) | sgcAES_CCM_Encrypt / sgcAES_CCM_Decrypt | El AEAD que especifican las pilas embebidas e IoT, Zigbee, 802.15.4, Bluetooth y las suites CCM de TLS, porque solo necesita el cifrado de bloque y ninguna tabla GHASH. Nonce de 7 a 13 bytes, etiqueta de 4 a 16 bytes, verificada en tiempo constante. |
| AES-CTR | sgcAES_CTR | AES-CM al estilo SRTP (RFC 3711). Llamada simétrica, sin relleno, contador big-endian de 128 bits. |
| AES-ECB | sgcAES_ECB_Encrypt / sgcAES_ECB_Decrypt | Sin IV, sin encadenamiento. Incluido por interoperabilidad con formatos que lo especifican. |
| Esquemas de relleno | sgcPad_Add / sgcPad_Remove, sgcAES_CBC_EncryptPad / DecryptPad, sgcAES_ECB_EncryptPad / DecryptPad | TsgcPadding cubre None, PKCS#7, Zero, ANSI X9.23, ISO 7816-4, ISO 10126-2 y TBC, de modo que CBC y ECB pueden leer y escribir datos de un sistema que no eligió PKCS#7. sgcPad_Remove devuelve False por el mismo camino ante cualquier tipo de relleno incorrecto. |
| AES-OFB / AES-CFB | sgcAES_OFB, sgcAES_CFB_Encrypt / sgcAES_CFB_Decrypt | Modos de realimentación al estilo de cifrado de flujo. |
| AES-CTS | sgcAES_CTS_Encrypt / sgcAES_CTS_Decrypt | Robo de texto cifrado: cifra datos que no son múltiplo del tamaño de bloque sin sobrecarga de relleno. |
| AES Key Wrap | sgcAES_KeyWrap / sgcAES_KeyUnwrap | RFC 3394, para envolver una clave bajo otra. |
| AES Key Wrap with Padding | sgcAES_KeyWrapPad / sgcAES_KeyUnwrapPad | RFC 5649, para material de clave que no es múltiplo de 8 bytes. |
| AES-CMAC | sgcAES_CMAC / sgcAES_CMAC_Verify | Código de autenticación de mensajes RFC 4493. |
| AES-GMAC | sgcAES_GMAC / sgcAES_GMAC_Verify | El modo solo de autenticación de GCM: el mensaje completo viaja como datos adicionales, nada se cifra. El IV nunca debe repetirse con la misma clave, y la etiqueta de 16 bytes se compara en tiempo constante. |
| Primitivas de bloque de bajo nivel | sgcAES_ExpandKey, sgcAES_EncryptBlock, sgcAES_DecryptBlock | Expuestas para las unidades de modos y MAC de arriba; llama a estas directamente solo para construir un modo que no esté ya disponible. |
| ChaCha20 | sgcChaCha20 | RFC 8439, nonce de 96 bits, contador de 32 bits. |
| XChaCha20 | sgcXChaCha20 | Nonce extendido de 192 bits, seguro para generar nonces aleatorios a gran escala. |
| Salsa20 / XSalsa20 | sgcSalsa20 / sgcXSalsa20 | La familia de cifrado de flujo predecesora, ambos tamaños de nonce. |
| Derivación de subclave | sgcHChaCha20 / sgcHSalsa20 | Lo que usan internamente las variantes X para derivar una subclave a partir de los primeros 16 bytes del nonce. |
| MAC Poly1305 | sgcPoly1305 / sgcPoly1305_Verify | Autenticador de un solo uso, RFC 8439. Nunca reutilices una clave Poly1305. |
| AEAD ChaCha20-Poly1305 | sgcChaCha20Poly1305_Encrypt / _Decrypt | El cifrado AEAD detrás de la segunda suite de cifrado de TLS 1.3 y de SSH. |
| AEAD XChaCha20-Poly1305 | sgcXChaCha20Poly1305_Encrypt / _Decrypt | El mismo AEAD, nonce de 192 bits, la construcción que libsodium llama crypto_aead_xchacha20poly1305_ietf. |
Todas las familias de hash habituales, además de PBKDF2, HKDF, scrypt y las tres variantes de Argon2.
| Funcionalidad | Función | Notas |
|---|---|---|
| SHA-1 / SHA-2 | sgcSHA1, sgcSHA224, sgcSHA256, sgcSHA384, sgcSHA512 | FIPS 180-4. SHA-1 se mantiene por interoperabilidad, no se recomienda para firmas nuevas. |
| SHA-3 | sgcSHA3_224 / _256 / _384 / _512 | FIPS 202, la esponja Keccak, estructuralmente independiente de SHA-2. |
| SHAKE128 / SHAKE256 | sgcSHAKE128 / sgcSHAKE256 | Funciones de salida extensible: solicita cualquier longitud de resumen. |
| cSHAKE128 / cSHAKE256 | sgcCSHAKE128 / sgcCSHAKE256 | SHAKE con separación de dominio, NIST SP 800-185, la base de KMAC. |
| KMAC128 / KMAC256 | sgcKMAC128 / sgcKMAC256 | MAC basado en Keccak con longitud de salida variable. |
| BLAKE2b | sgcBlake2b / sgcBlake2b_Keyed | RFC 7693, resúmenes de hasta 64 bytes, con clave integrada (no hace falta un HMAC aparte). |
| BLAKE2s | sgcBlake2s / sgcBlake2s_Keyed | RFC 7693, resúmenes de hasta 32 bytes, ajustado para plataformas de 32 bits. |
| Resúmenes en flujo | sgcBlake2b_Init/_Update/_Final, llamadas equivalentes en Keccak/Blake2s | Para calcular el hash de datos demasiado grandes para mantenerlos en memoria de una vez. |
| HMAC | sgcHMAC_SHA1 / _SHA256 / _SHA384 / _SHA512 | Hash con clave RFC 2104 sobre la familia SHA-1/2. |
| RIPEMD-160 / HMAC-RIPEMD160 | sgcRIPEMD160, sgcHMAC_RIPEMD160 | ISO/IEC 10118-3 y RFC 2286. El resumen de 160 bits que las direcciones de Bitcoin superponen sobre SHA-256, y el que nombra OpenPGP. |
| PBKDF2 | sgcPBKDF2, sgcPBKDF2_SHA1 / _SHA256 / _SHA512 | RFC 8018. Solo ligeramente resistente a la memoria; prefiere Argon2id o scrypt cuando puedas elegir. |
| HKDF | sgcHKDF_Extract_SHA256 / _SHA384, sgcHKDF_Expand_SHA256 / _SHA384, sgcHKDF_SHA256 / _SHA384 | RFC 5869, derivación de claves extraer-y-expandir, la forma estándar de convertir un secreto compartido en varias claves. |
| KDF1 / KDF2 / X9.63 | sgcKDF1, sgcKDF2, sgcKDF_X963 | Las derivaciones en modo contador que definen ISO 18033-2, IEEE 1363a y ANSI X9.63, que es lo que nombran RSA-KEM y ECIES. KDF1 cuenta desde 0 y KDF2 desde 1, una diferencia que ha causado errores de interoperabilidad reales, así que compruebe cuál de los dos indica su especificación. |
| scrypt | sgcScrypt | RFC 7914, resistente a la memoria, resiste ataques de GPU/ASIC mucho mejor que PBKDF2. |
| Argon2 | sgcArgon2 (d / i / id), envoltorio de conveniencia sgcArgon2id | RFC 9106, la ganadora de la Password Hashing Competition. Interfaz completa con secreto opcional (pepper) y datos asociados. |
| SipHash-2-4 | sgcSipHash24 / sgcSipHash24_Value | PRF con clave rápida para claves de tablas hash, resiste denegación de servicio por inundación de hash. |
| Hash difuso TLSH | sgcTLSH, sgcTLSH_Init/_Update/_Final | Hash sensible a la localidad para detectar casi duplicados, no es un resumen criptográfico. |
| Puntuación de similitud TLSH | sgcTLSH_Diff | Distancia entre dos resúmenes TLSH; cuanto menor, más similares. |
Firma, verifica y deriva secretos compartidos en cinco familias de curvas distintas, más RSA.
| Funcionalidad | Función | Notas |
|---|---|---|
| Firma / verificación Ed25519 | sgcEd25519_Sign / sgcEd25519_Verify | RFC 8032. Clave pública de 32 bytes, firma de 64 bytes. La verificación rechaza puntos no canónicos y S >= L según la sección 5.1.7. |
| Intercambio de claves X25519 | sgcX25519, sgcX25519_PublicKey, sgcX25519_SharedSecret | Diffie-Hellman RFC 7748 sobre Curve25519. |
| Firma / verificación Ed448 | sgcEd448_GenerateKeyPair, sgcEd448_Sign, sgcEd448_Verify | RFC 8032, la curva EdDSA de 448 bits (Goldilocks). |
| Intercambio de claves X448 | sgcX448, sgcX448_PublicKey, sgcX448_SharedSecret | Diffie-Hellman RFC 7748 sobre Curve448. |
| secp256k1 | sgcECDSA_SignHash / VerifyHash con eccSecp256k1 | La curva de Bitcoin/Ethereum, SEC 2, en sgcCrypto_ECCurves. |
| Brainpool P256r1 / P384r1 / P512r1 | mismas funciones con eccBrainpoolP256r1 / P384r1 / P512r1 | RFC 5639, habitual en perfiles eIDAS de la UE y gubernamentales. |
| NIST P-256 / P-384 / P-521 | mismas funciones con eccP256 / eccP384 / eccP521 | TsgcECCurve ahora nombra siete curvas, así que la generación de claves, la firma, la verificación, el ECDH y la compresión de puntos alcanzan todos las curvas primas NIST a partir de bytes de clave en bruto, no solo desde un archivo PEM. |
| Nonce ECDSA determinista | integrado en sgcECDSA_SignHash | RFC 6979: el nonce se deriva de la clave privada y el mensaje, sin modo de fallo del RNG. |
| ECDH (secp256k1 / Brainpool) | sgcECDH_SharedSecret | Secreto compartido sobre las mismas cuatro curvas. |
| Compresión de puntos | sgcEC_Compress / sgcEC_Decompress | Almacena o transmite la forma comprimida más corta de la clave pública. |
| EC como JWS (ES256/384/512) | sgcECDSA_SignJWS / sgcECDSA_VerifyJWS | La curva se selecciona automáticamente según la longitud en bits solicitada, firma/verifica directamente desde una clave PEM, hermana orientada a JOSE de ECCurves. |
| ECDH genérico | sgcECDH | Secreto compartido a partir de una clave privada en bruto y el punto público del interlocutor. |
| Verificación ECDSA en bruto / DER | sgcECDSA_VerifyRaw / sgcECDSA_VerifyDER | Verifica contra una tupla en bruto (Qx, Qy, r, s) o una firma codificada en DER. |
| Firma DER ECDSA y conversión | sgcECDSA_SignDER / sgcECDSA_VerifyDER, sgcECDSA_RawToDER / sgcECDSA_DERToRaw | X.509, CMS y TLS llevan el ECDSA-Sig-Value DER, una SEQUENCE de INTEGER r seguido de INTEGER s. JOSE y WebAuthn llevan en su lugar el par en bruto R || S. Firme directamente en cualquiera de las dos formas, o convierta una firma existente entre ellas. |
| Firmas Schnorr (BIP-340) | sgcSchnorr_PublicKey, sgcSchnorr_Sign, sgcSchnorr_Verify | Solo secp256k1, con claves públicas x-only de 32 bytes y firmas de 64 bytes: lo que usan Taproot, Nostr y Lightning. sgcSchnorr_TaggedHash se expone para que las etiquetas de BIP-341 y BIP-342 se puedan construir sobre la misma construcción. |
| Firma RSA (PKCS#1 v1.5) | sgcRSA_SignPKCS1 | Desde una clave privada PEM, resumen SHA-1/256/384/512. |
| Verificación RSA (PKCS#1 v1.5 / PSS) | sgcRSA_VerifyPKCS1, sgcRSA_VerifyPSS, y variantes _Raw sobre un módulo/exponente | RFC 8017. La verificación funciona desde una clave PEM o un módulo y exponente en bruto, sin necesidad de construir un objeto de clave. |
| Generación de claves RSA | sgcRSA_GenerateKey | Cualquier longitud en bits solicitada, comprobación de primalidad Miller-Rabin. |
| Cifrado RSA-OAEP | sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Relleno de cifrado asimétrico óptimo RFC 8017. |
| RSA-OAEP con un hash MGF1 independiente | las sobrecargas de cinco parámetros de sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Fija el hash de la etiqueta y el hash MGF1 por separado. OAEPWithSHA256AndMGF1Padding significa SHA-256 para ambos en Bouncy Castle pero SHA-256 con MGF1-SHA1 en SunJCE, y ese desajuste es el motivo habitual por el que falla la interoperabilidad con Java. |
| Cifrado RSA PKCS#1 v1.5 | sgcRSA_PKCS1_Encrypt / sgcRSA_PKCS1_Decrypt | RFC 8017 sección 7.2, el modo que Java llama RSA/ECB/PKCS1Padding. El descifrado sigue el mismo camino ante todo fallo, de modo que no le da nada con lo que trabajar a un oráculo de relleno. Prefiera OAEP para cualquier cosa nueva. |
| Firma RSA-PSS / PKCS#1 | sgcRSA_PSS_Sign / Verify, sgcRSA_PKCS1_Sign / Verify | Firma directamente desde un TsgcRSAPrivateKey generado. |
| Exportación de claves RSA | sgcRSA_ExportPrivateKeyPEM, sgcRSA_ExportPublicKeyPEM, llamadas DER equivalentes | Codificaciones PKCS#1 y SubjectPublicKeyInfo. |
| Exportación de claves PKCS#8 y SEC 1 | sgcRSA_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeySEC1DER / SEC1PEM, sgcEC_ExportSubjectPublicKeyInfo, sgcEC_ExportPublicKeyPEM | El contenedor BEGIN PRIVATE KEY que esperan Java, .NET y la mayoría de las herramientas modernas, junto con la forma SEC 1 BEGIN EC PRIVATE KEY y el SubjectPublicKeyInfo que incrusta un certificado. Sin cifrar, así que lo que se obtiene es material de clave desnudo. |
| Importación de claves RSA y EC | sgcRSA_ImportPrivateKeyDER / PEM, sgcRSA_ImportPublicKeyDER / PEM, sgcEC_ImportPrivateKeyDER / PEM, sgcEC_ImportPublicKeyDER / PEM | Esto no existía antes: una clave generada se podía escribir pero nunca volver a leer. La importación acepta PKCS#1, PKCS#8, SEC 1 y SubjectPublicKeyInfo, DER o PEM, recalcula los parámetros CRT o el punto público cuando el archivo los omite, y devuelve False ante una entrada malformada en lugar de lanzar una excepción, así que es seguro entregarle archivos no confiables. |
| ECIES seal / open | sgcECIES_GenerateKeyPair, sgcECIES_Seal, sgcECIES_Open | Cifrado híbrido hacia una clave pública X25519: ECDH efímero más un AEAD, una llamada en cada sentido. |
Lee un certificado emitido por otra entidad, o genera uno tú mismo, con un codificador y un decodificador DER debajo de ambos.
| Funcionalidad | Función | Notas |
|---|---|---|
| Lector DER | sgcASN1_Read, sgcASN1_Next, sgcASN1_Content | Recorre una estructura DER nodo a nodo. |
| Códec PEM | sgcPEM_Decode / sgcPEM_Encode | RFC 7468, el envoltorio -----BEGIN ... -----END alrededor de DER. |
| Análisis de claves RSA | sgcASN1_ParseRSAPrivateKey / PublicKey | Estructuras de clave PKCS#1 (RFC 8017). |
| Análisis de claves EC | sgcASN1_ParseECPrivateKey / PublicKey | Estructuras de clave SEC 1. |
| Escritor DER, estructural | sgcDER_Sequence, sgcDER_Set, sgcDER_Tagged, sgcDER_ContextExplicit / Implicit | Los bloques básicos con los que se ensambla cada campo de un certificado. |
| Escritor DER, valores | sgcDER_Integer, sgcDER_OctetString, sgcDER_BitString, sgcDER_Boolean, sgcDER_Null | Codificadores de valores primitivos. |
| Escritor DER, cadenas e identificadores | sgcDER_OID, sgcDER_UTF8String, sgcDER_PrintableString, sgcDER_IA5String, sgcDER_Time | Identificadores de objeto, los tres tipos de cadena que usa X.509, y UTCTime/GeneralizedTime. |
| Análisis de certificados | sgcX509_Parse | Estructura completa del certificado: sujeto, emisor, validez, clave pública, extensiones. |
| Verificación de firma / cadena | sgcX509_VerifySignedBy, sgcX509_VerifyChain | Verifica un certificado contra un emisor, o recorre y verifica un array de certificados DER. |
| Análisis de CRL y revocación | sgcX509_CRL_Parse, sgcX509_IsRevoked, sgcX509_CRL_VerifySignedBy | Analiza una lista de revocación de certificados y comprueba un número de serie contra ella. |
| Formateo de nombres | sgcX509_SubjectRFC2253, sgcX509_IssuerRFC2253, sgcX509_SubjectOneLine | Cadenas de nombre distintivo RFC 2253, para registro y visualización. |
| Extensiones y SAN | sgcX509_GetExtension, sgcX509_GetCRLDistributionURIs | Lee OID de extensión arbitrarios y URI de puntos de distribución de CRL. |
| Generación de certificados autofirmados | sgcX509_CreateSelfSigned | TsgcX509Options completo: DN del sujeto, ventana de validez, número de serie, indicador de CA con restricción de longitud de ruta, uso de clave, uso extendido de clave, nombres alternativos del sujeto (incluyendo SAN IPv4). |
| Nombres alternativos del sujeto de tipo URI | TsgcX509Options.URIs | SAN uniformResourceIdentifier, para una identidad de servicio al estilo SPIFFE en lugar de un nombre de host. El valor se escribe tal cual como contenido IA5String, así que pase un URI completo. |
| Generación de CSR PKCS#10 | sgcX509_CreateCSR | Solicitud de firma de certificado RFC 2986 a partir del mismo registro de opciones. |
| Certificados y CSR firmados con EC | sgcX509_CreateSelfSignedEx, sgcX509_CreateCSREx, sgcX509_ECKey, sgcX509_RSAKey | Firme con una clave EC además de con RSA envolviendo cualquiera de las dos en un TsgcX509SignKey. Un certificado EC tiene aproximadamente un tercio del tamaño de uno RSA y verifica mucho más rápido. TsgcX509Options.Hash sigue nombrando solo el SHA, el algoritmo sigue a la clave, así que rhSHA256 con una clave EC significa ecdsa-with-SHA256. |
| Salida PEM | sgcX509_ToPEM | Envuelve el DER generado como un archivo PEM listo para guardar. |
Los tres algoritmos que el NIST finalizó en agosto de 2024 como FIPS 203, 204 y 205, más un combinador híbrido para el periodo de migración.
| Funcionalidad | Función | Notas |
|---|---|---|
| Generación de claves ML-KEM | sgcMLKEM_GenerateKeyPair, sgcMLKEM_GenerateKeyPairFromSeed | FIPS 203, anteriormente Kyber. Tres conjuntos de parámetros: mlkem512, mlkem768, mlkem1024. |
| Encapsulación ML-KEM | sgcMLKEM_Encapsulate, sgcMLKEM_EncapsulateWithSeed | Produce un secreto compartido nuevo de 32 bytes y el texto cifrado que lo transporta. |
| Decapsulación ML-KEM | sgcMLKEM_Decapsulate | Nunca falla: un texto cifrado malformado produce un secreto pseudoaleatorio (rechazo implícito) en lugar de un error, de modo que ni la temporización ni el comportamiento ante errores revelan nada. |
| Tamaños ML-KEM | sgcMLKEM_PublicKeySize, PrivateKeySize, CiphertextSize, SharedSecretSize | Longitudes en bytes por conjunto de parámetros, para dimensionar buffers. |
| Híbrido X25519 + ML-KEM | sgcHybrid_GenerateKeyPair, sgcHybrid_Encapsulate, sgcHybrid_Decapsulate | Combina un secreto compartido clásico y otro poscuántico mediante un KDF, de modo que el resultado nunca es más débil que X25519 por sí solo. La forma recomendada de desplegar ML-KEM hoy. |
| Generación de claves ML-DSA | sgcMLDSA_GenerateKeyPair, sgcMLDSA_GenerateKeyPairFromSeed | FIPS 204, anteriormente Dilithium. Tres conjuntos de parámetros: mldsa44, mldsa65, mldsa87. |
| Firma / verificación ML-DSA | sgcMLDSA_Sign / sgcMLDSA_Verify | Firma determinista o aleatorizada según la interfaz FIPS 204, más una cadena de contexto. |
| Tamaños ML-DSA | sgcMLDSA_PublicKeySize, PrivateKeySize, SignatureSize | Longitudes en bytes por conjunto de parámetros. |
| Generación de claves SLH-DSA | sgcSLHDSA_GenerateKeyPair, sgcSLHDSA_GenerateKeyPairFromSeed | FIPS 205, anteriormente SPHINCS+. Firmas basadas en hash sin estado: la seguridad descansa únicamente en la función de hash, no en una suposición reticular o de curvas. |
| Firma / verificación SLH-DSA | sgcSLHDSA_Sign / sgcSLHDSA_Verify | Seis conjuntos de parámetros SHAKE: slhShake128s, slhShake128f, slhShake192s, slhShake192f, slhShake256s, slhShake256f. Los conjuntos s favorecen firmas pequeñas, los conjuntos f favorecen una firma rápida. |
| Tamaños y nombres SLH-DSA | sgcSLHDSA_PublicKeySize, PrivateKeySize, SignatureSize, sgcSLHDSA_ParamsName | Las firmas SLH-DSA son grandes (de 7,8 KB a 49 KB según el conjunto); dimensiona el buffer antes de firmar. |
sgcCrypto no afirma implementar ed25519187 ni SPECK. ed25519187 no tiene una especificación publicada, y SPECK fue retirado de la estandarización ISO en 2018; ninguno de los dos está implementado aquí.
La capa de utilidades: códigos de un solo uso, las codificaciones en las que se apoyan el resto de familias, y el cifrado WinZip AES.
| Funcionalidad | Función | Notas |
|---|---|---|
| HOTP | sgcHOTP | RFC 4226, contraseña de un solo uso basada en contador. |
| TOTP | sgcTOTP, sgcTOTP_FromBase32 | RFC 6238, contraseña de un solo uso basada en tiempo; la variante Base32 acepta el secreto tal como lo muestra una app de autenticación. |
| Verificación TOTP | sgcTOTP_Verify | Comprueba un código enviado a lo largo de una ventana de pasos en tiempo constante, de modo que ni el resultado ni su posición se filtran por temporización. No impide por sí misma la repetición; quien la llama debe llevar el control de los códigos usados. |
| Comparación en tiempo constante | sgcConstantTimeEquals | Se usa en toda la biblioteca para comparar etiquetas y MAC. |
| Puesta a cero segura | sgcSecureZero | Sobrescribe un buffer de bytes para que el material de clave no permanezca en memoria. |
| Hex | sgcHexEncode / sgcHexDecode | Hex en minúsculas, decodificación sin distinguir mayúsculas/minúsculas. |
| Base64url | sgcBase64UrlEncode / sgcBase64UrlDecode | RFC 4648 sección 5, sin relleno, la codificación que usan JWT y JOSE. |
| Base32 | sgcBase32Encode / sgcBase32Decode | RFC 4648 sección 6, la codificación que usan los secretos TOTP y las apps de autenticación. |
| Derivación de claves WinZip AES | sgcZipAE2_DeriveKeys | Clave basada en PBKDF2, clave de autenticación y verificador de contraseña a partir de una contraseña y una sal. |
| Cifrado / descifrado WinZip AES | sgcZipAE2_Encrypt / sgcZipAE2_Decrypt | AE-1 y AE-2, AES-128/192/256, tamaño de sal por entrada mediante TsgcZipAESStrength. |
| Empaquetado de entradas WinZip | sgcZipAE2_PackEntry / sgcZipAE2_UnpackEntry | Combina la sal, el verificador, el texto cifrado y el código de autenticación en el formato en disco. |
| Campo extra WinZip | sgcZipAE2_BuildExtraField / sgcZipAE2_ParseExtraField | El campo extra 0x9901 que marca una entrada ZIP como cifrada con AES. |
| Hashes heredados (solo interoperabilidad) | sgcMD4, sgcMD5, sgcHMAC_MD5 | Se mantienen para leer formatos y protocolos antiguos; no los uses en un diseño nuevo. |
| Cifrado heredado (solo interoperabilidad) | sgcDES_EncryptECB / sgcDES_DecryptECB, sgcDES_NTLM7to8 | DES-ECB y el paso de expansión de clave NTLM basado en DES, ambos retirados (FIPS 46-3), mantenidos por interoperabilidad heredada. |
| Bytes aleatorios seguros | sgcRandomBytes / sgcRandomFill | Windows CryptoAPI bajo MSWINDOWS, /dev/urandom en el resto, una sola llamada en cualquier caso. |
Qué está soportado, dicho con precisión.
| Área | Detalle |
|---|---|
| Sistema operativo | Ninguna guarda MSWINDOWS, ni ninguna otra guarda de plataforma, envuelve SGC_CRYPTO en sgcVer.inc. Las 43 unidades compilan para Win32, Win64, Linux64, macOS, iOS y Android. |
| Fuente de números aleatorios | La única unidad que distingue la plataforma, sgcCrypto_Random, selecciona un CSPRNG según el destino: la Windows CryptoAPI bajo MSWINDOWS, /dev/urandom en destinos POSIX, detrás de la misma llamada sgcRandomBytes. |
| Delphi | Delphi 7 hasta RAD Studio 13 Florence. No se asume en ningún sitio un tipo entero de 64 bits nativo: sgcCrypto_Int64 y el tipo TsgcBigInt en sgcCrypto_BigInteger emulan la aritmética que necesitan las unidades de hash, curvas y poscuánticas. |
| C++ Builder | C++ Builder a través de las cabeceras generadas, el mismo árbol de código fuente. |
| Huella en tiempo de diseño | Ninguna. No existe sgcCrypto_Reg.pas, nada se registra con RegisterComponents, y ninguna unidad aparece en una página de la paleta de componentes. |
| Dependencias | Sin enlace a OpenSSL, sin DLL externa. Cada primitiva está implementada directamente en Object Pascal dentro de la unidad que referencias. |
| Código fuente | Código fuente completo en Object Pascal en todas las versiones de pago, y en los paquetes de edición que ya incluyen sgcCrypto. |
| Redistribución | Los binarios que compilas son libres de regalías, sin coste de runtime por puesto ni por servidor. |