Tout ce que fait sgcCrypto, réparti sur les 43 unités présentes sur disque. Il n'y a ici ni composants ni propriétés à la conception : chaque ligne ci-dessous est une fonction ou une procédure que tu appelles directement. Le code source complet est livré avec chaque licence. Les ancres ci-dessous t'amènent aux six familles de fonctionnalités dans lesquelles se répartissent les unités.
sgcCrypto n'a aucun composant. Les 43 unités ci-dessous exportent de simples fonctions, il n'y a aucune classe Tsgc* et aucun sgcCrypto_Reg.pas. Ajoute une unité à ton uses et appelle la fonction.
Déjà inclus. sgcCrypto est livré gratuitement à l'intérieur de sgcWebSockets Standard, Professional et Enterprise, ainsi que dans All-Access. Il est aussi vendu en autonome (avec le runtime sgcWebSockets Core inclus) pour les clients qui ne possèdent que Core. Voir Tarifs.
AES, CCM, ChaCha20, Poly1305, 5 unités
SHA-2/3, BLAKE2, Argon2, 11 unités
Ed25519, X25519, Schnorr, RSA, 10 unités
X.509, ASN.1, CSR RSA et EC, 5 unités
ML-KEM, ML-DSA, SLH-DSA, 6 unités
HOTP/TOTP, encodage, ZIP AES, 6 unités
Chaque unité sgcCrypto_*.pas sous sgcWebSockets/delphi/Source/, regroupée par famille.
| Unité | Famille | Ce qu'elle fait |
|---|---|---|
sgcCrypto_AES | Symétrique | AES-CBC, AES-GCM (AEAD), AES-CTR. |
sgcCrypto_Modes | Symétrique | AES-ECB, OFB, CFB, CTS, CCM (AEAD), Key Wrap / Key Wrap with Padding, et les sept schémas de remplissage. |
sgcCrypto_CMAC | Symétrique | Authentification de message AES-CMAC et AES-GMAC. |
sgcCrypto_ChaCha | Symétrique | ChaCha20, XChaCha20, Salsa20, XSalsa20. |
sgcCrypto_Poly1305 | Symétrique | MAC Poly1305, AEAD ChaCha20-Poly1305 et XChaCha20-Poly1305. |
sgcCrypto_SHA2 | Hachage et KDF | SHA-1, SHA-224, SHA-256, SHA-384, SHA-512. |
sgcCrypto_Keccak | Hachage et KDF | SHA-3, SHAKE128/256, cSHAKE, KMAC. |
sgcCrypto_Blake2b | Hachage et KDF | BLAKE2b, avec ou sans clé. |
sgcCrypto_Blake2s | Hachage et KDF | BLAKE2s, avec ou sans clé. |
sgcCrypto_HMAC | Hachage et KDF | HMAC-SHA1/256/384/512. |
sgcCrypto_KDF | Hachage et KDF | PBKDF2, KDF1, KDF2 et X9.63, hachage sélectionnable. |
sgcCrypto_HKDF | Hachage et KDF | HKDF extract-and-expand. |
sgcCrypto_Scrypt | Hachage et KDF | KDF memory-hard scrypt. |
sgcCrypto_Argon2 | Hachage et KDF | Argon2d, Argon2i, Argon2id. |
sgcCrypto_SipHash | Hachage et KDF | Hachage à clé SipHash-2-4. |
sgcCrypto_TLSH | Hachage et KDF | Hachage flou TLSH et diff de similarité. |
sgcCrypto_Ed25519 | Signatures et échange de clés | Ed25519 signer / vérifier. |
sgcCrypto_X25519 | Signatures et échange de clés | Diffie-Hellman X25519. |
sgcCrypto_Ed448 | Signatures et échange de clés | Ed448 signer / vérifier. |
sgcCrypto_X448 | Signatures et échange de clés | Diffie-Hellman X448. |
sgcCrypto_GF448 | Signatures et échange de clés | Arithmétique interne du corps GF(2^448-2^224-1) pour Ed448/X448. |
sgcCrypto_ECCurves | Signatures et échange de clés | ECDSA / ECDH sur secp256k1, Brainpool P256r1/P384r1/P512r1 et NIST P-256/P-384/P-521, signatures DER, export/import de clés, et Schnorr BIP-340. |
sgcCrypto_EC | Signatures et échange de clés | Signature/vérification EC générique en JWS (ES256/384/512), ECDH. |
sgcCrypto_RSA | Signatures et échange de clés | Signature RSA PKCS#1 v1.5, vérification PKCS#1 v1.5 / PSS, depuis PEM ou brut. |
sgcCrypto_RSA_Keys | Signatures et échange de clés | Génération de clés RSA, OAEP (avec hachage MGF1 indépendant), PSS, signature/vérification/chiffrement/déchiffrement PKCS#1 v1.5, export et import DER/PEM PKCS#1 et PKCS#8. |
sgcCrypto_ECIES | Signatures et échange de clés | Chiffrement hybride ECIES seal / open sur X25519. |
sgcCrypto_ASN1 | PKI | Lecteur DER, codec PEM, analyse de clés PKCS#1/SEC 1. |
sgcCrypto_DER | PKI | Primitives d'écriture DER. |
sgcCrypto_BigInteger | PKI | Arithmétique interne en précision arbitraire. |
sgcCrypto_X509 | PKI | X.509 analyse, vérification, chaîne, CRL, révocation. |
sgcCrypto_X509_Gen | PKI | Génération de certificat autosigné et de CSR PKCS#10, signés RSA ou EC, avec noms alternatifs du sujet de type URI. |
sgcCrypto_MLKEM | Post-quantique | Encapsulation de clé ML-KEM (FIPS 203), 3 jeux de paramètres. |
sgcCrypto_MLKEM_Poly | Post-quantique | Arithmétique interne de l'anneau de polynômes derrière ML-KEM. |
sgcCrypto_MLKEM_Hybrid | Post-quantique | Encapsulation de clé hybride X25519 + ML-KEM. |
sgcCrypto_MLDSA | Post-quantique | Signatures numériques ML-DSA (FIPS 204), 3 jeux de paramètres. |
sgcCrypto_MLDSA_Poly | Post-quantique | Arithmétique interne de l'anneau de polynômes derrière ML-DSA. |
sgcCrypto_SLHDSA | Post-quantique | Signatures SLH-DSA (FIPS 205), 6 jeux de paramètres SHAKE. |
sgcCrypto_OTP | OTP et divers | HOTP, TOTP, fenêtre de vérification en temps constant. |
sgcCrypto_Encoding | OTP et divers | Comparaison en temps constant, effacement sécurisé, hex/Base64url/Base32. |
sgcCrypto_Zip_AE2 | OTP et divers | Chiffrement WinZip AES pour entrées ZIP, AE-1 / AE-2. |
sgcCrypto_Legacy | OTP et divers | MD4, MD5, HMAC-MD5, DES-ECB, RIPEMD-160 et HMAC-RIPEMD160, pour interopérabilité uniquement. |
sgcCrypto_Random | OTP et divers | CSPRNG multiplateforme. |
sgcCrypto_Int64 | OTP et divers | Émulation interne d'entier 64 bits pour Delphi 7. |
AES dans les modes que le code de production utilise réellement, plus la famille AEAD ChaCha20/Poly1305.
| Capacité | Fonction | Notes |
|---|---|---|
| AES-CBC | sgcAES_CBC_Encrypt / sgcAES_CBC_Decrypt | Padding PKCS#7, IV de 16 octets. La longueur de clé sélectionne le chiffrement : 16/24/32 octets = AES-128/192/256. |
| AES-CBC, sans remplissage | sgcAES_CBC_Encrypt_NoPad / sgcAES_CBC_Decrypt_NoPad | Le mode que Java écrit AES/CBC/NoPadding. L'entrée doit déjà être un multiple de 16 octets ; une entrée non alignée lève une exception plutôt que d'être remplie silencieusement en quelque chose que l'autre partie ne peut pas lire. |
| AES-GCM (AEAD) | sgcAES_GCM_Encrypt / sgcAES_GCM_Decrypt | IV de 12 octets recommandé. Tag de 16 octets, comparé en temps constant ; le déchiffrement renvoie False et un texte clair vide sur un tag invalide. |
| AES-CCM (AEAD) | sgcAES_CCM_Encrypt / sgcAES_CCM_Decrypt | L'AEAD que spécifient les piles contraintes et l'IoT, Zigbee, 802.15.4, Bluetooth et les suites TLS CCM, car il ne nécessite que le chiffrement par bloc et aucune table GHASH. Nonce de 7 à 13 octets, tag de 4 à 16 octets, vérifié en temps constant. |
| AES-CTR | sgcAES_CTR | AES-CM façon SRTP (RFC 3711). Appel symétrique, sans padding, compteur big-endian de 128 bits. |
| AES-ECB | sgcAES_ECB_Encrypt / sgcAES_ECB_Decrypt | Aucun IV, aucun chaînage. Inclus pour l'interopérabilité avec les formats qui l'exigent. |
| Schémas de remplissage | sgcPad_Add / sgcPad_Remove, sgcAES_CBC_EncryptPad / DecryptPad, sgcAES_ECB_EncryptPad / DecryptPad | TsgcPadding couvre None, PKCS#7, Zero, ANSI X9.23, ISO 7816-4, ISO 10126-2 et TBC, si bien que CBC et ECB peuvent lire et écrire des données provenant d'un système qui n'a pas choisi PKCS#7. sgcPad_Remove renvoie False en empruntant le même chemin pour chaque type de remplissage invalide. |
| AES-OFB / AES-CFB | sgcAES_OFB, sgcAES_CFB_Encrypt / sgcAES_CFB_Decrypt | Modes à rétroaction façon chiffrement de flux. |
| AES-CTS | sgcAES_CTS_Encrypt / sgcAES_CTS_Decrypt | Ciphertext stealing : chiffre des données dont la taille n'est pas un multiple de la taille de bloc sans surcoût de padding. |
| AES Key Wrap | sgcAES_KeyWrap / sgcAES_KeyUnwrap | RFC 3394, pour envelopper une clé sous une autre. |
| AES Key Wrap with Padding | sgcAES_KeyWrapPad / sgcAES_KeyUnwrapPad | RFC 5649, pour du matériel de clé qui n'est pas un multiple de 8 octets. |
| AES-CMAC | sgcAES_CMAC / sgcAES_CMAC_Verify | Code d'authentification de message RFC 4493. |
| AES-GMAC | sgcAES_GMAC / sgcAES_GMAC_Verify | Le mode authentification seule de GCM : le message entier voyage en donnée additionnelle, rien n'est chiffré. L'IV ne doit jamais se répéter sous une même clé, et le tag de 16 octets est comparé en temps constant. |
| Primitives de bloc bas niveau | sgcAES_ExpandKey, sgcAES_EncryptBlock, sgcAES_DecryptBlock | Exposées pour les unités de mode et de MAC ci-dessus ; appelle-les directement uniquement pour construire un mode non déjà fourni. |
| ChaCha20 | sgcChaCha20 | RFC 8439, nonce 96 bits, compteur 32 bits. |
| XChaCha20 | sgcXChaCha20 | Nonce étendu 192 bits, sûr pour une génération de nonce aléatoire à grande échelle. |
| Salsa20 / XSalsa20 | sgcSalsa20 / sgcXSalsa20 | La famille de chiffrement de flux prédécesseur, les deux tailles de nonce. |
| Dérivation de sous-clé | sgcHChaCha20 / sgcHSalsa20 | Ce que les variantes X utilisent en interne pour dériver une sous-clé à partir des 16 premiers octets du nonce. |
| MAC Poly1305 | sgcPoly1305 / sgcPoly1305_Verify | Authentificateur à usage unique, RFC 8439. Ne jamais réutiliser une clé Poly1305. |
| AEAD ChaCha20-Poly1305 | sgcChaCha20Poly1305_Encrypt / _Decrypt | Le chiffrement AEAD derrière la deuxième suite de chiffrement de TLS 1.3 et SSH. |
| AEAD XChaCha20-Poly1305 | sgcXChaCha20Poly1305_Encrypt / _Decrypt | Même AEAD, nonce 192 bits, la construction que libsodium nomme crypto_aead_xchacha20poly1305_ietf. |
Chaque famille de hachage courante, plus PBKDF2, HKDF, scrypt et les trois variantes d'Argon2.
| Capacité | Fonction | Notes |
|---|---|---|
| SHA-1 / SHA-2 | sgcSHA1, sgcSHA224, sgcSHA256, sgcSHA384, sgcSHA512 | FIPS 180-4. SHA-1 est conservé pour l'interopérabilité, non recommandé pour de nouvelles signatures. |
| SHA-3 | sgcSHA3_224 / _256 / _384 / _512 | FIPS 202, l'éponge Keccak, structurellement indépendante de SHA-2. |
| SHAKE128 / SHAKE256 | sgcSHAKE128 / sgcSHAKE256 | Fonctions à sortie extensible : demande n'importe quelle longueur de condensé. |
| cSHAKE128 / cSHAKE256 | sgcCSHAKE128 / sgcCSHAKE256 | SHAKE à séparation de domaine, NIST SP 800-185, la base de KMAC. |
| KMAC128 / KMAC256 | sgcKMAC128 / sgcKMAC256 | MAC basé sur Keccak avec une longueur de sortie variable. |
| BLAKE2b | sgcBlake2b / sgcBlake2b_Keyed | RFC 7693, condensés jusqu'à 64 octets, mise en clé intégrée (aucun HMAC séparé nécessaire). |
| BLAKE2s | sgcBlake2s / sgcBlake2s_Keyed | RFC 7693, condensés jusqu'à 32 octets, optimisé pour les plateformes 32 bits. |
| Condensés en flux | sgcBlake2b_Init/_Update/_Final, appels équivalents sur Keccak/Blake2s | Pour hacher des données trop volumineuses pour tenir en mémoire en une fois. |
| HMAC | sgcHMAC_SHA1 / _SHA256 / _SHA384 / _SHA512 | RFC 2104 hachage à clé sur la famille SHA-1/2. |
| RIPEMD-160 / HMAC-RIPEMD160 | sgcRIPEMD160, sgcHMAC_RIPEMD160 | ISO/IEC 10118-3 et RFC 2286. Le condensé de 160 bits que les adresses Bitcoin superposent à SHA-256, et celui que nomme OpenPGP. |
| PBKDF2 | sgcPBKDF2, sgcPBKDF2_SHA1 / _SHA256 / _SHA512 | RFC 8018. Seulement modérément memory-hard ; préfère Argon2id ou scrypt quand tu peux choisir. |
| HKDF | sgcHKDF_Extract_SHA256 / _SHA384, sgcHKDF_Expand_SHA256 / _SHA384, sgcHKDF_SHA256 / _SHA384 | RFC 5869, dérivation de clé extract-then-expand, la manière standard de transformer un secret partagé en plusieurs clés. |
| KDF1 / KDF2 / X9.63 | sgcKDF1, sgcKDF2, sgcKDF_X963 | Les dérivations en mode compteur que définissent ISO 18033-2, IEEE 1363a et ANSI X9.63, celles que nomment RSA-KEM et ECIES. KDF1 compte à partir de 0 et KDF2 à partir de 1, une différence qui a causé de réels bugs d'interopérabilité, vérifie donc laquelle ta spécification désigne. |
| scrypt | sgcScrypt | RFC 7914, memory-hard, résiste bien mieux aux attaques GPU/ASIC que PBKDF2. |
| Argon2 | sgcArgon2 (d / i / id), wrapper de confort sgcArgon2id | RFC 9106, la gagnante de la Password Hashing Competition. Interface complète avec secret optionnel (pepper) et données associées. |
| SipHash-2-4 | sgcSipHash24 / sgcSipHash24_Value | PRF à clé rapide pour les clés de table de hachage, résiste au déni de service par inondation de hachage. |
| Hachage flou TLSH | sgcTLSH, sgcTLSH_Init/_Update/_Final | Hachage sensible à la localité pour la détection de quasi-doublons, pas un condensé cryptographique. |
| Score de similarité TLSH | sgcTLSH_Diff | Distance entre deux condensés TLSH ; plus bas signifie plus similaire. |
Signe, vérifie et dérive des secrets partagés sur cinq familles de courbes distinctes plus RSA.
| Capacité | Fonction | Notes |
|---|---|---|
| Ed25519 signer / vérifier | sgcEd25519_Sign / sgcEd25519_Verify | RFC 8032. Clé publique de 32 octets, signature de 64 octets. La vérification rejette les points non canoniques et S >= L selon la section 5.1.7. |
| Échange de clés X25519 | sgcX25519, sgcX25519_PublicKey, sgcX25519_SharedSecret | Diffie-Hellman RFC 7748 sur Curve25519. |
| Ed448 signer / vérifier | sgcEd448_GenerateKeyPair, sgcEd448_Sign, sgcEd448_Verify | RFC 8032, la courbe EdDSA 448 bits (Goldilocks). |
| Échange de clés X448 | sgcX448, sgcX448_PublicKey, sgcX448_SharedSecret | Diffie-Hellman RFC 7748 sur Curve448. |
| secp256k1 | sgcECDSA_SignHash / VerifyHash avec eccSecp256k1 | La courbe Bitcoin/Ethereum, SEC 2, dans sgcCrypto_ECCurves. |
| Brainpool P256r1 / P384r1 / P512r1 | mêmes fonctions avec eccBrainpoolP256r1 / P384r1 / P512r1 | RFC 5639, courante dans eIDAS UE et les profils gouvernementaux. |
| NIST P-256 / P-384 / P-521 | mêmes fonctions avec eccP256 / eccP384 / eccP521 | TsgcECCurve nomme désormais sept courbes, si bien que la génération de clé, la signature, la vérification, l'ECDH et la compression de point atteignent toutes les courbes premières NIST à partir d'octets de clé bruts, pas seulement depuis un fichier PEM. |
| Nonce ECDSA déterministe | intégré dans sgcECDSA_SignHash | RFC 6979 : le nonce est dérivé de la clé privée et du message, aucun mode d'échec du générateur aléatoire. |
| ECDH (secp256k1 / Brainpool) | sgcECDH_SharedSecret | Secret partagé sur les quatre mêmes courbes. |
| Compression de point | sgcEC_Compress / sgcEC_Decompress | Stocke ou transmet la forme compressée, plus courte, de la clé publique. |
| EC en JWS (ES256/384/512) | sgcECDSA_SignJWS / sgcECDSA_VerifyJWS | Courbe sélectionnée automatiquement selon la longueur de bit demandée, signature/vérification directement depuis une clé PEM, variante orientée JOSE de ECCurves. |
| ECDH générique | sgcECDH | Secret partagé à partir d'une clé privée brute et du point public du pair. |
| Vérification ECDSA brute / DER | sgcECDSA_VerifyRaw / sgcECDSA_VerifyDER | Vérifie contre un tuple brut (Qx, Qy, r, s) ou une signature encodée en DER. |
| Signature ECDSA DER et conversion | sgcECDSA_SignDER / sgcECDSA_VerifyDER, sgcECDSA_RawToDER / sgcECDSA_DERToRaw | X.509, CMS et TLS transportent l'ECDSA-Sig-Value au format DER, une SEQUENCE d'un INTEGER r suivi d'un INTEGER s. JOSE et WebAuthn transportent à la place la paire brute R || S. Signe directement dans l'une ou l'autre forme, ou convertis une signature existante entre les deux. |
| Signatures Schnorr (BIP-340) | sgcSchnorr_PublicKey, sgcSchnorr_Sign, sgcSchnorr_Verify | secp256k1 uniquement, avec des clés publiques x-only de 32 octets et des signatures de 64 octets : ce qu'utilisent Taproot, Nostr et Lightning. sgcSchnorr_TaggedHash est exposée pour que les tags BIP-341 et BIP-342 puissent être construits sur la même base. |
| Signature RSA (PKCS#1 v1.5) | sgcRSA_SignPKCS1 | Depuis une clé privée PEM, condensé SHA-1/256/384/512. |
| Vérification RSA (PKCS#1 v1.5 / PSS) | sgcRSA_VerifyPKCS1, sgcRSA_VerifyPSS, et variantes _Raw sur un module/exposant | RFC 8017. La vérification fonctionne depuis une clé PEM ou un module et exposant bruts, sans construction d'objet clé. |
| Génération de clé RSA | sgcRSA_GenerateKey | N'importe quelle longueur de bit demandée, test de primalité de Miller-Rabin. |
| Chiffrement RSA-OAEP | sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Padding de chiffrement asymétrique optimal RFC 8017. |
| RSA-OAEP avec un hachage MGF1 indépendant | les surcharges à cinq paramètres de sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Fixe le hachage du label et le hachage MGF1 séparément. OAEPWithSHA256AndMGF1Padding signifie SHA-256 pour les deux dans Bouncy Castle, mais SHA-256 avec MGF1-SHA1 dans SunJCE, et cette discordance est la cause habituelle des échecs d'interopérabilité avec Java. |
| Chiffrement RSA PKCS#1 v1.5 | sgcRSA_PKCS1_Encrypt / sgcRSA_PKCS1_Decrypt | RFC 8017 section 7.2, le mode que Java nomme RSA/ECB/PKCS1Padding. Le déchiffrement emprunte le même chemin pour chaque échec, ce qui ne donne rien à exploiter à un oracle de remplissage. Préfère OAEP pour tout ce qui est nouveau. |
| Signature RSA-PSS / PKCS#1 | sgcRSA_PSS_Sign / Verify, sgcRSA_PKCS1_Sign / Verify | Signe directement depuis une TsgcRSAPrivateKey générée. |
| Export de clé RSA | sgcRSA_ExportPrivateKeyPEM, sgcRSA_ExportPublicKeyPEM, appels DER équivalents | Encodages PKCS#1 et SubjectPublicKeyInfo. |
| Export de clé PKCS#8 et SEC 1 | sgcRSA_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeySEC1DER / SEC1PEM, sgcEC_ExportSubjectPublicKeyInfo, sgcEC_ExportPublicKeyPEM | Le conteneur BEGIN PRIVATE KEY qu'attendent Java, .NET et la plupart des outils modernes, ainsi que la forme SEC 1 BEGIN EC PRIVATE KEY et le SubjectPublicKeyInfo qu'intègre un certificat. Non chiffré, ce qui revient donc n'est que du matériel de clé nu. |
| Import de clé RSA et EC | sgcRSA_ImportPrivateKeyDER / PEM, sgcRSA_ImportPublicKeyDER / PEM, sgcEC_ImportPrivateKeyDER / PEM, sgcEC_ImportPublicKeyDER / PEM | Cela n'existait pas auparavant : une clé générée pouvait être écrite mais jamais relue. L'import accepte PKCS#1, PKCS#8, SEC 1 et SubjectPublicKeyInfo, en DER ou en PEM, recalcule les paramètres CRT ou le point public quand le fichier les omet, et renvoie False sur une entrée malformée plutôt que de lever une exception, si bien que des fichiers non fiables peuvent lui être confiés sans risque. |
| ECIES seal / open | sgcECIES_GenerateKeyPair, sgcECIES_Seal, sgcECIES_Open | Chiffrement hybride vers une clé publique X25519 : ECDH éphémère plus un AEAD, un appel dans chaque sens. |
Lis un certificat émis par quelqu'un d'autre, ou génère le tien, avec un encodeur et un décodeur DER en dessous des deux.
| Capacité | Fonction | Notes |
|---|---|---|
| Lecteur DER | sgcASN1_Read, sgcASN1_Next, sgcASN1_Content | Parcourt une structure DER nœud par nœud. |
| Codec PEM | sgcPEM_Decode / sgcPEM_Encode | RFC 7468, l'enveloppe -----BEGIN ... -----END autour du DER. |
| Analyse de clé RSA | sgcASN1_ParseRSAPrivateKey / PublicKey | Structures de clé PKCS#1 (RFC 8017). |
| Analyse de clé EC | sgcASN1_ParseECPrivateKey / PublicKey | Structures de clé SEC 1. |
| Écriture DER, structurelle | sgcDER_Sequence, sgcDER_Set, sgcDER_Tagged, sgcDER_ContextExplicit / Implicit | Les briques de base à partir desquelles chaque champ de certificat est assemblé. |
| Écriture DER, valeurs | sgcDER_Integer, sgcDER_OctetString, sgcDER_BitString, sgcDER_Boolean, sgcDER_Null | Encodeurs de valeurs primitives. |
| Écriture DER, chaînes et identifiants | sgcDER_OID, sgcDER_UTF8String, sgcDER_PrintableString, sgcDER_IA5String, sgcDER_Time | Identifiants d'objet, les trois types de chaîne qu'utilise X.509, et UTCTime/GeneralizedTime. |
| Analyse de certificat | sgcX509_Parse | Structure complète du certificat : sujet, émetteur, validité, clé publique, extensions. |
| Vérification de signature / chaîne | sgcX509_VerifySignedBy, sgcX509_VerifyChain | Vérifie un certificat contre un émetteur, ou parcourt et vérifie un tableau de certificats DER. |
| Analyse de CRL et révocation | sgcX509_CRL_Parse, sgcX509_IsRevoked, sgcX509_CRL_VerifySignedBy | Analyse une liste de révocation de certificats et vérifie un numéro de série contre elle. |
| Formatage de nom | sgcX509_SubjectRFC2253, sgcX509_IssuerRFC2253, sgcX509_SubjectOneLine | Chaînes de nom distinctif RFC 2253, pour la journalisation et l'affichage. |
| Extensions et SAN | sgcX509_GetExtension, sgcX509_GetCRLDistributionURIs | Lit des OID d'extension arbitraires et des URI de point de distribution CRL. |
| Génération de certificat autosigné | sgcX509_CreateSelfSigned | TsgcX509Options complet : nom distinctif du sujet, fenêtre de validité, numéro de série, indicateur d'AC avec contrainte de longueur de chemin, usage de clé, usage étendu de clé, noms alternatifs du sujet (y compris les SAN IPv4). |
| Noms alternatifs du sujet de type URI | TsgcX509Options.URIs | SAN uniformResourceIdentifier, pour une identité de service de type SPIFFE plutôt qu'un nom d'hôte. La valeur est écrite telle quelle sous forme de contenu IA5String, passe donc une URI complète. |
| Génération de CSR PKCS#10 | sgcX509_CreateCSR | Requête de signature de certificat RFC 2986 depuis le même enregistrement d'options. |
| Certificats et CSR signés EC | sgcX509_CreateSelfSignedEx, sgcX509_CreateCSREx, sgcX509_ECKey, sgcX509_RSAKey | Signe avec une clé EC aussi bien qu'avec RSA en enveloppant l'une ou l'autre dans un TsgcX509SignKey. Un certificat EC fait environ un tiers de la taille d'un certificat RSA et se vérifie bien plus vite. TsgcX509Options.Hash ne nomme toujours que le SHA, l'algorithme suit la clé, si bien que rhSHA256 avec une clé EC signifie ecdsa-with-SHA256. |
| Sortie PEM | sgcX509_ToPEM | Enveloppe le DER généré comme un fichier PEM prêt à être sauvegardé. |
Les trois algorithmes que le NIST a finalisés en août 2024 sous les noms FIPS 203, 204 et 205, plus un combinateur hybride pour la période de migration.
| Capacité | Fonction | Notes |
|---|---|---|
| Génération de clé ML-KEM | sgcMLKEM_GenerateKeyPair, sgcMLKEM_GenerateKeyPairFromSeed | FIPS 203, anciennement Kyber. Trois jeux de paramètres : mlkem512, mlkem768, mlkem1024. |
| Encapsulation ML-KEM | sgcMLKEM_Encapsulate, sgcMLKEM_EncapsulateWithSeed | Produit un nouveau secret partagé de 32 octets et le texte chiffré qui le transporte. |
| Décapsulation ML-KEM | sgcMLKEM_Decapsulate | N'échoue jamais : un texte chiffré malformé produit un secret pseudo-aléatoire (rejet implicite) au lieu d'une erreur, si bien que le timing et le comportement d'erreur ne révèlent rien. |
| Tailles ML-KEM | sgcMLKEM_PublicKeySize, PrivateKeySize, CiphertextSize, SharedSecretSize | Longueurs en octets par jeu de paramètres, pour dimensionner les buffers. |
| Hybride X25519 + ML-KEM | sgcHybrid_GenerateKeyPair, sgcHybrid_Encapsulate, sgcHybrid_Decapsulate | Combine un secret partagé classique et un secret partagé post-quantique via un KDF, si bien que le résultat n'est jamais plus faible que X25519 seul. La manière recommandée de déployer ML-KEM aujourd'hui. |
| Génération de clé ML-DSA | sgcMLDSA_GenerateKeyPair, sgcMLDSA_GenerateKeyPairFromSeed | FIPS 204, anciennement Dilithium. Trois jeux de paramètres : mldsa44, mldsa65, mldsa87. |
| Signature / vérification ML-DSA | sgcMLDSA_Sign / sgcMLDSA_Verify | Signature déterministe ou aléatoire selon l'interface FIPS 204, plus une chaîne de contexte. |
| Tailles ML-DSA | sgcMLDSA_PublicKeySize, PrivateKeySize, SignatureSize | Longueurs en octets par jeu de paramètres. |
| Génération de clé SLH-DSA | sgcSLHDSA_GenerateKeyPair, sgcSLHDSA_GenerateKeyPairFromSeed | FIPS 205, anciennement SPHINCS+. Signatures sans état basées sur le hachage : la sécurité repose uniquement sur la fonction de hachage, pas sur une hypothèse de réseau ou de courbe. |
| Signature / vérification SLH-DSA | sgcSLHDSA_Sign / sgcSLHDSA_Verify | Six jeux de paramètres SHAKE : slhShake128s, slhShake128f, slhShake192s, slhShake192f, slhShake256s, slhShake256f. Les jeux s favorisent des signatures petites, les jeux f favorisent une signature rapide. |
| Tailles et nommage SLH-DSA | sgcSLHDSA_PublicKeySize, PrivateKeySize, SignatureSize, sgcSLHDSA_ParamsName | Les signatures SLH-DSA sont volumineuses (7,8 Ko à 49 Ko selon le jeu) ; dimensionne le buffer avant de signer. |
sgcCrypto ne revendique ni ed25519187 ni SPECK. ed25519187 n'a aucune spécification publiée, et SPECK a été retiré de la normalisation ISO en 2018 ; aucun des deux n'est implémenté ici.
La couche utilitaire : codes à usage unique, les encodages sur lesquels s'appuie chaque autre famille, et le chiffrement WinZip AES.
| Capacité | Fonction | Notes |
|---|---|---|
| HOTP | sgcHOTP | RFC 4226, mot de passe à usage unique basé sur un compteur. |
| TOTP | sgcTOTP, sgcTOTP_FromBase32 | RFC 6238, mot de passe à usage unique basé sur le temps ; la variante Base32 accepte le secret exactement tel qu'une application d'authentification l'affiche. |
| Vérification TOTP | sgcTOTP_Verify | Vérifie un code soumis sur une fenêtre d'intervalles en temps constant, si bien que ni le résultat ni sa position ne fuient par le timing. Ne bloque pas elle-même le rejeu ; l'appelant suit les codes déjà utilisés. |
| Comparaison en temps constant | sgcConstantTimeEquals | Utilisée dans toute la bibliothèque pour les comparaisons de tag et de MAC. |
| Effacement sécurisé | sgcSecureZero | Écrase un buffer d'octets pour que le matériel de clé ne persiste pas en mémoire. |
| Hex | sgcHexEncode / sgcHexDecode | Hex en minuscules, décodage insensible à la casse. |
| Base64url | sgcBase64UrlEncode / sgcBase64UrlDecode | RFC 4648 section 5, non paddé, l'encodage qu'utilisent JWT et JOSE. |
| Base32 | sgcBase32Encode / sgcBase32Decode | RFC 4648 section 6, l'encodage qu'utilisent les secrets TOTP et les applications d'authentification. |
| Dérivation de clé WinZip AES | sgcZipAE2_DeriveKeys | Clé, clé d'authentification et vérificateur de mot de passe basés sur PBKDF2, à partir d'un mot de passe et d'un sel. |
| Chiffrement / déchiffrement WinZip AES | sgcZipAE2_Encrypt / sgcZipAE2_Decrypt | AE-1 et AE-2, AES-128/192/256, dimensionnement du sel par entrée via TsgcZipAESStrength. |
| Empaquetage d'entrée WinZip | sgcZipAE2_PackEntry / sgcZipAE2_UnpackEntry | Combine sel, vérificateur, texte chiffré et code d'authentification dans la disposition sur disque. |
| Champ extra WinZip | sgcZipAE2_BuildExtraField / sgcZipAE2_ParseExtraField | Le champ extra 0x9901 qui marque une entrée ZIP comme chiffrée AES. |
| Hachages hérités (interop uniquement) | sgcMD4, sgcMD5, sgcHMAC_MD5 | Conservés pour lire d'anciens formats et protocoles ; à ne pas utiliser dans une nouvelle conception. |
| Chiffrement hérité (interop uniquement) | sgcDES_EncryptECB / sgcDES_DecryptECB, sgcDES_NTLM7to8 | DES-ECB et l'étape d'expansion de clé NTLM basée sur DES, tous deux retirés (FIPS 46-3), conservés pour l'interopérabilité héritée. |
| Octets aléatoires sécurisés | sgcRandomBytes / sgcRandomFill | Windows CryptoAPI sous MSWINDOWS, /dev/urandom ailleurs, un seul appel dans les deux cas. |
Ce qui est pris en charge, formulé avec précision.
| Domaine | Détail |
|---|---|
| Système d'exploitation | Aucune garde MSWINDOWS, ni aucune autre garde de plateforme, n'entoure SGC_CRYPTO dans sgcVer.inc. Les 43 unités compilent pour Win32, Win64, Linux64, macOS, iOS et Android. |
| Source aléatoire | La seule unité sensible à la plateforme, sgcCrypto_Random, sélectionne un CSPRNG par cible : la CryptoAPI Windows sous MSWINDOWS, /dev/urandom sur les cibles POSIX, derrière le même appel sgcRandomBytes. |
| Delphi | Delphi 7 à RAD Studio 13 Florence. Aucun type entier 64 bits natif n'est supposé nulle part : sgcCrypto_Int64 et le type TsgcBigInt dans sgcCrypto_BigInteger émulent l'arithmétique dont ont besoin les hachages, les courbes et les unités post-quantiques. |
| C++ Builder | C++ Builder via les en-têtes générés, la même arborescence source. |
| Empreinte à la conception | Aucune. Il n'y a pas de sgcCrypto_Reg.pas, rien n'est enregistré via RegisterComponents, et aucune unité n'apparaît sur une page de la palette de composants. |
| Dépendances | Aucun binding OpenSSL, aucune DLL externe. Chaque primitive est implémentée directement en Object Pascal dans l'unité que tu référence. |
| Code source | Code source Object Pascal complet dans chaque niveau payant, et dans les packages d'édition qui incluent déjà sgcCrypto. |
| Redistribution | Les binaires que tu construis sont libres de royalties, sans frais d'exécution par poste ni par serveur. |