Tout ce que fait sgcCrypto, réparti sur les 43 unités présentes sur disque. Il n'y a ici ni composants ni propriétés à la conception : chaque ligne ci-dessous est une fonction ou une procédure que tu appelles directement. Le code source complet est livré avec chaque licence. Les ancres ci-dessous t'amènent aux six familles de fonctionnalités dans lesquelles se répartissent les unités, ainsi qu'au moteur TLS 1.3 et TLS 1.2 que le même pack bâtit par-dessus.
sgcCrypto n'a aucun composant. Les 43 unités ci-dessous exportent de simples fonctions, il n'y a aucune classe Tsgc* et aucun sgcCrypto_Reg.pas. Ajoute une unité à ton uses et appelle la fonction.
Déjà inclus. sgcCrypto est livré gratuitement à l'intérieur de sgcWebSockets Standard, Professional et Enterprise, ainsi que dans All-Access. Il est aussi vendu en autonome (avec le runtime sgcWebSockets Core inclus) pour les clients qui ne possèdent que Core. Voir Tarifs.
AES, CCM, ChaCha20, Poly1305, 5 unités
SHA-2/3, BLAKE2, Argon2, 11 unités
Ed25519, X25519, Schnorr, RSA, 10 unités
X.509, ASN.1, CSR RSA et EC, 5 unités
ML-KEM, ML-DSA, SLH-DSA, 6 unités
HOTP/TOTP, encodage, ZIP AES, 6 unités
iohNativeTLS, X25519MLKEM768, Pascal pur
Chaque unité sgcCrypto_*.pas sous sgcWebSockets/delphi/Source/, regroupée par famille.
| Unité | Famille | Ce qu'elle fait |
|---|---|---|
sgcCrypto_AES | Symétrique | AES-CBC, AES-GCM (AEAD), AES-CTR. |
sgcCrypto_Modes | Symétrique | AES-ECB, OFB, CFB, CTS, CCM (AEAD), Key Wrap / Key Wrap with Padding, et les sept schémas de remplissage. |
sgcCrypto_CMAC | Symétrique | Authentification de message AES-CMAC et AES-GMAC. |
sgcCrypto_ChaCha | Symétrique | ChaCha20, XChaCha20, Salsa20, XSalsa20. |
sgcCrypto_Poly1305 | Symétrique | MAC Poly1305, AEAD ChaCha20-Poly1305 et XChaCha20-Poly1305. |
sgcCrypto_SHA2 | Hachage et KDF | SHA-1, SHA-224, SHA-256, SHA-384, SHA-512. |
sgcCrypto_Keccak | Hachage et KDF | SHA-3, SHAKE128/256, cSHAKE, KMAC. |
sgcCrypto_Blake2b | Hachage et KDF | BLAKE2b, avec ou sans clé. |
sgcCrypto_Blake2s | Hachage et KDF | BLAKE2s, avec ou sans clé. |
sgcCrypto_HMAC | Hachage et KDF | HMAC-SHA1/256/384/512. |
sgcCrypto_KDF | Hachage et KDF | PBKDF2, KDF1, KDF2 et X9.63, hachage sélectionnable. |
sgcCrypto_HKDF | Hachage et KDF | HKDF extract-and-expand. |
sgcCrypto_Scrypt | Hachage et KDF | KDF memory-hard scrypt. |
sgcCrypto_Argon2 | Hachage et KDF | Argon2d, Argon2i, Argon2id. |
sgcCrypto_SipHash | Hachage et KDF | Hachage à clé SipHash-2-4. |
sgcCrypto_TLSH | Hachage et KDF | Hachage flou TLSH et diff de similarité. |
sgcCrypto_Ed25519 | Signatures et échange de clés | Ed25519 signer / vérifier. |
sgcCrypto_X25519 | Signatures et échange de clés | Diffie-Hellman X25519. |
sgcCrypto_Ed448 | Signatures et échange de clés | Ed448 signer / vérifier. |
sgcCrypto_X448 | Signatures et échange de clés | Diffie-Hellman X448. |
sgcCrypto_GF448 | Signatures et échange de clés | Arithmétique interne du corps GF(2^448-2^224-1) pour Ed448/X448. |
sgcCrypto_ECCurves | Signatures et échange de clés | ECDSA / ECDH sur secp256k1, Brainpool P256r1/P384r1/P512r1 et NIST P-256/P-384/P-521, signatures DER, export/import de clés, et Schnorr BIP-340. |
sgcCrypto_EC | Signatures et échange de clés | Signature/vérification EC générique en JWS (ES256/384/512), ECDH. |
sgcCrypto_RSA | Signatures et échange de clés | Signature RSA PKCS#1 v1.5, vérification PKCS#1 v1.5 / PSS, depuis PEM ou brut. |
sgcCrypto_RSA_Keys | Signatures et échange de clés | Génération de clés RSA, OAEP (avec hachage MGF1 indépendant), PSS, signature/vérification/chiffrement/déchiffrement PKCS#1 v1.5, export et import DER/PEM PKCS#1 et PKCS#8. |
sgcCrypto_ECIES | Signatures et échange de clés | Chiffrement hybride ECIES seal / open sur X25519. |
sgcCrypto_ASN1 | PKI | Lecteur DER, codec PEM, analyse de clés PKCS#1/SEC 1. |
sgcCrypto_DER | PKI | Primitives d'écriture DER. |
sgcCrypto_BigInteger | PKI | Arithmétique interne en précision arbitraire. |
sgcCrypto_X509 | PKI | X.509 analyse, vérification, chaîne avec pathLenConstraint et nameConstraints, vérification de CSR, CRL, révocation. Lit les clés publiques RSA, EC, Ed25519, ML-DSA, SLH-DSA et ML-KEM. |
sgcCrypto_X509_Gen | PKI | Génération de certificat autosigné, de certificat émis par une AC et de CSR PKCS#10, signés avec RSA, EC, ML-DSA ou SLH-DSA, avec noms alternatifs du sujet de type URI et IPv6, et nameConstraints. |
sgcCrypto_MLKEM | Post-quantique | Encapsulation de clé ML-KEM (FIPS 203), 3 jeux de paramètres, avec import et export de clés en SubjectPublicKeyInfo, PKCS#8 et PEM. |
sgcCrypto_MLKEM_Poly | Post-quantique | Arithmétique interne de l'anneau de polynômes derrière ML-KEM. |
sgcCrypto_MLKEM_Hybrid | Post-quantique | Encapsulation de clé hybride X25519 + ML-KEM, X-Wing, et les parts de clé hybrides TLS 1.3 de la RFC 10024. |
sgcCrypto_MLDSA | Post-quantique | Signatures numériques ML-DSA (FIPS 204), 3 jeux de paramètres, avec import et export de clés en SubjectPublicKeyInfo, PKCS#8 et PEM. |
sgcCrypto_MLDSA_Poly | Post-quantique | Arithmétique interne de l'anneau de polynômes derrière ML-DSA. |
sgcCrypto_SLHDSA | Post-quantique | Signatures SLH-DSA (FIPS 205), 6 jeux de paramètres SHAKE, avec import et export de clés en SubjectPublicKeyInfo, PKCS#8 et PEM. |
sgcCrypto_OTP | OTP et divers | HOTP, TOTP, fenêtre de vérification en temps constant. |
sgcCrypto_Encoding | OTP et divers | Comparaison en temps constant, effacement sécurisé, hex/Base64url/Base32. |
sgcCrypto_Zip_AE2 | OTP et divers | Chiffrement WinZip AES pour entrées ZIP, AE-1 / AE-2. |
sgcCrypto_Legacy | OTP et divers | MD4, MD5, HMAC-MD5, DES-ECB, RIPEMD-160 et HMAC-RIPEMD160, pour interopérabilité uniquement. |
sgcCrypto_Random | OTP et divers | CSPRNG multiplateforme. |
sgcCrypto_Int64 | OTP et divers | Émulation interne d'entier 64 bits pour Delphi 7. |
AES dans les modes que le code de production utilise réellement, plus la famille AEAD ChaCha20/Poly1305.
| Capacité | Fonction | Notes |
|---|---|---|
| AES-CBC | sgcAES_CBC_Encrypt / sgcAES_CBC_Decrypt | Padding PKCS#7, IV de 16 octets. La longueur de clé sélectionne le chiffrement : 16/24/32 octets = AES-128/192/256. |
| AES-CBC, sans remplissage | sgcAES_CBC_Encrypt_NoPad / sgcAES_CBC_Decrypt_NoPad | Le mode que Java écrit AES/CBC/NoPadding. L'entrée doit déjà être un multiple de 16 octets ; une entrée non alignée lève une exception plutôt que d'être remplie silencieusement en quelque chose que l'autre partie ne peut pas lire. |
| AES-GCM (AEAD) | sgcAES_GCM_Encrypt / sgcAES_GCM_Decrypt | IV de 12 octets recommandé. Tag de 16 octets, comparé en temps constant ; le déchiffrement renvoie False et un texte clair vide sur un tag invalide. |
| Noyau AES | sgcAES_GetCore / sgcAES_SetCore | aescConstantTime est la valeur par défaut, un noyau bitsliced qui n'indexe jamais la mémoire avec un octet secret et ne branche jamais sur un tel octet, ce qui ferme le canal de timing du cache sur la clé et sur le texte en clair. aescTable est le noyau classique à tables, qui fuit par le cache de données et s'est montré plus lent à chaque mesure, il n'est donc conservé que comme solution de repli. GHASH, qui authentifie GCM, multiplie sous un masque au lieu de brancher sur la clé. Définis le noyau une seule fois au démarrage, avant qu'un thread de travail ne s'exécute. |
| AES-CCM (AEAD) | sgcAES_CCM_Encrypt / sgcAES_CCM_Decrypt | L'AEAD que spécifient les piles contraintes et l'IoT, Zigbee, 802.15.4, Bluetooth et les suites TLS CCM, car il ne nécessite que le chiffrement par bloc et aucune table GHASH. Nonce de 7 à 13 octets, tag de 4 à 16 octets, vérifié en temps constant. |
| AES-CTR | sgcAES_CTR | AES-CM façon SRTP (RFC 3711). Appel symétrique, sans padding, compteur big-endian de 128 bits. |
| AES-ECB | sgcAES_ECB_Encrypt / sgcAES_ECB_Decrypt | Aucun IV, aucun chaînage. Inclus pour l'interopérabilité avec les formats qui l'exigent. |
| Schémas de remplissage | sgcPad_Add / sgcPad_Remove, sgcAES_CBC_EncryptPad / DecryptPad, sgcAES_ECB_EncryptPad / DecryptPad | TsgcPadding couvre None, PKCS#7, Zero, ANSI X9.23, ISO 7816-4, ISO 10126-2 et TBC, si bien que CBC et ECB peuvent lire et écrire des données provenant d'un système qui n'a pas choisi PKCS#7. sgcPad_Remove renvoie False en empruntant le même chemin pour chaque type de remplissage invalide. |
| AES-OFB / AES-CFB | sgcAES_OFB, sgcAES_CFB_Encrypt / sgcAES_CFB_Decrypt | Modes à rétroaction façon chiffrement de flux. |
| AES-CTS | sgcAES_CTS_Encrypt / sgcAES_CTS_Decrypt | Ciphertext stealing : chiffre des données dont la taille n'est pas un multiple de la taille de bloc sans surcoût de padding. |
| AES Key Wrap | sgcAES_KeyWrap / sgcAES_KeyUnwrap | RFC 3394, pour envelopper une clé sous une autre. |
| AES Key Wrap with Padding | sgcAES_KeyWrapPad / sgcAES_KeyUnwrapPad | RFC 5649, pour du matériel de clé qui n'est pas un multiple de 8 octets. |
| AES-CMAC | sgcAES_CMAC / sgcAES_CMAC_Verify | Code d'authentification de message RFC 4493. |
| AES-GMAC | sgcAES_GMAC / sgcAES_GMAC_Verify | Le mode authentification seule de GCM : le message entier voyage en donnée additionnelle, rien n'est chiffré. L'IV ne doit jamais se répéter sous une même clé, et le tag de 16 octets est comparé en temps constant. |
| Primitives de bloc bas niveau | sgcAES_ExpandKey, sgcAES_EncryptBlock, sgcAES_DecryptBlock | Exposées pour les unités de mode et de MAC ci-dessus ; appelle-les directement uniquement pour construire un mode non déjà fourni. |
| ChaCha20 | sgcChaCha20 | RFC 8439, nonce 96 bits, compteur 32 bits. |
| XChaCha20 | sgcXChaCha20 | Nonce étendu 192 bits, sûr pour une génération de nonce aléatoire à grande échelle. |
| Salsa20 / XSalsa20 | sgcSalsa20 / sgcXSalsa20 | La famille de chiffrement de flux prédécesseur, les deux tailles de nonce. |
| Dérivation de sous-clé | sgcHChaCha20 / sgcHSalsa20 | Ce que les variantes X utilisent en interne pour dériver une sous-clé à partir des 16 premiers octets du nonce. |
| MAC Poly1305 | sgcPoly1305 / sgcPoly1305_Verify | Authentificateur à usage unique, RFC 8439. Ne jamais réutiliser une clé Poly1305. |
| AEAD ChaCha20-Poly1305 | sgcChaCha20Poly1305_Encrypt / _Decrypt | Le chiffrement AEAD derrière la deuxième suite de chiffrement de TLS 1.3 et SSH. |
| AEAD XChaCha20-Poly1305 | sgcXChaCha20Poly1305_Encrypt / _Decrypt | Même AEAD, nonce 192 bits, la construction que libsodium nomme crypto_aead_xchacha20poly1305_ietf. |
Chaque famille de hachage courante, plus PBKDF2, HKDF, scrypt et les trois variantes d'Argon2.
| Capacité | Fonction | Notes |
|---|---|---|
| SHA-1 / SHA-2 | sgcSHA1, sgcSHA224, sgcSHA256, sgcSHA384, sgcSHA512 | FIPS 180-4. SHA-1 est conservé pour l'interopérabilité, non recommandé pour de nouvelles signatures. |
| SHA-3 | sgcSHA3_224 / _256 / _384 / _512 | FIPS 202, l'éponge Keccak, structurellement indépendante de SHA-2. |
| SHAKE128 / SHAKE256 | sgcSHAKE128 / sgcSHAKE256 | Fonctions à sortie extensible : demande n'importe quelle longueur de condensé. |
| cSHAKE128 / cSHAKE256 | sgcCSHAKE128 / sgcCSHAKE256 | SHAKE à séparation de domaine, NIST SP 800-185, la base de KMAC. |
| KMAC128 / KMAC256 | sgcKMAC128 / sgcKMAC256 | MAC basé sur Keccak avec une longueur de sortie variable. |
| BLAKE2b | sgcBlake2b / sgcBlake2b_Keyed | RFC 7693, condensés jusqu'à 64 octets, mise en clé intégrée (aucun HMAC séparé nécessaire). |
| BLAKE2s | sgcBlake2s / sgcBlake2s_Keyed | RFC 7693, condensés jusqu'à 32 octets, optimisé pour les plateformes 32 bits. |
| Condensés en flux | sgcBlake2b_Init/_Update/_Final, appels équivalents sur Keccak/Blake2s | Pour hacher des données trop volumineuses pour tenir en mémoire en une fois. |
| HMAC | sgcHMAC_SHA1 / _SHA256 / _SHA384 / _SHA512 | RFC 2104 hachage à clé sur la famille SHA-1/2. |
| RIPEMD-160 / HMAC-RIPEMD160 | sgcRIPEMD160, sgcHMAC_RIPEMD160 | ISO/IEC 10118-3 et RFC 2286. Le condensé de 160 bits que les adresses Bitcoin superposent à SHA-256, et celui que nomme OpenPGP. |
| PBKDF2 | sgcPBKDF2, sgcPBKDF2_SHA1 / _SHA256 / _SHA512 | RFC 8018. Seulement modérément memory-hard ; préfère Argon2id ou scrypt quand tu peux choisir. |
| HKDF | sgcHKDF_Extract_SHA256 / _SHA384, sgcHKDF_Expand_SHA256 / _SHA384, sgcHKDF_SHA256 / _SHA384 | RFC 5869, dérivation de clé extract-then-expand, la manière standard de transformer un secret partagé en plusieurs clés. |
| KDF1 / KDF2 / X9.63 | sgcKDF1, sgcKDF2, sgcKDF_X963 | Les dérivations en mode compteur que définissent ISO 18033-2, IEEE 1363a et ANSI X9.63, celles que nomment RSA-KEM et ECIES. KDF1 compte à partir de 0 et KDF2 à partir de 1, une différence qui a causé de réels bugs d'interopérabilité, vérifie donc laquelle ta spécification désigne. |
| scrypt | sgcScrypt | RFC 7914, memory-hard, résiste bien mieux aux attaques GPU/ASIC que PBKDF2. |
| Argon2 | sgcArgon2 (d / i / id), wrapper de confort sgcArgon2id | RFC 9106, la gagnante de la Password Hashing Competition. Interface complète avec secret optionnel (pepper) et données associées. |
| SipHash-2-4 | sgcSipHash24 / sgcSipHash24_Value | PRF à clé rapide pour les clés de table de hachage, résiste au déni de service par inondation de hachage. |
| Hachage flou TLSH | sgcTLSH, sgcTLSH_Init/_Update/_Final | Hachage sensible à la localité pour la détection de quasi-doublons, pas un condensé cryptographique. |
| Score de similarité TLSH | sgcTLSH_Diff | Distance entre deux condensés TLSH ; plus bas signifie plus similaire. |
Signe, vérifie et dérive des secrets partagés sur cinq familles de courbes distinctes plus RSA.
| Capacité | Fonction | Notes |
|---|---|---|
| Signature / vérification Ed25519 | sgcEd25519_Sign / sgcEd25519_Verify, sgcEd25519_PublicKey | RFC 8032. Clé publique de 32 octets, signature de 64 octets. La vérification rejette les points non canoniques et S >= L selon la section 5.1.7. La signature est en temps constant vis-à-vis du scalaire secret et du nonce propre à chaque message : fenêtres fixes de quatre bits, l'entrée de la table choisie en balayant les seize sous un masque, et la formule d'addition complète de la section 5.1.4. La clé publique est dérivée de la graine de 32 octets. |
| Échange de clés X25519 | sgcX25519, sgcX25519_PublicKey, sgcX25519_SharedSecret | Diffie-Hellman RFC 7748 sur Curve25519. |
| Ed448 signer / vérifier | sgcEd448_GenerateKeyPair, sgcEd448_Sign, sgcEd448_Verify | RFC 8032, la courbe EdDSA 448 bits (Goldilocks). |
| Échange de clés X448 | sgcX448, sgcX448_PublicKey, sgcX448_SharedSecret | Diffie-Hellman RFC 7748 sur Curve448. |
| secp256k1 | sgcECDSA_SignHash / VerifyHash avec eccSecp256k1 | La courbe Bitcoin/Ethereum, SEC 2, dans sgcCrypto_ECCurves. |
| Brainpool P256r1 / P384r1 / P512r1 | mêmes fonctions avec eccBrainpoolP256r1 / P384r1 / P512r1 | RFC 5639, courante dans eIDAS UE et les profils gouvernementaux. |
| NIST P-256 / P-384 / P-521 | mêmes fonctions avec eccP256 / eccP384 / eccP521 | TsgcECCurve nomme désormais sept courbes, si bien que la génération de clé, la signature, la vérification, l'ECDH et la compression de point atteignent toutes les courbes premières NIST à partir d'octets de clé bruts, pas seulement depuis un fichier PEM. |
| Nonce ECDSA déterministe | intégré dans sgcECDSA_SignHash | RFC 6979 : le nonce est dérivé de la clé privée et du message, aucun mode d'échec du générateur aléatoire. |
| Multiplication scalaire en temps constant | dans sgcECDSA_SignHash, sgcECDH_SharedSecret et la génération de clés EC | Chaque courbe de sgcCrypto_ECCurves exécute le même moteur : la réduction de Montgomery, qui n'a aucune étape dépendante des données, une fenêtre fixe dont le nombre vient de la courbe, des entrées de table choisies en balayant toutes sous un masque, et une formule d'addition complète qui ne regarde jamais une coordonnée pour décider quel cas s'applique. Les chemins JOSE, WebAuthn et E2EE de sgcCrypto_EC exécutent le même code. |
| ECDH (secp256k1 / Brainpool) | sgcECDH_SharedSecret | Secret partagé sur les quatre mêmes courbes. |
| Compression de point | sgcEC_Compress / sgcEC_Decompress | Stocke ou transmet la forme compressée, plus courte, de la clé publique. |
| EC en JWS (ES256/384/512) | sgcECDSA_SignJWS / sgcECDSA_VerifyJWS | Courbe sélectionnée automatiquement selon la longueur de bit demandée, signature/vérification directement depuis une clé PEM, variante orientée JOSE de ECCurves. |
| ECDH générique | sgcECDH | Secret partagé à partir d'une clé privée brute et du point public du pair. |
| Vérification ECDSA brute / DER | sgcECDSA_VerifyRaw / sgcECDSA_VerifyDER | Vérifie contre un tuple brut (Qx, Qy, r, s) ou une signature encodée en DER. |
| Signature ECDSA DER et conversion | sgcECDSA_SignDER / sgcECDSA_VerifyDER, sgcECDSA_RawToDER / sgcECDSA_DERToRaw | X.509, CMS et TLS transportent l'ECDSA-Sig-Value au format DER, une SEQUENCE d'un INTEGER r suivi d'un INTEGER s. JOSE et WebAuthn transportent à la place la paire brute R || S. Signe directement dans l'une ou l'autre forme, ou convertis une signature existante entre les deux. |
| Signatures Schnorr (BIP-340) | sgcSchnorr_PublicKey, sgcSchnorr_Sign, sgcSchnorr_Verify | secp256k1 uniquement, avec des clés publiques x-only de 32 octets et des signatures de 64 octets : ce qu'utilisent Taproot, Nostr et Lightning. sgcSchnorr_TaggedHash est exposée pour que les tags BIP-341 et BIP-342 puissent être construits sur la même base. |
| Signature RSA (PKCS#1 v1.5) | sgcRSA_SignPKCS1 | Depuis une clé privée PEM, condensé SHA-1/256/384/512. |
| Opérations RSA à clé privée | sgcRSA_SignPKCS1 et les autres appels de signature et de déchiffrement de sgcCrypto_RSA_Keys | Chaque opération est aveuglée avec une paire aléatoire fraîche, exécutée par une exponentiation à fenêtre fixe et une recombinaison CRT dont la durée ne dépend ni des facteurs ni des données, puis vérifiée par rapport à l'exposant public avant que le résultat ne soit renvoyé. Une faute dans une moitié CRT révélerait autrement un facteur dès une seule signature, donc en cas de non-concordance rien n'est renvoyé. |
| Vérification RSA (PKCS#1 v1.5 / PSS) | sgcRSA_VerifyPKCS1, sgcRSA_VerifyPSS, et variantes _Raw sur un module/exposant | RFC 8017. La vérification fonctionne depuis une clé PEM ou un module et exposant bruts, sans construction d'objet clé. |
| Génération de clé RSA | sgcRSA_GenerateKey | N'importe quelle longueur de bit demandée, test de primalité de Miller-Rabin. |
| Chiffrement RSA-OAEP | sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Padding de chiffrement asymétrique optimal RFC 8017. |
| RSA-OAEP avec un hachage MGF1 indépendant | les surcharges à cinq paramètres de sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Fixe le hachage du label et le hachage MGF1 séparément. OAEPWithSHA256AndMGF1Padding signifie SHA-256 pour les deux dans Bouncy Castle, mais SHA-256 avec MGF1-SHA1 dans SunJCE, et cette discordance est la cause habituelle des échecs d'interopérabilité avec Java. |
| Chiffrement RSA PKCS#1 v1.5 | sgcRSA_PKCS1_Encrypt / sgcRSA_PKCS1_Decrypt | RFC 8017 section 7.2, le mode que Java nomme RSA/ECB/PKCS1Padding. Le déchiffrement emprunte le même chemin pour chaque échec, ce qui ne donne rien à exploiter à un oracle de remplissage. Préfère OAEP pour tout ce qui est nouveau. |
| Signature RSA-PSS / PKCS#1 | sgcRSA_PSS_Sign / Verify, sgcRSA_PKCS1_Sign / Verify | Signe directement depuis une TsgcRSAPrivateKey générée. |
| Export de clé RSA | sgcRSA_ExportPrivateKeyPEM, sgcRSA_ExportPublicKeyPEM, appels DER équivalents | Encodages PKCS#1 et SubjectPublicKeyInfo. |
| Export de clé PKCS#8 et SEC 1 | sgcRSA_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeySEC1DER / SEC1PEM, sgcEC_ExportSubjectPublicKeyInfo, sgcEC_ExportPublicKeyPEM | Le conteneur BEGIN PRIVATE KEY qu'attendent Java, .NET et la plupart des outils modernes, ainsi que la forme SEC 1 BEGIN EC PRIVATE KEY et le SubjectPublicKeyInfo qu'intègre un certificat. Non chiffré, ce qui revient donc n'est que du matériel de clé nu. |
| Import de clé RSA et EC | sgcRSA_ImportPrivateKeyDER / PEM, sgcRSA_ImportPublicKeyDER / PEM, sgcEC_ImportPrivateKeyDER / PEM, sgcEC_ImportPublicKeyDER / PEM | Cela n'existait pas auparavant : une clé générée pouvait être écrite mais jamais relue. L'import accepte PKCS#1, PKCS#8, SEC 1 et SubjectPublicKeyInfo, en DER ou en PEM, recalcule les paramètres CRT ou le point public quand le fichier les omet, et renvoie False sur une entrée malformée plutôt que de lever une exception, si bien que des fichiers non fiables peuvent lui être confiés sans risque. |
| ECIES seal / open | sgcECIES_GenerateKeyPair, sgcECIES_Seal, sgcECIES_Open | Chiffrement hybride vers une clé publique X25519 : ECDH éphémère plus un AEAD, un appel dans chaque sens. |
Lis un certificat émis par quelqu'un d'autre, ou génère le tien, avec un encodeur et un décodeur DER en dessous des deux.
| Capacité | Fonction | Notes |
|---|---|---|
| Lecteur DER | sgcASN1_Read, sgcASN1_Next, sgcASN1_Content | Parcourt une structure DER nœud par nœud. |
| DER strict | sgcASN1_Read, sgcASN1_IsMinimalUnsignedInteger | Chaque structure que l'unité lit est en DER par spécification, les longueurs sont donc soumises aux règles DER : la forme indéfinie est refusée, tout comme une forme longue que la forme courte aurait pu porter. Une signature ECDSA dont les INTEGER ne sont pas encodés de façon minimale est également refusée, si bien qu'une même signature ne peut pas s'écrire de deux façons et être prise pour deux valeurs différentes. |
| Codec PEM | sgcPEM_Decode / sgcPEM_Encode | RFC 7468, l'enveloppe -----BEGIN ... -----END autour du DER. |
| Analyse de clé RSA | sgcASN1_ParseRSAPrivateKey / PublicKey | Structures de clé PKCS#1 (RFC 8017). |
| Analyse de clé EC | sgcASN1_ParseECPrivateKey / PublicKey | Structures de clé SEC 1. |
| Écriture DER, structurelle | sgcDER_Sequence, sgcDER_Set, sgcDER_Tagged, sgcDER_ContextExplicit / Implicit | Les briques de base à partir desquelles chaque champ de certificat est assemblé. |
| Écriture DER, valeurs | sgcDER_Integer, sgcDER_OctetString, sgcDER_BitString, sgcDER_Boolean, sgcDER_Null | Encodeurs de valeurs primitives. |
| Écriture DER, chaînes et identifiants | sgcDER_OID, sgcDER_UTF8String, sgcDER_PrintableString, sgcDER_IA5String, sgcDER_Time | Identifiants d'objet, les trois types de chaîne qu'utilise X.509, et UTCTime/GeneralizedTime. |
| Analyse de certificat | sgcX509_Parse | Structure complète du certificat : sujet, émetteur, validité, clé publique, extensions. |
| Vérification de signature / chaîne | sgcX509_VerifySignedBy, sgcX509_VerifyChain | Vérifie un certificat contre un émetteur, ou parcourt et vérifie un tableau de certificats DER. |
| Analyse de CRL et révocation | sgcX509_CRL_Parse, sgcX509_IsRevoked, sgcX509_CRL_VerifySignedBy | Analyse une liste de révocation de certificats et vérifie un numéro de série contre elle. |
| Formatage de nom | sgcX509_SubjectRFC2253, sgcX509_IssuerRFC2253, sgcX509_SubjectOneLine | Chaînes de nom distinctif RFC 2253, pour la journalisation et l'affichage. |
| Extensions et SAN | sgcX509_GetExtension, sgcX509_GetCRLDistributionURIs | Lit des OID d'extension arbitraires et des URI de point de distribution CRL. |
| Génération de certificat autosigné | sgcX509_CreateSelfSigned | TsgcX509Options complet : nom distinctif du sujet, fenêtre de validité, numéro de série, indicateur d'AC avec contrainte de longueur de chemin, usage de clé, usage étendu de clé, noms alternatifs du sujet (y compris les SAN IPv4). |
| Noms alternatifs du sujet de type URI | TsgcX509Options.URIs | SAN uniformResourceIdentifier, pour une identité de service de type SPIFFE plutôt qu'un nom d'hôte. La valeur est écrite telle quelle sous forme de contenu IA5String, passe donc une URI complète. |
| Génération de CSR PKCS#10 | sgcX509_CreateCSR | Requête de signature de certificat RFC 2986 depuis le même enregistrement d'options. |
| Certificats et CSR signés EC | sgcX509_CreateSelfSignedEx, sgcX509_CreateCSREx, sgcX509_ECKey, sgcX509_RSAKey | Signe avec une clé EC aussi bien qu'avec RSA en enveloppant l'une ou l'autre dans un TsgcX509SignKey. Un certificat EC fait environ un tiers de la taille d'un certificat RSA et se vérifie bien plus vite. TsgcX509Options.Hash ne nomme toujours que le SHA, l'algorithme suit la clé, si bien que rhSHA256 avec une clé EC signifie ecdsa-with-SHA256. |
| Émission par une AC | sgcX509_CreateSigned, sgcX509_CreateSignedFromCSR | Émet un certificat signé par une clé d'AC, soit depuis un enregistrement d'options, soit depuis une requête PKCS#10 analysée. |
| Clés de signature post-quantiques | sgcX509_MLDSAKey, sgcX509_SLHDSAKey | Enveloppent une clé ML-DSA ou SLH-DSA dans un TsgcX509SignKey et la passent à sgcX509_CreateSelfSignedEx, sgcX509_CreateCSREx ou aux émetteurs d'AC. RFC 9881 pour ML-DSA, RFC 9909 pour SLH-DSA. |
| Certificats ML-KEM | sgcX509_CreateSigned avec une clé de sujet ML-KEM | RFC 9935. Une AC peut certifier une clé publique ML-KEM, qui ne sait pas signer, la possession doit donc être prouvée autrement avant l'émission du certificat. |
| Types de clé post-quantiques à la lecture | TsgcX509PublicKeyType | x509pkMLDSA, x509pkSLHDSA et x509pkMLKEM aux côtés de x509pkRSA, x509pkEC et x509pkEd25519. sgcX509_Parse, sgcX509_VerifySignedBy et sgcX509_CSR_Verify les prennent tous en charge. |
| Contraintes de chaîne | sgcX509_VerifyChain | Applique le pathLenConstraint de basicConstraints et l'extension nameConstraints, sur dNSName, iPAddress, rfc822Name, uniformResourceIdentifier et directoryName. |
| nameConstraints à la génération | TsgcX509Options.PermittedDNSNames, ExcludedDNSNames, PermittedIPRanges, ExcludedIPRanges | Écrit les sous-arbres autorisés et exclus dans un certificat d'AC, pour que le vérificateur de chaîne ci-dessus puisse les appliquer. |
| SAN d'adresse IPv6 | TsgcX509Options.IPAddresses | Accepte l'IPv6 sous toutes les formes textuelles de la RFC 4291, aussi bien que l'IPv4. |
| Sortie PEM | sgcX509_ToPEM | Enveloppe le DER généré comme un fichier PEM prêt à être sauvegardé. |
Les trois algorithmes que le NIST a finalisés en août 2024 sous les noms FIPS 203, 204 et 205, plus un combinateur hybride pour la période de migration.
| Capacité | Fonction | Notes |
|---|---|---|
| Génération de clé ML-KEM | sgcMLKEM_GenerateKeyPair, sgcMLKEM_GenerateKeyPairFromSeed | FIPS 203, anciennement Kyber. Trois jeux de paramètres : mlkem512, mlkem768, mlkem1024. |
| Encapsulation ML-KEM | sgcMLKEM_Encapsulate, sgcMLKEM_EncapsulateWithSeed | Produit un nouveau secret partagé de 32 octets et le texte chiffré qui le transporte. La clé publique subit d'abord les contrôles d'entrée de FIPS 203 section 7.2, si bien qu'une clé de mauvaise longueur, ou qui échoue au contrôle du modulo, lève une exception. |
| Décapsulation ML-KEM | sgcMLKEM_Decapsulate | Un texte chiffré de la bonne longueur qui ne se déchiffre pas produit un secret pseudo-aléatoire (rejet implicite) au lieu d'une erreur, si bien que le timing et le comportement d'erreur ne révèlent rien. Un texte chiffré ou une clé privée de mauvaise longueur, ou une clé privée qui échoue à la vérification du hachage, lève d'abord une exception, selon les contrôles d'entrée de FIPS 203 section 7.3. |
| Tailles ML-KEM | sgcMLKEM_PublicKeySize, PrivateKeySize, CiphertextSize, SharedSecretSize | Longueurs en octets par jeu de paramètres, pour dimensionner les buffers. |
| Hybride X25519 + ML-KEM | sgcHybrid_GenerateKeyPair, sgcHybrid_Encapsulate, sgcHybrid_Decapsulate | Combine un secret partagé classique et un secret partagé post-quantique via un KDF, si bien que le résultat n'est jamais plus faible que X25519 seul. La manière recommandée de déployer ML-KEM aujourd'hui. |
| Génération de clé ML-DSA | sgcMLDSA_GenerateKeyPair, sgcMLDSA_GenerateKeyPairFromSeed | FIPS 204, anciennement Dilithium. Trois jeux de paramètres : mldsa44, mldsa65, mldsa87. |
| Signature / vérification ML-DSA | sgcMLDSA_Sign / sgcMLDSA_Verify | Signature déterministe ou aléatoire selon l'interface FIPS 204, plus une chaîne de contexte. |
| Tailles ML-DSA | sgcMLDSA_PublicKeySize, PrivateKeySize, SignatureSize | Longueurs en octets par jeu de paramètres. |
| Génération de clé SLH-DSA | sgcSLHDSA_GenerateKeyPair, sgcSLHDSA_GenerateKeyPairFromSeed | FIPS 205, anciennement SPHINCS+. Signatures sans état basées sur le hachage : la sécurité repose uniquement sur la fonction de hachage, pas sur une hypothèse de réseau ou de courbe. |
| Signature / vérification SLH-DSA | sgcSLHDSA_Sign / sgcSLHDSA_Verify | Six jeux de paramètres SHAKE : slhShake128s, slhShake128f, slhShake192s, slhShake192f, slhShake256s, slhShake256f. Les jeux s favorisent des signatures petites, les jeux f favorisent une signature rapide. |
| Tailles et nommage SLH-DSA | sgcSLHDSA_PublicKeySize, PrivateKeySize, SignatureSize, sgcSLHDSA_ParamsName | Les signatures SLH-DSA sont volumineuses (7,8 Ko à 49 Ko selon le jeu) ; dimensionne le buffer avant de signer. |
| Export et import de clé publique, DER | sgcMLDSA_ExportSubjectPublicKeyInfo / ImportSubjectPublicKeyInfo, et les paires sgcMLKEM_* et sgcSLHDSA_* identiques | X.509 SubjectPublicKeyInfo, si bien qu'une clé publique post-quantique se range dans la même structure qu'une clé RSA ou EC. RFC 9881, RFC 9909 et RFC 9935. |
| Export & import de clé privée, DER | sgcMLDSA_ExportPrivateKeyInfo / ImportPrivateKeyInfo, et les paires sgcMLKEM_* et sgcSLHDSA_* | PKCS#8 OneAsymmetricKey, versions 0 et 1. L'import vérifie la cohérence de la clé : une clé publique intégrée qui ne correspond pas est refusée, les formes graine et étendue d'une même clé doivent concorder, et une clé ML-DSA doit reproduire ses t0 et tr stockés. SLH-DSA recalcule PK.root à partir de la graine, ce qui coûte environ une génération de clé, si bien que ces imports prennent un paramètre aVerify, True par défaut, que tu peux passer à False pour une clé générée par ta propre application. |
| Export et import PEM | sgcMLDSA_ExportPublicKeyPEM, ExportPrivateKeyPEM, ImportPublicKeyPEM, ImportPrivateKeyPEM, et les jeux sgcMLKEM_* et sgcSLHDSA_* | RFC 7468, l'enveloppe -----BEGIN ... -----END, si bien que les clés se rangent dans les mêmes fichiers et le même outillage que le reste de la PKI. |
| Forme de la clé privée | TsgcPQCPrivateKeyFormat | Les clés privées ML-DSA et ML-KEM ont trois formes. pqkfSeed écrit la graine seule (32 octets pour ML-DSA, la graine d||z de 64 octets pour ML-KEM), pqkfExpanded écrit la clé développée, pqkfBoth porte les deux. SLH-DSA n'a qu'une seule forme de clé privée. |
| Génération de clé avec la graine | sgcMLDSA_GenerateKeyPairAndSeed, sgcMLKEM_GenerateKeyPairAndSeed | Renvoient la graine en même temps que la paire de clés, de sorte qu'un fichier PKCS#8 ou PEM au format graine peut être écrit juste après la génération. |
| KEM hybride X-Wing | sgcXWing_GenerateKeyPair, sgcXWing_Encapsulate, sgcXWing_Decapsulate | draft-connolly-cfrg-xwing-kem-10 : X25519 avec ML-KEM-768 comme un seul KEM. Clé publique 1216 octets, clé privée 32 octets (la graine), texte chiffré 1120 octets, secret partagé 32 octets. |
| Parts de clé hybrides TLS 1.3 | sgcTLSHybrid_ClientKeyShare, sgcTLSHybrid_ServerKeyShare, sgcTLSHybrid_ClientSharedSecret, sgcTLSHybrid_GroupName, sgcTLSHybrid_Available | Les groupes X25519MLKEM768, SecP256r1MLKEM768 et SecP384r1MLKEM1024 de la RFC 10024 (points de code IANA 0x11EC, 0x11EB, 0x11ED). Ce ne sont pas des KEM autonomes, ils ne servent qu'à construire une part de clé TLS. |
| ML-DSA pour les JSON Web Tokens | JWTOptions.Algorithms.MLDSA.PrivateKey, PublicKey, Enabled, sgcMLDSA_ExportPublicJWK, sgcMLDSA_ExportPrivateJWK, sgcMLDSA_ImportJWK, sgcMLDSA_ImportJWKAsPEM | RFC 9964, dans sgcHTTP_JWT_MLDSA plutôt que dans une unité sgcCrypto_*. Les algorithmes JWS ML-DSA-44, ML-DSA-65 et ML-DSA-87 (jwtMLDSA44, jwtMLDSA65, jwtMLDSA87), un PEM PKCS#8 côté client, un PEM SubjectPublicKeyInfo côté serveur, des JSON Web Keys AKP, et aucun OpenSSL nulle part sur ce chemin. |
| Validation par réponses connues | Vecteurs NIST ACVP | La génération de clés, l'encapsulation et la décapsulation ML-KEM, ainsi que la génération de clés, la génération de signatures et la vérification de signatures ML-DSA et SLH-DSA, sont contrôlées par rapport aux vecteurs à réponse connue NIST ACVP dans la suite QA de sgcWebSockets. |
sgcCrypto ne revendique ni ed25519187 ni SPECK. ed25519187 n'a aucune spécification publiée, et SPECK a été retiré de la normalisation ISO en 2018 ; aucun des deux n'est implémenté ici.
Écrite en Object Pascal sur les primitives sgcCrypto et livrée dans le même pack. Elle vit dans les unités sgcSSL_NativeTLS*, pas dans sgcCrypto_*, elle ne fait donc pas partie des 43 comptées ci-dessus.
| Capacité | API | Notes |
|---|---|---|
| La sélectionner sur un client | TLSOptions.IOHandler := iohNativeTLS | Remplace OpenSSL, SChannel et les backends TLS de plateforme par le moteur Pascal intégré au processus. Rien à déployer, sur aucune cible. |
| La sélectionner sur un serveur | SSLOptions.IOHandler := iohNativeTLS | Fonctionne avec le moteur de serveur Indy par défaut ainsi qu'avec les moteurs IOCP et EPOLL. |
| Version du protocole | TLSOptions.Version | La version minimale autorisée. tls1_2 ou tlsUndefined négocie TLS 1.3 ou TLS 1.2, tls1_3 autorise seulement TLS 1.3, et tls1_0 ou tls1_1 déclenche une erreur de configuration. SSLOptions.Version fait de même côté serveur. Pour TLS 1.2 uniquement, ne liste que des suites TLS 1.2 dans CipherSuites. |
| Groupes d'échange de clés | TLSOptions.NativeTLS_Options.Groups | Séparés par des deux-points, style OpenSSL. Par défaut X25519MLKEM768:X25519:secp256r1:secp384r1, si bien qu'un handshake est hybride post-quantique dès que le pair est d'accord. Une compilation avec SGC_CRYPTO_FIPS utilise à la place par défaut SecP256r1MLKEM768:SecP384r1MLKEM1024:secp256r1:secp384r1. Les trois groupes hybrides n'existent qu'en TLS 1.3, donc une connexion TLS 1.2 utilise X25519, secp256r1 ou secp384r1. |
| Suites de chiffrement | TLSOptions.NativeTLS_Options.CipherSuites | Séparées par des deux-points, style OpenSSL. Par défaut TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256 pour TLS 1.3, plus ECDHE_ECDSA et ECDHE_RSA avec AES-128-GCM, AES-256-GCM et ChaCha20-Poly1305 pour TLS 1.2. ECDHE avec AES-CBC et l'échange de clés RSA ne sont utilisés que lorsqu'ils sont nommés, pour 20 suites TLS 1.2 en tout. Une compilation avec SGC_CRYPTO_FIPS exclut ChaCha20-Poly1305 et l'échange de clés RSA. |
| Racines de confiance | TLSOptions.RootCertFile, TLSOptions.NativeTLS_Options.UseSystemRoots | Les racines proviennent de RootCertFile. Mets UseSystemRoots à True pour ajouter les racines auxquelles le système d'exploitation fait déjà confiance : le magasin ROOT sous Windows, et sur toute autre plateforme le premier fichier de bundle de CA trouvé parmi les emplacements standard. Elle ne lit jamais le trousseau macOS ou iOS ni le magasin Android. Cette option est désactivée par défaut, donc RootCertFile reste la source. La même propriété sur SSLOptions s'applique aux certificats client qu'un serveur vérifie. |
| Construction de la chaîne | la chaîne de certificats envoyée par le pair | La chaîne est parcourue à la recherche d'un chemin entre la feuille et une racine de confiance, si bien que des certificats supplémentaires et n'importe quel ordre sont acceptés, comme le demande la RFC 8446 section 4.4.2. La recherche revient en arrière, si bien qu'un certificat qui nomme le bon émetteur mais ne mène nulle part ne cache plus un chemin valide derrière lui. La révocation et les politiques de certificats ne sont pas vérifiées. |
| Portée du protocole | RFC 8446, RFC 5246 | TLS 1.3 et TLS 1.2. Aucun TLS 1.1, TLS 1.0 ni SSL. TLS 1.2 utilise l'extended master secret de la RFC 7627 et la protection anti-rétrogradation de la RFC 8446 des deux côtés, refuse la renégociation et les signatures SHA-1 (RFC 9155), et vérifie les enregistrements CBC en temps constant. |
| Non implémenté | n/a | Ni reprise de session ni PSK, pas de 0-RTT, et pas de QUIC. |
| Événement de vérification du pair | OnSSLVerifyPeer | Non disponible pour ce moteur, qui possède ses propres points d'accroche de vérification. Reste sur OpenSSL ou sur un backend de plateforme si ton code dépend de cet événement. |
La couche utilitaire : codes à usage unique, les encodages sur lesquels s'appuie chaque autre famille, et le chiffrement WinZip AES.
| Capacité | Fonction | Notes |
|---|---|---|
| HOTP | sgcHOTP | RFC 4226, mot de passe à usage unique basé sur un compteur. |
| TOTP | sgcTOTP, sgcTOTP_FromBase32 | RFC 6238, mot de passe à usage unique basé sur le temps ; la variante Base32 accepte le secret exactement tel qu'une application d'authentification l'affiche. |
| Vérification TOTP | sgcTOTP_Verify | Vérifie un code soumis sur une fenêtre d'intervalles en temps constant, si bien que ni le résultat ni sa position ne fuient par le timing. Ne bloque pas elle-même le rejeu ; l'appelant suit les codes déjà utilisés. |
| Comparaison en temps constant | sgcConstantTimeEquals | Utilisée dans toute la bibliothèque pour les comparaisons de tag et de MAC. |
| Effacement sécurisé | sgcSecureZero | Écrase un buffer d'octets pour que le matériel de clé ne persiste pas en mémoire. |
| Hex | sgcHexEncode / sgcHexDecode | Hex en minuscules, décodage insensible à la casse. |
| Base64url | sgcBase64UrlEncode / sgcBase64UrlDecode | RFC 4648 section 5, non paddé, l'encodage qu'utilisent JWT et JOSE. |
| Base32 | sgcBase32Encode / sgcBase32Decode | RFC 4648 section 6, l'encodage qu'utilisent les secrets TOTP et les applications d'authentification. |
| Dérivation de clé WinZip AES | sgcZipAE2_DeriveKeys | Clé, clé d'authentification et vérificateur de mot de passe basés sur PBKDF2, à partir d'un mot de passe et d'un sel. |
| Chiffrement / déchiffrement WinZip AES | sgcZipAE2_Encrypt / sgcZipAE2_Decrypt | AE-1 et AE-2, AES-128/192/256, dimensionnement du sel par entrée via TsgcZipAESStrength. |
| Empaquetage d'entrée WinZip | sgcZipAE2_PackEntry / sgcZipAE2_UnpackEntry | Combine sel, vérificateur, texte chiffré et code d'authentification dans la disposition sur disque. |
| Champ extra WinZip | sgcZipAE2_BuildExtraField / sgcZipAE2_ParseExtraField | Le champ extra 0x9901 qui marque une entrée ZIP comme chiffrée AES. |
| Hachages hérités (interop uniquement) | sgcMD4, sgcMD5, sgcHMAC_MD5 | Conservés pour lire d'anciens formats et protocoles ; à ne pas utiliser dans une nouvelle conception. |
| Chiffrement hérité (interop uniquement) | sgcDES_EncryptECB / sgcDES_DecryptECB, sgcDES_NTLM7to8 | DES-ECB et l'étape d'expansion de clé NTLM basée sur DES, tous deux retirés (FIPS 46-3), conservés pour l'interopérabilité héritée. |
| Octets aléatoires sécurisés | sgcRandomBytes / sgcRandomFill | BCryptGenRandom (Windows CNG) sous MSWINDOWS, /dev/urandom ailleurs, un seul appel dans les deux cas. |
Ce qui est pris en charge, formulé avec précision.
| Domaine | Détail |
|---|---|
| Système d'exploitation | Aucune garde MSWINDOWS, ni aucune autre garde de plateforme, n'entoure SGC_CRYPTO dans sgcVer.inc. Les 43 unités compilent pour Win32, Win64, Linux64, macOS, iOS et Android. |
| Source aléatoire | La seule unité sensible à la plateforme, sgcCrypto_Random, sélectionne un CSPRNG par cible : BCryptGenRandom (Windows CNG) sous MSWINDOWS, /dev/urandom sur les cibles POSIX, derrière le même appel sgcRandomBytes. Les octets proviennent directement du générateur du système d’exploitation, sans générateur propre par-dessus. Sous Windows, RtlGenRandom puis CryptGenRandom ne sont utilisés que si BCryptGenRandom n’est pas disponible, et si aucune source ne peut être lue, une exception est levée au lieu de renvoyer des octets faibles. |
| Mode FIPS | Directive optionnelle SGC_CRYPTO_FIPS, désactivée par défaut, qui retire à la compilation tout algorithme non approuvé des 43 unités et vérifie quelques règles de paramètres à l’exécution. Elle limite la bibliothèque aux algorithmes approuvés par FIPS, mais sgcCrypto n’est pas un module validé FIPS 140-3 et cette directive ne constitue pas une revendication de validation. Mode FIPS |
| Delphi | Delphi 7 à RAD Studio 13 Florence. Aucun type entier 64 bits natif n'est supposé nulle part : sgcCrypto_Int64 et le type TsgcBigInt dans sgcCrypto_BigInteger émulent l'arithmétique dont ont besoin les hachages, les courbes et les unités post-quantiques. |
| C++ Builder | C++ Builder via les en-têtes générés, la même arborescence source. |
| Empreinte à la conception | Aucune. Il n'y a pas de sgcCrypto_Reg.pas, rien n'est enregistré via RegisterComponents, et aucune unité n'apparaît sur une page de la palette de composants. |
| Dépendances | Aucun binding OpenSSL, aucune DLL externe. Chaque primitive est implémentée directement en Object Pascal dans l'unité que tu référence. |
| Code source | Code source Object Pascal complet dans chaque niveau payant, et dans les packages d'édition qui incluent déjà sgcCrypto. |
| Redistribution | Les binaires que tu construis sont libres de royalties, sans frais d'exécution par poste ni par serveur. |