Alles wat sgcCrypto doet, uitgezet over de 43 units op schijf. Er zijn hier geen componenten en geen design-time-eigenschappen: elke rij hieronder is een functie of procedure die je rechtstreeks aanroept. Volledige broncode zit bij elke licentie. De ankers hieronder brengen je naar de zes functiefamilies waarin de units vallen.
sgcCrypto heeft geen componenten. De 43 units hieronder exporteren gewone functies, er is geen Tsgc*-klasse en geen sgcCrypto_Reg.pas. Voeg een unit toe aan je uses-clausule en roep de functie aan.
Al inbegrepen. sgcCrypto wordt gratis meegeleverd met sgcWebSockets Standard, Professional en Enterprise, en met All-Access. Het wordt ook standalone verkocht (met de sgcWebSockets Core runtime inbegrepen) voor klanten die alleen Core bezitten. Zie Prijzen.
AES, CCM, ChaCha20, Poly1305, 5 units
SHA-2/3, BLAKE2, Argon2, 11 units
Ed25519, X25519, Schnorr, RSA, 10 units
X.509, ASN.1, RSA & EC CSR, 5 units
ML-KEM, ML-DSA, SLH-DSA, 6 units
HOTP/TOTP, encoding, ZIP AES, 6 units
Elke unit sgcCrypto_*.pas onder sgcWebSockets/delphi/Source/, gegroepeerd per familie.
| Unit | Familie | Wat het doet |
|---|---|---|
sgcCrypto_AES | Symmetrisch | AES-CBC, AES-GCM (AEAD), AES-CTR. |
sgcCrypto_Modes | Symmetrisch | AES-ECB, OFB, CFB, CTS, CCM (AEAD), Key Wrap / Key Wrap with Padding, en de zeven padding-schema's. |
sgcCrypto_CMAC | Symmetrisch | AES-CMAC en AES-GMAC message authentication. |
sgcCrypto_ChaCha | Symmetrisch | ChaCha20, XChaCha20, Salsa20, XSalsa20. |
sgcCrypto_Poly1305 | Symmetrisch | Poly1305-MAC, ChaCha20-Poly1305 en XChaCha20-Poly1305 AEAD. |
sgcCrypto_SHA2 | Hashing & KDF | SHA-1, SHA-224, SHA-256, SHA-384, SHA-512. |
sgcCrypto_Keccak | Hashing & KDF | SHA-3, SHAKE128/256, cSHAKE, KMAC. |
sgcCrypto_Blake2b | Hashing & KDF | BLAKE2b, keyed of unkeyed. |
sgcCrypto_Blake2s | Hashing & KDF | BLAKE2s, keyed of unkeyed. |
sgcCrypto_HMAC | Hashing & KDF | HMAC-SHA1/256/384/512. |
sgcCrypto_KDF | Hashing & KDF | PBKDF2, KDF1, KDF2 en X9.63, kiesbare hash. |
sgcCrypto_HKDF | Hashing & KDF | HKDF extract-and-expand. |
sgcCrypto_Scrypt | Hashing & KDF | scrypt memory-hard KDF. |
sgcCrypto_Argon2 | Hashing & KDF | Argon2d, Argon2i, Argon2id. |
sgcCrypto_SipHash | Hashing & KDF | SipHash-2-4 keyed hash. |
sgcCrypto_TLSH | Hashing & KDF | TLSH fuzzy hash en gelijkenis-diff. |
sgcCrypto_Ed25519 | Handtekeningen & sleuteluitwisseling | Ed25519 ondertekenen / verifiëren. |
sgcCrypto_X25519 | Handtekeningen & sleuteluitwisseling | X25519 Diffie-Hellman. |
sgcCrypto_Ed448 | Handtekeningen & sleuteluitwisseling | Ed448 ondertekenen / verifiëren. |
sgcCrypto_X448 | Handtekeningen & sleuteluitwisseling | X448 Diffie-Hellman. |
sgcCrypto_GF448 | Handtekeningen & sleuteluitwisseling | Interne GF(2^448-2^224-1)-veldrekenkunde voor Ed448/X448. |
sgcCrypto_ECCurves | Handtekeningen & sleuteluitwisseling | ECDSA / ECDH over secp256k1, Brainpool P256r1/P384r1/P512r1 en NIST P-256/P-384/P-521, DER-handtekeningen, sleutelexport/-import, en BIP-340 Schnorr. |
sgcCrypto_EC | Handtekeningen & sleuteluitwisseling | Algemene EC-ondertekening/verificatie als JWS (ES256/384/512), ECDH. |
sgcCrypto_RSA | Handtekeningen & sleuteluitwisseling | RSA PKCS#1 v1.5 ondertekenen, PKCS#1 v1.5 / PSS verifiëren, vanuit PEM of raw. |
sgcCrypto_RSA_Keys | Handtekeningen & sleuteluitwisseling | RSA-sleutelgeneratie, OAEP (met onafhankelijke MGF1-hash), PSS, PKCS#1 v1.5 ondertekenen/verifiëren/versleutelen/ontsleutelen, PKCS#1- en PKCS#8-DER/PEM-export en -import. |
sgcCrypto_ECIES | Handtekeningen & sleuteluitwisseling | ECIES seal / open hybride versleuteling over X25519. |
sgcCrypto_ASN1 | PKI | DER-lezer, PEM-codec, PKCS#1/SEC 1-sleutelparsing. |
sgcCrypto_DER | PKI | DER-schrijverprimitieven. |
sgcCrypto_BigInteger | PKI | Interne rekenkunde met willekeurige precisie. |
sgcCrypto_X509 | PKI | X.509 parsen, verifiëren, keten, CRL, intrekking. |
sgcCrypto_X509_Gen | PKI | Generatie van self-signed certificaat en PKCS#10-CSR, RSA- of EC-ondertekend, met URI subject alternative names. |
sgcCrypto_MLKEM | Post-quantum | ML-KEM-sleutelencapsulatie (FIPS 203), 3 parametersets. |
sgcCrypto_MLKEM_Poly | Post-quantum | Interne polynoom-ringrekenkunde achter ML-KEM. |
sgcCrypto_MLKEM_Hybrid | Post-quantum | Hybride X25519 + ML-KEM-sleutelencapsulatie. |
sgcCrypto_MLDSA | Post-quantum | ML-DSA digitale handtekeningen (FIPS 204), 3 parametersets. |
sgcCrypto_MLDSA_Poly | Post-quantum | Interne polynoom-ringrekenkunde achter ML-DSA. |
sgcCrypto_SLHDSA | Post-quantum | SLH-DSA-handtekeningen (FIPS 205), 6 SHAKE-parametersets. |
sgcCrypto_OTP | OTP & overig | HOTP, TOTP, verificatievenster in constante tijd. |
sgcCrypto_Encoding | OTP & overig | Vergelijking in constante tijd, veilig wissen, hex/Base64url/Base32. |
sgcCrypto_Zip_AE2 | OTP & overig | WinZip AES-versleuteling voor ZIP-entries, AE-1 / AE-2. |
sgcCrypto_Legacy | OTP & overig | MD4, MD5, HMAC-MD5, DES-ECB, RIPEMD-160 en HMAC-RIPEMD160, alleen voor interoperabiliteit. |
sgcCrypto_Random | OTP & overig | Platformonafhankelijke CSPRNG. |
sgcCrypto_Int64 | OTP & overig | Interne 64-bit-integer-emulatie voor Delphi 7. |
AES in de modi die productiecode daadwerkelijk gebruikt, plus de ChaCha20/Poly1305-AEAD-familie.
| Mogelijkheid | Functie | Opmerkingen |
|---|---|---|
| AES-CBC | sgcAES_CBC_Encrypt / sgcAES_CBC_Decrypt | PKCS#7-padding, 16-byte IV. Sleutellengte bepaalt de cipher: 16/24/32 bytes = AES-128/192/256. |
| AES-CBC, geen padding | sgcAES_CBC_Encrypt_NoPad / sgcAES_CBC_Decrypt_NoPad | De modus die Java schrijft als AES/CBC/NoPadding. De invoer moet al een veelvoud van 16 bytes zijn; een niet-uitgelijnde invoer gooit een exception in plaats van stilzwijgend te worden opgevuld tot iets wat de andere kant niet kan lezen. |
| AES-GCM (AEAD) | sgcAES_GCM_Encrypt / sgcAES_GCM_Decrypt | 12-byte IV aanbevolen. 16-byte tag, vergeleken in constante tijd; decrypt geeft False en lege plaintext terug bij een mislukte tag. |
| AES-CCM (AEAD) | sgcAES_CCM_Encrypt / sgcAES_CCM_Decrypt | De AEAD-modus die constrained en IoT-stacks voorschrijven, Zigbee, 802.15.4, Bluetooth en de TLS CCM-suites, omdat er alleen het blokcijfer nodig is en geen GHASH-tabel. Nonce 7 tot 13 bytes, tag 4 tot 16 bytes, geverifieerd in constante tijd. |
| AES-CTR | sgcAES_CTR | SRTP-stijl AES-CM (RFC 3711). Symmetrische aanroep, geen padding, 128-bit big-endian-teller. |
| AES-ECB | sgcAES_ECB_Encrypt / sgcAES_ECB_Decrypt | Geen IV, geen chaining. Inbegrepen voor interoperabiliteit met formaten die het voorschrijven. |
| Padding-schema's | sgcPad_Add / sgcPad_Remove, sgcAES_CBC_EncryptPad / DecryptPad, sgcAES_ECB_EncryptPad / DecryptPad | TsgcPadding dekt None, PKCS#7, Zero, ANSI X9.23, ISO 7816-4, ISO 10126-2 en TBC, zodat CBC en ECB data kunnen lezen en schrijven van een systeem dat niet voor PKCS#7 heeft gekozen. sgcPad_Remove geeft False terug via hetzelfde pad voor elke soort foute pad. |
| AES-OFB / AES-CFB | sgcAES_OFB, sgcAES_CFB_Encrypt / sgcAES_CFB_Decrypt | Feedbackmodi in stream-cipher-stijl. |
| AES-CTS | sgcAES_CTS_Encrypt / sgcAES_CTS_Decrypt | Ciphertext stealing: versleutelt data die geen veelvoud van de blokgrootte is, zonder padding-overhead. |
| AES Key Wrap | sgcAES_KeyWrap / sgcAES_KeyUnwrap | RFC 3394, voor het wrappen van één sleutel onder een andere. |
| AES Key Wrap with Padding | sgcAES_KeyWrapPad / sgcAES_KeyUnwrapPad | RFC 5649, voor sleutelmateriaal dat geen veelvoud van 8 bytes is. |
| AES-CMAC | sgcAES_CMAC / sgcAES_CMAC_Verify | RFC 4493 message authentication code. |
| AES-GMAC | sgcAES_GMAC / sgcAES_GMAC_Verify | De authenticatie-only-modus van GCM: het hele bericht reist als additional data, er wordt niets versleuteld. De IV mag nooit worden hergebruikt onder dezelfde sleutel, en de 16-byte tag wordt vergeleken in constante tijd. |
| Low-level blokprimitieven | sgcAES_ExpandKey, sgcAES_EncryptBlock, sgcAES_DecryptBlock | Blootgesteld voor de mode- en MAC-units hierboven; roep deze rechtstreeks alleen aan om een nog niet geleverde modus te bouwen. |
| ChaCha20 | sgcChaCha20 | RFC 8439, 96-bit nonce, 32-bit teller. |
| XChaCha20 | sgcXChaCha20 | 192-bit uitgebreide nonce, veilig voor willekeurige nonce-generatie op schaal. |
| Salsa20 / XSalsa20 | sgcSalsa20 / sgcXSalsa20 | De voorgaande stream-cipher-familie, beide nonce-groottes. |
| Subsleutelafleiding | sgcHChaCha20 / sgcHSalsa20 | Wat de X-varianten intern gebruiken om een subsleutel af te leiden uit de eerste 16 nonce-bytes. |
| Poly1305-MAC | sgcPoly1305 / sgcPoly1305_Verify | Eenmalige authenticator, RFC 8439. Hergebruik nooit een Poly1305-sleutel. |
| ChaCha20-Poly1305 AEAD | sgcChaCha20Poly1305_Encrypt / _Decrypt | De AEAD-cipher achter de tweede ciphersuite van TLS 1.3 en SSH. |
| XChaCha20-Poly1305 AEAD | sgcXChaCha20Poly1305_Encrypt / _Decrypt | Dezelfde AEAD, 192-bit nonce, de constructie die libsodium crypto_aead_xchacha20poly1305_ietf noemt. |
Elke gangbare hashfamilie, plus PBKDF2, HKDF, scrypt en alle drie Argon2-varianten.
| Mogelijkheid | Functie | Opmerkingen |
|---|---|---|
| SHA-1 / SHA-2 | sgcSHA1, sgcSHA224, sgcSHA256, sgcSHA384, sgcSHA512 | FIPS 180-4. SHA-1 wordt aangehouden voor interoperabiliteit, niet aanbevolen voor nieuwe handtekeningen. |
| SHA-3 | sgcSHA3_224 / _256 / _384 / _512 | FIPS 202, de Keccak-sponge, structureel onafhankelijk van SHA-2. |
| SHAKE128 / SHAKE256 | sgcSHAKE128 / sgcSHAKE256 | Extendable-output-functies: vraag elke digestlengte op. |
| cSHAKE128 / cSHAKE256 | sgcCSHAKE128 / sgcCSHAKE256 | Domeingescheiden SHAKE, NIST SP 800-185, de basis voor KMAC. |
| KMAC128 / KMAC256 | sgcKMAC128 / sgcKMAC256 | Op Keccak gebaseerde MAC met variabele uitvoerlengte. |
| BLAKE2b | sgcBlake2b / sgcBlake2b_Keyed | RFC 7693, digests tot 64 bytes, ingebouwde keying (geen aparte HMAC nodig). |
| BLAKE2s | sgcBlake2s / sgcBlake2s_Keyed | RFC 7693, digests tot 32 bytes, afgestemd op 32-bit platforms. |
| Streaming digests | sgcBlake2b_Init/_Update/_Final, overeenkomende aanroepen op Keccak/Blake2s | Voor het hashen van data die te groot is om in één keer in het geheugen te houden. |
| HMAC | sgcHMAC_SHA1 / _SHA256 / _SHA384 / _SHA512 | RFC 2104 keyed hashing over de SHA-1/2-familie. |
| RIPEMD-160 / HMAC-RIPEMD160 | sgcRIPEMD160, sgcHMAC_RIPEMD160 | ISO/IEC 10118-3 en RFC 2286. De 160-bit digest die Bitcoin-adressen over SHA-256 heen leggen, en de digest die OpenPGP met naam voorschrijft. |
| PBKDF2 | sgcPBKDF2, sgcPBKDF2_SHA1 / _SHA256 / _SHA512 | RFC 8018. Slechts licht memory-hard; geef de voorkeur aan Argon2id of scrypt als je kunt kiezen. |
| HKDF | sgcHKDF_Extract_SHA256 / _SHA384, sgcHKDF_Expand_SHA256 / _SHA384, sgcHKDF_SHA256 / _SHA384 | RFC 5869, extract-then-expand-sleutelafleiding, de standaardmanier om een gedeeld geheim in meerdere sleutels om te zetten. |
| KDF1 / KDF2 / X9.63 | sgcKDF1, sgcKDF2, sgcKDF_X963 | De counter-mode-afleidingen die ISO 18033-2, IEEE 1363a en ANSI X9.63 definiëren, wat is wat RSA-KEM en ECIES met naam noemen. KDF1 telt vanaf 0 en KDF2 vanaf 1, een verschil dat al echte interoperabiliteitsbugs heeft veroorzaakt, dus controleer welke je spec bedoelt. |
| scrypt | sgcScrypt | RFC 7914, memory-hard, weerstaat GPU/ASIC-aanvallen veel beter dan PBKDF2. |
| Argon2 | sgcArgon2 (d / i / id), sgcArgon2id gemaksfunctie | RFC 9106, de winnaar van de Password Hashing Competition. Volledige interface met optioneel geheim (pepper) en geassocieerde data. |
| SipHash-2-4 | sgcSipHash24 / sgcSipHash24_Value | Snelle keyed PRF voor hashtabelsleutels, weerstaat hash-flooding denial of service. |
| TLSH fuzzy hash | sgcTLSH, sgcTLSH_Init/_Update/_Final | Locality-sensitive hash voor het detecteren van bijna-duplicaten, geen cryptografische digest. |
| TLSH-gelijkenisscore | sgcTLSH_Diff | Afstand tussen twee TLSH-digests; lager betekent gelijkender. |
Onderteken, verifieer en leid gedeelde geheimen af over vijf verschillende curvefamilies plus RSA.
| Mogelijkheid | Functie | Opmerkingen |
|---|---|---|
| Ed25519 ondertekenen / verifiëren | sgcEd25519_Sign / sgcEd25519_Verify | RFC 8032. 32-byte publieke sleutel, 64-byte handtekening. Verify wijst niet-canonieke punten en S >= L af volgens sectie 5.1.7. |
| X25519-sleuteluitwisseling | sgcX25519, sgcX25519_PublicKey, sgcX25519_SharedSecret | RFC 7748 Diffie-Hellman over Curve25519. |
| Ed448 ondertekenen / verifiëren | sgcEd448_GenerateKeyPair, sgcEd448_Sign, sgcEd448_Verify | RFC 8032, de 448-bit (Goldilocks) EdDSA-curve. |
| X448-sleuteluitwisseling | sgcX448, sgcX448_PublicKey, sgcX448_SharedSecret | RFC 7748 Diffie-Hellman over Curve448. |
| secp256k1 | sgcECDSA_SignHash / VerifyHash met eccSecp256k1 | De Bitcoin/Ethereum-curve, SEC 2, in sgcCrypto_ECCurves. |
| Brainpool P256r1 / P384r1 / P512r1 | dezelfde functies met eccBrainpoolP256r1 / P384r1 / P512r1 | RFC 5639, gangbaar in EU-eIDAS- en overheidsprofielen. |
| NIST P-256 / P-384 / P-521 | dezelfde functies met eccP256 / eccP384 / eccP521 | TsgcECCurve noemt nu zeven curves, zodat sleutelgeneratie, ondertekenen, verifiëren, ECDH en puntcompressie allemaal de NIST-priemcurves bereiken vanuit raw sleutelbytes, niet alleen vanuit een PEM-bestand. |
| Deterministische ECDSA-nonce | ingebouwd in sgcECDSA_SignHash | RFC 6979: de nonce wordt afgeleid van de private sleutel en het bericht, geen RNG-faalmodus. |
| ECDH (secp256k1 / Brainpool) | sgcECDH_SharedSecret | Gedeeld geheim over dezelfde vier curves. |
| Puntcompressie | sgcEC_Compress / sgcEC_Decompress | Sla de kortere gecomprimeerde publieke-sleutelvorm op of verstuur die. |
| EC als JWS (ES256/384/512) | sgcECDSA_SignJWS / sgcECDSA_VerifyJWS | Curve automatisch gekozen op basis van de gevraagde bitlengte, ondertekenen/verifiëren rechtstreeks vanuit een PEM-sleutel, JOSE-georiënteerde tegenhanger van ECCurves. |
| Generieke ECDH | sgcECDH | Gedeeld geheim uit een raw private sleutel en een remote publiek punt. |
| Raw / DER ECDSA-verificatie | sgcECDSA_VerifyRaw / sgcECDSA_VerifyDER | Verifieer tegen een raw (Qx, Qy, r, s)-tuple of een DER-gecodeerde handtekening. |
| ECDSA DER-ondertekening & -conversie | sgcECDSA_SignDER / sgcECDSA_VerifyDER, sgcECDSA_RawToDER / sgcECDSA_DERToRaw | X.509, CMS en TLS dragen de DER ECDSA-Sig-Value, een SEQUENCE van INTEGER r gevolgd door INTEGER s. JOSE en WebAuthn dragen in plaats daarvan het raw paar R || S. Onderteken rechtstreeks in beide vormen, of converteer een bestaande handtekening ertussen. |
| Schnorr-handtekeningen (BIP-340) | sgcSchnorr_PublicKey, sgcSchnorr_Sign, sgcSchnorr_Verify | Alleen secp256k1, met x-only publieke sleutels van 32 bytes en handtekeningen van 64 bytes: wat Taproot, Nostr en Lightning gebruiken. sgcSchnorr_TaggedHash wordt blootgesteld zodat de BIP-341- en BIP-342-tags op dezelfde constructie kunnen worden gebouwd. |
| RSA-ondertekening (PKCS#1 v1.5) | sgcRSA_SignPKCS1 | Vanuit een PEM private sleutel, SHA-1/256/384/512-digest. |
| RSA-verificatie (PKCS#1 v1.5 / PSS) | sgcRSA_VerifyPKCS1, sgcRSA_VerifyPSS, en _Raw-varianten over een modulus/exponent | RFC 8017. Verify werkt vanuit een PEM-sleutel of raw modulus en exponent, geen key-object-constructie nodig. |
| RSA-sleutelgeneratie | sgcRSA_GenerateKey | Elke gevraagde bitlengte, Miller-Rabin-priemtest. |
| RSA-OAEP-versleuteling | sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | RFC 8017 optimal asymmetric encryption padding. |
| RSA-OAEP met een onafhankelijke MGF1-hash | de vijf-parameteroverloads van sgcRSA_OAEP_Encrypt / sgcRSA_OAEP_Decrypt | Leg de labelhash en de MGF1-hash apart vast. OAEPWithSHA256AndMGF1Padding betekent SHA-256 voor beide in Bouncy Castle maar SHA-256 met MGF1-SHA1 in SunJCE, en die mismatch is meestal de reden waarom Java-interoperabiliteit faalt. |
| RSA PKCS#1 v1.5-versleuteling | sgcRSA_PKCS1_Encrypt / sgcRSA_PKCS1_Decrypt | RFC 8017 sectie 7.2, de modus die Java RSA/ECB/PKCS1Padding noemt. Decrypt doorloopt voor elke fout hetzelfde pad, zodat een padding-oracle er niets aan heeft. Geef de voorkeur aan OAEP voor iets nieuws. |
| RSA-PSS / PKCS#1-ondertekening | sgcRSA_PSS_Sign / Verify, sgcRSA_PKCS1_Sign / Verify | Onderteken rechtstreeks vanuit een gegenereerde TsgcRSAPrivateKey. |
| RSA-sleutelexport | sgcRSA_ExportPrivateKeyPEM, sgcRSA_ExportPublicKeyPEM, overeenkomende DER-aanroepen | PKCS#1- en SubjectPublicKeyInfo-encoderingen. |
| PKCS#8- en SEC 1-sleutelexport | sgcRSA_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeyPKCS8DER / PKCS8PEM, sgcEC_ExportPrivateKeySEC1DER / SEC1PEM, sgcEC_ExportSubjectPublicKeyInfo, sgcEC_ExportPublicKeyPEM | De container BEGIN PRIVATE KEY die Java, .NET en de meeste moderne tools verwachten, naast de SEC 1-vorm BEGIN EC PRIVATE KEY en de SubjectPublicKeyInfo die een certificaat insluit. Onversleuteld, dus wat terugkomt is kaal sleutelmateriaal. |
| RSA- en EC-sleutelimport | sgcRSA_ImportPrivateKeyDER / PEM, sgcRSA_ImportPublicKeyDER / PEM, sgcEC_ImportPrivateKeyDER / PEM, sgcEC_ImportPublicKeyDER / PEM | Dit bestond eerder niet: een gegenereerde sleutel kon worden weggeschreven maar nooit worden teruggelezen. Import accepteert PKCS#1, PKCS#8, SEC 1 en SubjectPublicKeyInfo, DER of PEM, herberekent de CRT-parameters of het publieke punt wanneer het bestand ze weglaat, en geeft False terug bij misvormde invoer in plaats van een exception te gooien, zodat niet-vertrouwde bestanden er veilig aan kunnen worden meegegeven. |
| ECIES seal / open | sgcECIES_GenerateKeyPair, sgcECIES_Seal, sgcECIES_Open | Hybride versleuteling naar een X25519-publieke sleutel: ephemere ECDH plus een AEAD, één aanroep per richting. |
Lees een certificaat dat iemand anders uitgaf, of genereer er zelf een, met een DER-encoder en -decoder eronder.
| Mogelijkheid | Functie | Opmerkingen |
|---|---|---|
| DER-lezer | sgcASN1_Read, sgcASN1_Next, sgcASN1_Content | Doorloopt een DER-structuur knoop voor knoop. |
| PEM-codec | sgcPEM_Decode / sgcPEM_Encode | RFC 7468, de wrapper -----BEGIN ... -----END rond DER. |
| RSA-sleutelparsing | sgcASN1_ParseRSAPrivateKey / PublicKey | PKCS#1-structuren (RFC 8017). |
| EC-sleutelparsing | sgcASN1_ParseECPrivateKey / PublicKey | SEC 1-sleutelstructuren. |
| DER-schrijver, structureel | sgcDER_Sequence, sgcDER_Set, sgcDER_Tagged, sgcDER_ContextExplicit / Implicit | De bouwstenen waaruit elk certificaatveld wordt samengesteld. |
| DER-schrijver, waarden | sgcDER_Integer, sgcDER_OctetString, sgcDER_BitString, sgcDER_Boolean, sgcDER_Null | Primitieve waarde-encoders. |
| DER-schrijver, strings & identifiers | sgcDER_OID, sgcDER_UTF8String, sgcDER_PrintableString, sgcDER_IA5String, sgcDER_Time | Object-identifiers, de drie stringtypes die X.509 gebruikt, en UTCTime/GeneralizedTime. |
| Certificaatparsing | sgcX509_Parse | Volledige certificaatstructuur: subject, issuer, geldigheid, publieke sleutel, extensies. |
| Handtekening-/ketenverificatie | sgcX509_VerifySignedBy, sgcX509_VerifyChain | Verifieer één certificaat tegen een issuer, of doorloop en verifieer een array van DER-certificaten. |
| CRL-parsing & intrekking | sgcX509_CRL_Parse, sgcX509_IsRevoked, sgcX509_CRL_VerifySignedBy | Parseer een Certificate Revocation List en controleer een serienummer erin. |
| Naamformattering | sgcX509_SubjectRFC2253, sgcX509_IssuerRFC2253, sgcX509_SubjectOneLine | RFC 2253 distinguished-name-strings, voor logging en weergave. |
| Extensies & SAN's | sgcX509_GetExtension, sgcX509_GetCRLDistributionURIs | Lees willekeurige extensie-OID's en CRL-distributiepunt-URI's. |
| Generatie van self-signed certificaat | sgcX509_CreateSelfSigned | Volledige TsgcX509Options: subject-DN, geldigheidsvenster, serienummer, CA-vlag met path-length-beperking, key usage, extended key usage, subject-alternative-names (inclusief IPv4-SAN's). |
| URI subject alternative names | TsgcX509Options.URIs | uniformResourceIdentifier-SAN's, voor een SPIFFE-achtige service-identiteit in plaats van een hostnaam. De waarde wordt letterlijk geschreven als IA5String-inhoud, geef dus een volledige URI mee. |
| Generatie van PKCS#10-CSR | sgcX509_CreateCSR | RFC 2986 certificate signing request vanuit hetzelfde optiesrecord. |
| EC-ondertekende certificaten & CSR's | sgcX509_CreateSelfSignedEx, sgcX509_CreateCSREx, sgcX509_ECKey, sgcX509_RSAKey | Onderteken met een EC-sleutel naast RSA door een van beide te omwikkelen in een TsgcX509SignKey. Een EC-certificaat is ruwweg een derde van de grootte van een RSA-certificaat en verifieert veel sneller. TsgcX509Options.Hash noemt nog steeds alleen de SHA, het algoritme volgt de sleutel, dus rhSHA256 met een EC-sleutel betekent ecdsa-with-SHA256. |
| PEM-uitvoer | sgcX509_ToPEM | Wrapt de gegenereerde DER als een direct opslaanbaar PEM-bestand. |
De drie algoritmen die NIST in augustus 2024 finaliseerde als FIPS 203, 204 en 205, plus een hybride combiner voor de migratieperiode.
| Mogelijkheid | Functie | Opmerkingen |
|---|---|---|
| ML-KEM-sleutelgeneratie | sgcMLKEM_GenerateKeyPair, sgcMLKEM_GenerateKeyPairFromSeed | FIPS 203, voorheen Kyber. Drie parametersets: mlkem512, mlkem768, mlkem1024. |
| ML-KEM-encapsulatie | sgcMLKEM_Encapsulate, sgcMLKEM_EncapsulateWithSeed | Produceert een vers gedeeld geheim van 32 bytes en de ciphertext die het draagt. |
| ML-KEM-decapsulatie | sgcMLKEM_Decapsulate | Faalt nooit: een misvormde ciphertext levert een pseudorandom geheim op (impliciete afwijzing) in plaats van een fout, zodat timing en foutgedrag niets onthullen. |
| ML-KEM-groottes | sgcMLKEM_PublicKeySize, PrivateKeySize, CiphertextSize, SharedSecretSize | Bytelengtes per parameterset, voor buffergrootte. |
| Hybride X25519 + ML-KEM | sgcHybrid_GenerateKeyPair, sgcHybrid_Encapsulate, sgcHybrid_Decapsulate | Combineert een klassiek en een post-quantum gedeeld geheim via een KDF, zodat het resultaat nooit zwakker is dan X25519 alleen. De aanbevolen manier om ML-KEM vandaag te implementeren. |
| ML-DSA-sleutelgeneratie | sgcMLDSA_GenerateKeyPair, sgcMLDSA_GenerateKeyPairFromSeed | FIPS 204, voorheen Dilithium. Drie parametersets: mldsa44, mldsa65, mldsa87. |
| ML-DSA ondertekenen / verifiëren | sgcMLDSA_Sign / sgcMLDSA_Verify | Deterministisch of gerandomiseerd ondertekenen volgens de FIPS 204-interface, plus een contextstring. |
| ML-DSA-groottes | sgcMLDSA_PublicKeySize, PrivateKeySize, SignatureSize | Bytelengtes per parameterset. |
| SLH-DSA-sleutelgeneratie | sgcSLHDSA_GenerateKeyPair, sgcSLHDSA_GenerateKeyPairFromSeed | FIPS 205, voorheen SPHINCS+. Stateless hash-based handtekeningen: veiligheid rust alleen op de hashfunctie, niet op een lattice- of curve-aanname. |
| SLH-DSA ondertekenen / verifiëren | sgcSLHDSA_Sign / sgcSLHDSA_Verify | Zes SHAKE-parametersets: slhShake128s, slhShake128f, slhShake192s, slhShake192f, slhShake256s, slhShake256f. De s-sets bevoordelen kleine handtekeningen, de f-sets bevoordelen snel ondertekenen. |
| SLH-DSA-groottes & naamgeving | sgcSLHDSA_PublicKeySize, PrivateKeySize, SignatureSize, sgcSLHDSA_ParamsName | SLH-DSA-handtekeningen zijn groot (7,8 KB tot 49 KB afhankelijk van de set); bepaal de buffergrootte voordat je ondertekent. |
sgcCrypto claimt geen ed25519187 of SPECK. ed25519187 heeft geen gepubliceerde specificatie, en SPECK werd in 2018 teruggetrokken uit de ISO-standaardisatie; geen van beide is hier geïmplementeerd.
De hulplaag: eenmalige codes, de encoderingen waarop de rest van de bibliotheek leunt, en WinZip AES-versleuteling.
| Mogelijkheid | Functie | Opmerkingen |
|---|---|---|
| HOTP | sgcHOTP | RFC 4226, op teller gebaseerd eenmalig wachtwoord. |
| TOTP | sgcTOTP, sgcTOTP_FromBase32 | RFC 6238, op tijd gebaseerd eenmalig wachtwoord; de Base32-variant accepteert het geheim precies zoals een authenticator-app het toont. |
| TOTP-verificatie | sgcTOTP_Verify | Controleert een ingediende code over een venster van stappen in constante tijd, zodat noch het resultaat noch de positie ervan lekt via timing. Stopt zelf geen replay; de aanroeper houdt gebruikte codes bij. |
| Vergelijking in constante tijd | sgcConstantTimeEquals | Overal in de bibliotheek gebruikt voor tag- en MAC-vergelijkingen. |
| Veilig wissen | sgcSecureZero | Overschrijft een bytebuffer zodat sleutelmateriaal niet in het geheugen blijft hangen. |
| Hex | sgcHexEncode / sgcHexDecode | Kleine letters hex, hoofdletterongevoelig decoderen. |
| Base64url | sgcBase64UrlEncode / sgcBase64UrlDecode | RFC 4648 sectie 5, zonder padding, de encoding die JWT en JOSE gebruiken. |
| Base32 | sgcBase32Encode / sgcBase32Decode | RFC 4648 sectie 6, de encoding die TOTP-geheimen en authenticator-apps gebruiken. |
| WinZip AES-sleutelafleiding | sgcZipAE2_DeriveKeys | Op PBKDF2 gebaseerde sleutel, authenticatiesleutel en wachtwoordverifier uit een wachtwoord en salt. |
| WinZip AES versleutelen / ontsleutelen | sgcZipAE2_Encrypt / sgcZipAE2_Decrypt | AE-1 en AE-2, AES-128/192/256, saltgrootte per entry via TsgcZipAESStrength. |
| WinZip-entryverpakking | sgcZipAE2_PackEntry / sgcZipAE2_UnpackEntry | Combineert salt, verifier, ciphertext en authenticatiecode in de on-disk-lay-out. |
| WinZip extra-veld | sgcZipAE2_BuildExtraField / sgcZipAE2_ParseExtraField | Het extra-veld 0x9901 dat een ZIP-entry markeert als AES-versleuteld. |
| Legacy hashes (alleen interop) | sgcMD4, sgcMD5, sgcHMAC_MD5 | Aangehouden voor het lezen van oudere formaten en protocollen; niet gebruiken in een nieuw ontwerp. |
| Legacy cipher (alleen interop) | sgcDES_EncryptECB / sgcDES_DecryptECB, sgcDES_NTLM7to8 | DES-ECB en de op DES gebaseerde NTLM-sleuteluitbreidingsstap, beide teruggetrokken (FIPS 46-3), aangehouden voor legacy-interoperabiliteit. |
| Veilige willekeurige bytes | sgcRandomBytes / sgcRandomFill | Windows CryptoAPI onder MSWINDOWS, /dev/urandom elders, één aanroep in beide gevallen. |
Wat wordt ondersteund, precies beschreven.
| Gebied | Detail |
|---|---|
| Besturingssysteem | Geen MSWINDOWS-guard, of enige andere platformguard, omhult SGC_CRYPTO in sgcVer.inc. Alle 43 units compileren voor Win32, Win64, Linux64, macOS, iOS en Android. |
| Willekeurige-getallenbron | De ene platformbewuste unit, sgcCrypto_Random, kiest een CSPRNG per doelplatform: de Windows CryptoAPI onder MSWINDOWS, /dev/urandom op POSIX-doelen, achter dezelfde aanroep sgcRandomBytes. |
| Delphi | Delphi 7 tot en met RAD Studio 13 Florence. Er wordt nergens een native 64-bit integertype verondersteld: sgcCrypto_Int64 en het type TsgcBigInt in sgcCrypto_BigInteger emuleren de rekenkunde die de hashes, curves en post-quantum-units nodig hebben. |
| C++ Builder | C++ Builder via de gegenereerde headers, dezelfde broncodeboom. |
| Design-time footprint | Geen. Er is geen sgcCrypto_Reg.pas, niets wordt met RegisterComponents geregistreerd, en geen enkele unit verschijnt op een paletpagina. |
| Dependencies | Geen OpenSSL-binding, geen externe DLL. Elke primitief is rechtstreeks geïmplementeerd in Object Pascal in de unit waarnaar je verwijst. |
| Broncode | Volledige Object Pascal-broncode in elke betaalde tier, en in de editiepakketten die sgcCrypto al bevatten. |
| Herdistributie | Binaries die je bouwt zijn royaltyvrij, zonder vergoeding per zetel of per server. |