sgcCrypto — 面向 Delphi 和 C++ Builder 的现代加密库

sgcCrypto_AES 涵盖 CBC、GCM 和 CTR；sgcCrypto_Modes 增加了 ECB、OFB、CFB、密文窃取 CTS、AES-CCM、AES-OCB（RFC 7253）、AES-EAX，以及 AES Key Wrap / 带填充的 Key Wrap（RFC 3394 / 5649）；sgcCrypto_CMAC 是 AES-CMAC 和 AES-GMAC。sgcCrypto_ChaCha 实现了 ChaCha20、XChaCha20、Salsa20 和 XSalsa20，sgcCrypto_Poly1305 将 Poly1305 与它们配对，构成 RFC 8439 中的 ChaCha20-Poly1305 和 XChaCha20-Poly1305 AEAD 密码。AES-CCM 是 Zigbee、蓝牙和 TLS CCM 密码套件按名称指定使用的 AEAD，因为它除了分组密码本身之外别无所需；而 CBC 和 ECB 都可以配合您所选择的填充方案使用，PKCS#7、ANSI X9.23、ISO 7816-4 及其余方案，供您在需要读取另一系统所写数据的那天使用。sgcAES_GCM_Decrypt 和 Poly1305 验证函数都以恒定时间比较认证标签，验证失败时拒绝返回明文。

sgcCrypto_SHA2 和 sgcCrypto_Keccak 涵盖 SHA-1/2、SHA-3、SHAKE、cSHAKE 和 KMAC；sgcCrypto_Blake2b 和 sgcCrypto_Blake2s 增加了 BLAKE2。sgcCrypto_HMAC 是带密钥的消息认证。用于将密码转换为密钥的有：sgcCrypto_KDF（PBKDF2）、sgcCrypto_HKDF、sgcCrypto_Scrypt，以及实现了全部三种 Argon2 变体（d、i 和 id，密码哈希竞赛的获胜者）的 sgcCrypto_Argon2。sgcCrypto_SipHash 为哈希表键提供快速的带密钥哈希，sgcCrypto_TLSH 则是一种带相似度距离函数的模糊哈希，而非密码学摘要，可用于近似重复检测。

sgcCrypto_Ed25519/Ed448 负责签名和验证；sgcCrypto_X25519/X448 完成相应的 Diffie-Hellman 密钥交换。sgcCrypto_ECCurves 增加了基于七条曲线的 ECDSA 与 ECDH：secp256k1、三条 Brainpool 曲线以及 NIST P-256/P-384/P-521，并采用 RFC 6979 确定性 nonce 以及原始或 DER 格式的签名，此外还内置了 BIP-340 Schnorr 签名，提供 Taproot、Nostr 和 Lightning 所需的仅 x 坐标公钥。sgcCrypto_EC 则是面向 JOSE 的姊妹单元：直接对 JWS 进行签名和验证，支持 ES256/384/512。sgcCrypto_RSA 可直接从 PEM 密钥验证 PKCS#1 v1.5 和 PSS 签名，sgcCrypto_RSA_Keys 更进一步，支持任意位长的密钥生成、OAEP 与 PKCS#1 v1.5 加密，以及 PKCS#1 和 PKCS#8 BEGIN PRIVATE KEY 两种形式的 DER/PEM 导出。RSA 和 EC 密钥导入与导出同样便捷，支持 DER 或 PEM 格式，因此生成一次的密钥可以被保存并重新载入，而不必只在进程存活期间存在。sgcCrypto_ECIES 通过对 X25519 公钥进行混合封装/解封加密来补全这一分类。

sgcCrypto_ASN1 读取 DER 和 PEM，并解析 PKCS#1/SEC 1 密钥；sgcCrypto_DER 编写证书或 CSR 所需的每一个标签。sgcCrypto_X509 解析证书，验证它是否由指定颁发者签发，遍历并验证证书链，验证 CSR，还能解析 CRL 以检查吊销状态。sgcCrypto_X509_Gen 可从零生成自签名证书或 PKCS#10 CSR，CA 则通过 sgcX509_CreateSigned 或 sgcX509_CreateSignedFromCSR 签发：完整的主题和颁发者可分辨名称、有效期、带路径长度限制的 CA 标志、密钥用途标志、扩展密钥用途 OID，以及主题备用名称，其中 IP 地址 SAN 现在接受任意 RFC 4291 文本形式的 IPv6，URI SAN 则面向 SPIFFE 风格的服务身份。

签名不再局限于 RSA 和 EC。sgcX509_MLDSAKey 和 sgcX509_SLHDSAKey 为 sgcX509_CreateSelfSignedEx 和 sgcX509_CreateCSREx 包装一个后量子密钥，因此证书或 CSR 可以用 ML-DSA 或 SLH-DSA 签名。CA 还可以为 ML-KEM 公钥签发证书（RFC 9935），但 ML-KEM 无法签名，所以必须用其他方式证明私钥持有。在读取一侧，TsgcX509PublicKeyType 新增了 x509pkMLDSA、x509pkSLHDSA 和 x509pkMLKEM，而 sgcX509_VerifyChain 现在会强制执行 basicConstraints 路径长度以及 nameConstraints 扩展，覆盖 dNSName、iPAddress、rfc822Name、uniformResourceIdentifier 和 directoryName，生成一侧则由 PermittedDNSNames、ExcludedDNSNames、PermittedIPRanges 和 ExcludedIPRanges 写入这些约束。EC 证书的体积依然大约只有 RSA 证书的三分之一，验证速度也快得多，这正是新部署纷纷选择它的原因。

sgcCrypto_MLKEM 是 FIPS 203 密钥封装，提供三种参数集（ML-KEM-512/768/1024），对畸形密文采用隐式拒绝。sgcCrypto_MLDSA 是 FIPS 204 签名，ML-DSA-44/65/87。sgcCrypto_SLHDSA 是 FIPS 205，覆盖全部六种 SHAKE 参数集：128s、128f、192s、192f、256s、256f。由于单独使用 ML-KEM 意味着完全押注在一个比椭圆曲线更年轻的格假设上，sgcCrypto_MLKEM_Hybrid 将 X25519 密钥和 ML-KEM 密钥组合成一个共享密钥，因此结果的安全性永远不会弱于经典的那一半，这也是整个行业正在趋同采用的迁移方案。

同一个单元还实现了 X-Wing（draft-connolly-cfrg-xwing-kem-10），把 X25519 与 ML-KEM-768 合成为一个 KEM：公钥 1216 字节，私钥 32 字节（即种子），密文 1120 字节，共享密钥 32 字节，通过 sgcXWing_GenerateKeyPair、sgcXWing_Encapsulate 和 sgcXWing_Decapsulate 使用。它还为 X25519MLKEM768、SecP256r1MLKEM768 和 SecP384r1MLKEM1024（IANA 代码点 0x11EC、0x11EB 和 0x11ED）构建 RFC 10024 的 TLS 1.3 混合密钥共享。这三者不是独立的 KEM，它们只用于构建 TLS 密钥共享。

三种算法现在都能以 X.509 SubjectPublicKeyInfo、PKCS#8 OneAsymmetricKey 和 PEM 读写密钥，因此后量子密钥与 RSA 或 EC 密钥存放在同样的文件里。ML-DSA 和 ML-KEM 私钥有三种形式，由 TsgcPQCPrivateKeyFormat 选择：pqkfSeed 只写入种子（ML-DSA 为 32 字节，ML-KEM 为 64 字节的 d||z 种子），pqkfExpanded 写入展开后的密钥，pqkfBoth 两者都带。SLH-DSA 只有一种私钥形式。sgcMLDSA_GenerateKeyPairAndSeed 和 sgcMLKEM_GenerateKeyPairAndSeed 在返回密钥对的同时交回种子，因此生成之后就能直接写出种子形式的文件。

sgcCrypto_PGP 支持 OpenPGP 版本 4（RFC 4880 和 RFC 6637）和版本 6（RFC 9580），无需外部 DLL，也不依赖 Indy。sgcPGP_GenerateKey 可创建 RSA 2048/3072/4096、Ed25519、Ed448、X25519、X448 以及 NIST P-256/P-384/P-521 密钥，TsgcPGPKey 和 TsgcPGPKeyRing 负责导入和导出密钥与密钥环（包括 Brainpool），私钥通过 Argon2 或迭代 S2K 以口令保护。sgcPGP_Encrypt 和 sgcPGP_EncryptSymmetric 可向公钥或口令加密，并可在同一次调用中签名，同时选择所有接收者都支持的格式：采用 OCB、EAX 或 GCM 的 RFC 9580 AEAD 加密，或 GnuPG 可读取的经典 SEIPD v1。sgcPGP_Decrypt 还能读取 GnuPG 2.4 默认写出的 OCB 加密消息。

sgcPGP_Sign、sgcPGP_ClearSign、sgcPGP_Verify 和 sgcPGP_VerifyDetached 涵盖分离签名、内联签名和明文签名，ASCII 装甲以及 ZIP/ZLIB 压缩由新的纯 Pascal 单元 sgcCrypto_Deflate 提供。面对恶意消息，内置了各项限制、受限的 Argon2 参数和解压限制，每一次解密失败都返回相同的通用错误。互操作性已针对 GnuPG 2.4.5 双向测试，并对照 RFC 9580 测试向量验证。不支持 DSA 和 ElGamal 运算，也不支持 CAST5、3DES、IDEA 和 BZip2。

sgcCrypto_OTP 生成并验证 HOTP 和 TOTP 验证码，也就是身份验证器应用显示的那种六位数验证码，并使用恒定时间的验证窗口来吸收时钟偏差。sgcCrypto_Encoding 保存了库中其余部分共用的工具函数：恒定时间比较、安全缓冲区清零、十六进制、Base64url 和 Base32。sgcCrypto_Zip_AE2 实现了 WinZip AES 加密（AE-1 和 AE-2），用于加密单个 ZIP 条目。sgcCrypto_Random 是库中其他位置生成的每个密钥和 nonce 背后的跨平台 CSPRNG，sgcCrypto_Legacy 则保留了 MD4/MD5/HMAC-MD5/DES-ECB，仅用于与旧格式互操作，不建议用于新设计。