CESS — 密码学增强的沙米尔秘密共享

这是人工智能的胡扯还是劣质内容？

一位密码学家或严肃的实现者在审查 CESS 时，通常会先打开 vectors/ 和 testdata/，然后再阅读文字描述。测试套件就是工作证明：它编码了领域知识，而这些知识仅靠叙述是无法替代的。

这并不意味着要向其他人隐藏要点。评估项目以决定采购、是否贡献、制定政策、或者在没有深入加密测试方法培训的情况下发布代码的人们，仍然需要一个指向具体证据的指引。该仓库已经声明了审计规则和算法排除项；将这些叙述与已发布的测试向量关联起来，弥合了“页面上的声明”与“可运行的工件”之间的差距。

查看内容： 一致性材料包括 RFC 8439 中关于 ChaCha20-Poly1305（该项目规范性引用的 IETF AEAD）的工作示例，以及 [testdata/wycheproof/](https://github.com/supermagnum/cess/blob/HEAD/testdata/wycheproof/) 下包含的 Wycheproof 中用于 ChaCha20-Poly1305 边界情况的 JSON。连同项目自身在 [vectors/](https://github.com/supermagnum/cess/blob/HEAD/vectors/) 中的 TOML 向量，它们是运行者和审查者可以验证的事实依据。

RFC 8439 由互联网工程任务组（IETF） 发布，该组织负责标准化互联网互操作的许多方面。RFC（意见征求稿） 是协议和许多加密规范的常用形式。RFC 8439 定义了 ChaCha20-Poly1305 认证加密（基于 Daniel Bernstein 的设计），并包含了具体的输入和期望输出的工作示例，以便独立实现可以检查它们是否逐字节符合标准。广泛流传的明文开头是 Ladies and Gentlemen of the class of '99: wear sunscreen，出现在 RFC 的附录示例中：如果你的代码精确地重现了 AEAD 输出，那么你就有了一个强有力的检查，证明你正确地实现了该结构。这相当于加密领域的官方答案。 (更早的 RFC 7539 为其他 IETF 上下文记录了 ChaCha20 和 Poly1305；RFC 8439 是本项目及 spec/CESS-v0.2.md 中使用的 AEAD 的常用参考。)

Wycheproof 是由 Google 安全团队（2017 年）发布的测试语料库。其名称指的是澳大利亚的 Wycheproof 山——常被引为世界上最小的山——因为该项目专注于清除微小但致命的障碍：整数溢出、边界情况、畸形输入和被篡改的认证标签；这些失败在真实部署的加密中反复出现。它补充了 RFC 风格的向量：RFC 8439 风格的示例证明了针对已发布 AEAD 的正确性；Wycheproof 则强调了实现历史上容易出错的地方的健壮性。

至于这对该标准意味着什么，由见多识广的读者自行判断。

当 PR 关闭后，还可以使用以下方式检查 crate 的完整性： https://github.com/rust-lang/cargo/issues/16850

版本： 0.2
状态： 仅规范（规范性文本和测试向量）

本项目已在 开放发明网络 (OIN) 注册，这是一个保护与 Linux 相关的开源软件的防御性专利池。开放预印本发布（确立现有技术）、OIN 会员身份和 GPL-3.0 许可的组合，旨在确保该技术保持自由可用，并且不能被任何国家或商业行为者私有化或限制。

CESS 是一个开放的加密标准，用于阈值秘密共享，并结合了密码无关的认证加密、基于密码的分片包装以及可选的后量子混合密钥交换。它专为需要长期保密性、离线注册、硬件令牌绑定以及独立于 NSA/NIST 仅算法基线的采购路径的部署而设计。

非技术读者可以从词汇表开始（A–Z 的通俗术语）。

CESS 存在的原因

现有的生态系统解决了部分问题，但仍存在空白：

• GnuPG 提供了强大的加密和签名功能，但没有为沙米尔分片结合现代 AEAD 和跨司法管辖区托管工作流提供规范性的、可互操作的配置文件。
• Autocrypt 侧重于机会性邮件加密，而不是使用 PIN 包装分片对长期机密进行阈值分割。
• SLIP-0039 标准化了种子沙米尔分片的助记词编码；CESS 通过二进制分片信封、明确的密码协商、Brainpool ECDH 配置文件、基于 Argon2id 的 PIN 处理以及 CESS-PQ 混合组合器来补充这一领域。

CESS 定义的是标准；SplitDisk（以及类似产品）是参考场景和示例部署，而非标准本身。

密码无关的设计

CESS 固定了GF(2^8) 上的沙米尔秘密共享以及若干经审计的非可选完整性和密码原语。所有批量加密、KEM、KDF 和 MAC 层都可以从经审计的注册表中选择，但必须遵守两名独立审计员规则和硬性排除列表（参见 spec/CESS-v0.2.md 和 ALGORITHM-REGISTRY.md）。

审计要求与排除项（摘要）

• 密码无关层中的每个原语必须拥有两个或更多来自合格审计员名单（NESSIE、CRYPTREC、ECRYPT/eSTREAM、IACR 同行评审、BSI、NCC Group、Cure53、Kudelski Security、JP Aumasson、PHC 委员会）的独立评估。
• NSA 设计输入、NIST/FIPS 仅审查以及若干算法（AES、SHA-2、SHA-3、NIST 曲线、ML-Kyber、Dual_EC_DRBG、RC4、DES、3DES、HMAC-SHA-*）被排除，并在规范中给出了明确理由。
• X25519 / Ed25519 在具有记录理由（Bernstein 设计；广泛的独立审计）的情况下可选地允许。

为何排除 NIST 素数曲线（P-256、P-384、P-521）

广泛用于美国政府和行业的 NIST 素数域曲线（P-256、P-384、P-521）是通过一个 NSA 发挥了记录在案作用的过程选出的。CESS 并非依赖单个数学证明这些曲线是弱的；它应用了一项策略排除，以便该标准可以服务于需要在 NSA/NIST 仅基线之外证明合理性的加密、并且偏好独立审查原语的采购、联络和工程路径（参见 spec/CESS-v0.2.md 第 3 节和 ALGORITHM-REGISTRY.md）。

CESS 中的经典 ECDH 使用 Brainpool 曲线（RFC 5639） 代替。这些曲线的参数由已发布的生成规则产生，并且它们非常适合 BSI 对齐和 欧盟中心的讨论，同时覆盖了可比的安全性目标（例如 BrainpoolP384r1 与 P-384 级安全性）而无需采用被排除的 NIST 曲线族。

详细信息：spec/CESS-v0.2.md 第 3 节、spec/CRYPTO.md 和 ALGORITHM-REGISTRY.md。

仓库布局

许可

专利与 OIN

贡献者同意 PATENTS.md 中的专利不主张承诺。本项目已在 开放发明网络 (OIN) 注册，这是一个用于与 Linux 相关的开源软件的防御性专利池。通过 OIN 进行的交叉许可本身并不涵盖该生态系统之外的各方；该承诺旨在为符合规范的实现填补这一空白。

受众

• 密码学家与协议工程师
• 政府机构与国防承包商（尤其是欧盟中心的采购）
• 硬件安全令牌与智能卡供应商（CCID 配置文件）
• 构建阈值保管与灾难恢复工具的开源开发者

贡献方式

参见 CONTRIBUTING.md。拉取请求被视为同意 PATENTS.md。规范变更需要来自不同国家的两名审查员。新算法使用 ALGORITHM-REGISTRY.md（先对注册表开启 PR，如需，再对 spec/CESS-v0.2.md 中的交叉引用开启 PR）。

向注册表添加密码

1. 确认两项合格审计且无硬性排除。
2. 开启 PR 编辑 ALGORITHM-REGISTRY.md（证据表、标识符分配）。
3. 在 vectors/ 下添加或扩展覆盖新套件的测试向量。
4. 根据 CONTRIBUTING.md 获得两名维护者审查。

文档索引

• 词汇表（非技术性 A–Z）
• 主要标准
• CRYPTO（原理）
• GOVERNMENT（部署）
• 算法注册表
• 一致性
• 一致性运行器 / 内部级联 KAT
• 向量指南
• 测试运行器
• 专利

与 SplitDisk 的关系

CESS 是标准。SplitDisk 是一个示例实现场景（例如磁盘加密结合分片分发）；该工具的规范存在于该仓库中。产品可以根据 CONFORMANCE.md 声明符合 CESS-CORE、CESS-FULL 或 CESS-PQ，而无需使用 SplitDisk 名称。