可接受短 Weierstrass 形式

SM2

SM2 是中国的 256 位椭圆曲线，与 SM2 签名算法、SM2 密钥交换算法以及 SM3 哈希算法配套使用。

SM2 是形如 y² = x³ + ax + b 的短 Weierstrass 曲线，定义在 256 位素域上，其素数阶子群为 256 位，余因子为 1；估计安全级别为 128 位。状态：安全，但仅限特定地区或小众场景。

该曲线是 p = 2^256 − 2^224 − 2^96 + 2^64 − 1 上的 y² = x³ − 3x + b，2010年由中国国家商用密码管理办公室（OSCCA）发布，后被标准化为 GB/T 32918。OpenSSL 称之为 SM2，TLS 则将其列为 curveSM2。

SM2 签名算法不是 ECDSA：签名者先对用户标识和公钥做哈希，得到值 Z_A，并将其拼接在消息之前，而且签名方程也不同，因此 SM2 密钥无法配合 ECDSA 验证器使用。RFC 8998 将 SM2 和 SM3 引入 TLS 1.3（组 41，签名方案 sm2sig_sm3），RFC 9563 则将它们作为算法 17 引入 DNSSEC。