CipherHUB Cryptography Toolkit

[utility] 健康检查 / 回显接口。客户端传入 client_msg 字符串，服务端原样回显并附加 server_msg，用于验证 MCP 通道连通性。返回字段：client_msg（回显）、server_msg（服务端附加消息）。

[random] 使用操作系统 CSPRNG 生成安全随机字节。data_length 指定字节数（1-128），返回 data_in_hex 十六进制字符串。返回字段：data_in_hex（随机数据 Hex 编码）、data_length（实际字节数）。

[hash_digest] 计算消息摘要（支持多算法批量计算）。 【支持算法】Sha1 / Sha224 / Sha256 / Sha384 / Sha512 / Sm3 / Shake128 / Shake256。 【参数】 - plain_in_hex：明文 Hex 字符串（原始数据 1B ~ 16MB） - required_hash_modes：字符串数组，指定需要计算的算法列表，默认计算…

[hash_digest] 计算 HMAC（基于哈希的消息认证码）。 【支持算法】Sha1 / Sha224 / Sha256 / Sha384 / Sha512 / Sm3（不支持 SHAKE 系列，因 SHAKE 为 XOF 非固定长度哈希）。 【参数】 - key_in_hex：密钥 Hex。SHA 系按 RFC 2104 支持 16~256 字节（超块大小会先哈希）；若算法列表含 Sm3，…

[kdf] 执行密钥派生（KDF），从高熵秘密或口令派生对称密钥材料。 【支持算法】 - HKDF（默认）：RFC 5869 extract-then-expand，底层哈希 Sha256（默认）/ Sha384 / Sha512 - Sm3Kdf：GB/T 32918 密钥派生，SM3(Z ∥ be32(ct))，ct 从 1 起，适合对 SM2 ECDH 共享秘密派生密钥 - Pbkdf2Sm…

[symmetric_cipher] 分组密码 CBC 模式加解密。 【算法】AES128（key=16B） / AES256（key=32B） / SM4（key=16B）。 【参数】 - algorithm：算法名 - process_type：Encrypt 或 Decrypt - input_data_in_hex：明文或密文 Hex（1B~16MB） - key_in_hex：密钥 He…

[symmetric_cipher] AEAD 流式加解密（认证加密）。 【算法】AES256GCM（key=32B） / ChaCha20Poly1305（key=32B） / SM4GCM（key=16B）。 【参数】 - algorithm：算法名 - process_type：Encrypt 或 Decrypt - input_data_in_hex：明文或密文 Hex（1B~16MB） …

[symmetric_cipher] PKCS7 填充/去填充工具。 【参数】 - padding_action：DoPadding（填充到 16 字节对齐）或 UnPadding（去填充） - data_in_hex：待处理数据 Hex 【输出】output_data_in_hex、output_length。 【说明】块大小固定 16 字节（AES/SM4 块大小）。通常无需单独调用此工具，b…

[rsa] 生成 RSA 密钥对。 【参数】 - key_size：2048 / 3072 / 4096（位） - private_key_password：可选，设置后私钥 PEM 用 AES-256-CBC 加密保护 【输出】public_key_in_pem、private_key_in_pem、key_size。 【后续操作】公钥用于 rsa_encryption / rsa_verify…

[rsa] RSA 公钥加密。 【参数】 - rsa_public_key_in_pem：PEM 格式公钥 - plain_data_in_hex：明文 Hex - rsa_padding_mode：RSAES_PKCS1_V1_5 / RSAES_OAEP_SHA_1 / RSAES_OAEP_SHA_224 / RSAES_OAEP_SHA_256 / RSAES_OAEP_SHA_384 /…

[rsa] RSA 私钥解密。 【参数】 - rsa_private_key_in_pem：PEM 格式私钥 - cipher_data_in_hex：密文 Hex（长度 = key_size/8 字节） - rsa_padding_mode：必须与加密时一致 - password：若私钥有密码保护则传入 【输出】plain_data_in_hex、plain_length。

[rsa] RSA 私钥签名。 【参数】 - rsa_private_key_in_pem：PEM 格式私钥 - data_in_hex：待签数据 Hex - rsa_sign_padding_mode：RSA_SIGN_PKCS1_V1_5_SHA{1,224,256,384,512} 或 RSA_SIGN_PSS_SHA{1,224,256,384,512} - rsa_sign_raw_da…

[rsa] RSA 公钥验签。 【参数】 - rsa_public_key_in_pem：PEM 格式公钥 - data_in_hex：原始数据 Hex - signature_in_hex：签名 Hex - rsa_sign_padding_mode：必须与签名时一致 - rsa_sign_raw_data_mode：必须与签名时一致 【输出】verified（bool，True=验签通过）。

[ecc] 生成 ECC 密钥对。 【曲线】ECC_SECP_256R1 / ECC_SECP_384R1 / ECC_SECP_521R1 / ECC_SECP256K1 / ECC_ED25519（仅签名）/ ECC_X25519（仅 ECDH）。 【参数】 - curve：曲线名 - private_key_password：可选，私钥 PEM 加密保护 【输出】public_key_in_…

[ecc] ECDH + HKDF 密钥协商，双方各用私钥+对方公钥派生相同对称密钥。 【参数】 - alice_ecc_private_key_in_pem：己方私钥 PEM - bob_ecc_public_key_in_pem：对方公钥 PEM - hash_algorithm：HKDF 底层哈希（Sha256/Sha384/Sha512 等，不支持 Sm3） - salt：HKDF sal…

[ecc] ECC 私钥签名（SECP* 用 ECDSA，ED25519 用 EdDSA）。 【参数】 - ecc_private_key_in_pem：PEM 私钥 - data_in_hex：待签数据 Hex - sign_raw_data_mode：True=对原文签名（内部先哈希），False=data_in_hex 已是摘要 - hash_algorithm：Sha256/Sha384/…

[ecc] ECC 公钥验签（SECP* 用 ECDSA，ED25519 用 EdDSA）。 【参数】 - ecc_public_key_in_pem：PEM 公钥 - data_in_hex：原始数据 Hex - signature_in_hex：签名 Hex - sign_raw_data_mode：必须与签名时一致 - hash_algorithm：必须与签名时一致 【输出】verified…

[sm2] 生成 SM2（SM2P256V1 / 国密曲线）密钥对。 【参数】 - private_key_password：必填，私钥 PEM 加密口令（1-64 字节；私钥只有加密 PEM 一种导出形态） 【输出】public_key_in_pem、private_key_in_pem、z_in_hex、point_x_in_hex、point_y_in_hex、public_key_in_h…

[sm2] SM2 公钥加密。 【参数】 - sm2_public_key_in_pem：PEM 格式公钥 - plain_data_in_hex：明文 Hex 【输出】cipher_in_hex_with_format 字典，同时返回四种编码格式： - C1C3C2_ASN1：ASN.1 DER 编码（推荐，国标 GM/T 0009） - C1C2C3_ASN1：ASN.1 DER 旧格式 - …

[sm2] SM2 私钥解密。 【参数】 - sm2_private_key_in_pem：PEM 格式私钥 - cipher_data_in_hex：密文 Hex - cipher_format：必须指定 C1C3C2_ASN1 / C1C2C3_ASN1 / C1C3C2 / C1C2C3 - sm2_private_key_password：若私钥加密则传入 【输出】plain_data_i…

[sm2] SM2 私钥签名。 【参数】 - sm2_private_key_in_pem：PEM 格式私钥 - data_in_hex：待签数据 Hex。 · RAW 模式（sign_raw_data_mode=True）：消息原文 Hex，服务端走标准 SM2 流程，内部计算 e = SM3(ZA || M) 后签名。 · DIGEST 模式（sign_raw_data_mode=Fa…

[sm2] SM2 公钥验签。 【参数】 - sm2_public_key_in_pem：PEM 格式公钥 - data_in_hex：待验签数据 Hex。 · RAW 模式（sign_raw_data_mode=True）：消息原文 Hex，服务端走标准 SM2 流程，内部计算 e = SM3(ZA || M) 后验签。 · DIGEST 模式（sign_raw_data_mode=Fa…

[sm2] 解析 SM2 加密私钥（ENCRYPTED PRIVATE KEY PEM）结构，返回 ASN.1 内部字段的 JSON 视图。用于调试与教学，不会解出私钥值。返回字段：structure（ASN.1 结构 JSON，含加密算法 OID、盐、迭代次数等）。

[sm2] 将 SM2 PEM 公钥转换为裸 Hex 编码（未压缩点，04 || X || Y）。返回字段：public_key_in_hex（130 个 hex 字符，65 字节）。

[symmetric_cipher] ZUC-128 流密码（中国商密算法）。由于 ZUC 是对称流密码，加解密为同一操作，传入明文即输出密文，反之亦然。key_in_hex 固定 16 字节（32 hex 字符），iv_in_hex 固定 16 字节（32 hex 字符），input_data_in_hex 原始数据长度 1B ~ 16MB。返回字段：output_data_in_hex（输出 …

[symmetric_cipher] [symmetric_cipher] CTR 计数器模式加解密（AES-256-CTR / SM4-CTR）。CTR 是把块密码转成密钥流的模式：加解密为同一操作（密钥流 XOR），无填充，密文长度与明文等长，任意长度输入（1B ~ 16MB）。algorithm 可选 AES256CTR（key 32B，cryptography 实现）或 SM4CTR（ke…

[other] [symmetric_cipher] AES-XTS 可调窄分组模式加解密（IEEE 1619 / NIST SP 800-38E）。algorithm 可选 AES128XTS（key 32B = 数据密钥 16B + 调组密钥 16B）或 AES256XTS（key 64B = 32B + 32B）。tweak_in_hex 为 16 字节调整值，编码数据单元编号/扇区地址，密…

[cert] [x509_certificate] 解析 X.509 证书（国际 / 国密 GM SM2 双路径）。输入 PEM 证书（≤10KB），返回：证书类型（X.509 (international) / X.509 (GM SM2)，按签名算法 OID 是否落在国密分支 1.2.156.10197 自动判定）、版本、序列号 hex、签名算法及 OID、颁发者/主体 DN（dict 与 R…

[cert] [x509_certificate] 用 CA 证书验证终端实体证书（单级直接签发验证）。语义：颁发者 DN 与 CA 主体 DN 匹配 + 签名可由 CA 公钥验证；不做链构建、不做吊销检查。有效期不参与 verified 判定，仅以 time_status 字段（valid/expired/not_yet_valid）信息性回显。GM 证书（签名 OID 落在 1.2.156.1…

[sm9_ibc] [sm9_ibc] 生成 SM9 标识密码主密钥（GM/T 0044，GmSSL C 实现）。key_kind='Sign' 生成签名主密钥（验签方持主公钥），'Enc' 生成加密主密钥（加密方持主公钥），默认 Enc。输出：master_public_key_in_pem（明文主公钥，分发给所有用户）与 master_private_key_in_pem（ENCRYPTED …

[sm9_ibc] [sm9_ibc] KGC 按标识提取 SM9 用户私钥（GM/T 0044）。输入：key_kind（Sign/Enc）、master_private_key_in_pem（GenerateSm9 输出的加密主私钥）、private_key_password（主私钥口令，提取的用户钥也以同一口令加密）、identity（被派发方标识，如邮箱/账号，1-63 UTF-8 字节）…

[sm9_ibc] [sm9_ibc] SM9 标识加密（GM/T 0044）。任何人持主公钥即可加密：输入 master_public_key_in_pem（key_kind=Enc 的主公钥）、identity（接收方标识，密文与标识绑定）、plain_data_in_hex（明文 hex，1-255 字节，SM9 单次加密上限受 KDF 块计数器约束）。输出：cipher_in_hex / …

[sm9_ibc] [sm9_ibc] SM9 标识解密（GM/T 0044）。接收方用 KGC 派发的用户钥解密：输入 user_private_key_in_pem（SM9ExtractKey key_kind=Enc 输出）、private_key_password（用户钥口令，与提取时一致）、identity（接收方标识，必须与加密时一致）、cipher_data_in_hex（DER 密…

[sm9_ibc] [sm9_ibc] SM9 标识签名（GM/T 0044）。签名者用 KGC 派发的用户钥签名：输入 user_private_key_in_pem（SM9ExtractKey key_kind=Sign 输出）、private_key_password（用户钥口令）、data_in_hex（消息原文 hex，签名前内部先算 SM3 摘要，流式处理，仅支持原文模式）。输出：si…

[sm9_ibc] [sm9_ibc] SM9 标识验签（GM/T 0044）。验签方只需主公钥与签名者标识：输入 master_public_key_in_pem（key_kind=Sign 的主公钥）、identity（签名者标识）、data_in_hex（消息原文 hex）、signature_in_hex（DER 签名，恰 104 字节 = 208 hex 字符）。verified=fal…

[pqc_kem] 生成 ML-KEM 密钥对（FIPS 203，后量子密钥封装标准）。 【算法选择】ML-KEM-512（NIST Level 1）/ ML-KEM-768（Level 3，推荐）/ ML-KEM-1024（Level 5）。 【参数】 - algorithm：算法名 - seed_in_hex：64 字节种子 hex（128 字符），确定性生成 - use_random_see…

[pqc_kem] 使用 ML-KEM 公钥执行密钥封装（FIPS 203）。 【算法】ML-KEM-512 / ML-KEM-768 / ML-KEM-1024。 【参数】 - algorithm：必须与 keygen 时一致 - public_key_in_hex：ml_kem_keygen 返回的公钥 hex 【输出】ciphertext_in_hex、ciphertext_in_base6…

[pqc_kem] 使用 ML-KEM 私钥执行密钥解封装（FIPS 203）。 【算法】ML-KEM-512 / ML-KEM-768 / ML-KEM-1024。 【参数】 - algorithm：必须与 keygen/encap 一致 - secret_key_in_hex：ml_kem_keygen 返回的私钥 hex - ciphertext_in_hex：ml_kem_encap 返回…

[pqc_signature] 生成 ML-DSA 密钥对（FIPS 204，后量子数字签名标准）。 【算法选择】algorithm 支持 ML-DSA-44（NIST Level 2）/ ML-DSA-65（Level 3，默认）/ ML-DSA-87（Level 5）。 【安全等级参考】ML-DSA-44 ≈ AES-128 / ML-DSA-65 ≈ AES-192 / ML-DSA-87 …

[pqc_signature] 使用 ML-DSA 私钥对消息签名（FIPS 204）。 【双模式】sign_mode 支持 RAW（默认）和 EXTERNAL_MU 两种模式。 - RAW 模式：直接签名原始消息（liboqs，最大 256 字节） - EXTERNAL_MU 模式：先计算 mu = SHAKE-256(tr||M', 64)，再通过 OpenSSL 3.5+ mu 模式签名（最…

[pqc_signature] 使用 ML-DSA 公钥验证签名（FIPS 204）。 【双模式】sign_mode 支持 RAW（默认）和 EXTERNAL_MU 两种模式，必须与签名时使用的模式一致。 - RAW 模式：直接验证原始消息签名（liboqs，最大 256 字节，空消息合法） - EXTERNAL_MU 模式：先计算 mu，再通过 OpenSSL 3.5+ mu 模式验签，可验证 …

[pqc_signature] 独立计算 ML-DSA 的 64 字节 mu 值（FIPS 204 Section 6.2）。 【用途】用于验证或调试 EXTERNAL_MU 模式的中间值，或与 AWS KMS EXTERNAL_MU 签名流程对接。 【计算公式】 - tr = SHAKE-256(raw_pk, 64) - M' = 0x00 || len(ctx) || ctx || mess…

[pqc_kem] 执行 X25519 + ML-KEM-768 混合密钥交换全流程演示。 【设计灵感】参考 IETF X-Wing 草案（draft-connolly-cfrg-xwing-kem）的思路，本工具实现的是通用拼接组合器（ecdh_ss || ml_kem_ss → HKDF-SHA256），并非 X-Wing 规范本身的组合器。 【参数】所有密钥参数均可选： - alice_x2…

[structured_message] 把 JSON 载荷编码为 CBOR 字节流（RFC 8949）。 【算法】CBOR 规范编码（RFC 8949 §4.2.1）或不定长教学编码（§3.2.2）。 【参数】 - json_payload：待编码的 JSON 文本（≤65536 字符），支持两类教学标记： {"$bytes": "<hex>"} 渲染为 byte string（major …

[structured_message] 把 CBOR 字节流解码为 JSON，并给出逐字段结构拆解树（RFC 8949）。 【算法】CBOR 解码，定长（§3.2.1）与不定长（§3.2.2）均容忍； 要求单数据项且逐字节闭合（尾随字节即拒绝）。 【参数】 - cbor_in_hex：CBOR 字节的十六进制字符串（1B~128KB） 【输出】decoded_json（bytes→{"hex":…

[cose_sign1] 构造并签名 COSE_Sign1 消息（RFC 9052 §4.2，算法 RFC 9053）。 【算法】ES256(-7, P-256+SHA-256) / ES384(-35, P-384+SHA-384) / ES512(-36, P-521+SHA-512) / EdDSA(-8, Ed25519)。ES 系签名为裸 r||s （坐标左补零到曲线宽度，ES512 坐…

[cose_sign1] 验证 COSE_Sign1 签名（RFC 9052 §4.4 Sig_structure 重构验签）。 【算法】按 protected 头 alg 声明分派：-7/-35/-36（ES，裸 r||s → DER） 与 -8（Ed25519）。 【参数】 - cose_sign1_in_hex：COSE_Sign1 消息（≤128KB，hex） - ecc_public_k…

[cose_sign1] 纯拆解 COSE_Sign1 消息，不验签（RFC 9052 §4.2）。 【算法】CBOR 四元素数组 [protected, unprotected, payload, signature] 逐字段拆解；protected 头解码出 alg；payload 尝试嵌套 CBOR 解码。 【参数】 - cose_sign1_in_hex：COSE_Sign1 消息（≤12…

[cms_enveloped] 构造 CMS EnvelopedData 信封（RFC 5652 §6，KeyTransRecipientInfo）。 【算法】密钥封装 RSAES-OAEP（RFC 8017 / RFC 3560 参数：hashFunc + MGF1 同哈希 + 空 pSource）或 RSAES-PKCS1-v1_5；内容加密 AES-128/256-CBC （RFC 3565…

[cms_enveloped] 解密 CMS EnvelopedData（RFC 5652 §6）/ authEnvelopedData（RFC 5083）， BER/DER 输入均容忍。 【算法】按消息声明还原算法：rsaesOaep 参数（hashFunc/MGF1/pSource， RFC 3560）重建 OAEP padding，内容算法按 OID 分派（CBC 去 PKCS#7 填充 /…

[cms_enveloped] 纯拆解 CMS EnvelopedData（RFC 5652 §6）/ authEnvelopedData（RFC 5083）， 不解密。 【算法】自写 ASN.1 TLV walker（X.690 BER 容忍）出结构树 + asn1crypto 出结构化字段，两层对照。 【参数】 - cms_in_hex：信封 DER/BER 的十六进制（≤16MB） 【输出】…

[cms_signed] 构造 CMS SignedData 签名消息（RFC 5652 §5）。 【算法】RSA PKCS#1 v1.5 或 ECDSA × SHA224/256/384/512； authenticatedAttributes 自动携带 contentType + messageDigest + signingTime + SMIMECapabilities，签名按 §5.4 …

[cms_signed] 验签 CMS SignedData（RFC 5652 §5），BER/DER 输入均容忍。 【算法】按消息声明还原 digestAlgorithm / signatureAlgorithm： RSA PKCS#1 v1.5、ECDSA、Ed25519、SHA1 消息均可验；rsassa_pss 按 RFC 8017 A.2.3 参数（hashFunc / MGF1 / s…

[structured_message] 解剖任意 ASN.1/BER 字节的 TLV 结构，给出逐节点拆解树与 DER 判定（X.690）。 【算法】ASN.1 显微镜：定长（§8.1.3.3-5）/不定长 BER（§8.1.3.6，0x80+EOC）/ 分段八位串（§8.7）/高 tag 号（§8.1.2.4）均容忍；要求单根逐字节闭合。 【参数】 - asn1_in_hex：ASN.1/BE…

[structured_message] 把 JSON 节点 DSL 编码为 DER 字节（X.690）。 【算法】DER 规范编码（定长最短 + SET OF 排序）；或教学 BER 不定长 （构造容器 0x80 + EOC，复刻 AWS KMS 回包形态）。 【参数】 - json_payload：节点 DSL（≤65536 字符），一节点一主键： {"integer": n}/{"enu…

Complete catalog of all cryptographic algorithms supported by CipherHUB, including parameter constraints, key sizes, and compatibility notes.

Mapping of all MCP tools organized by category (hash, symmetric, RSA, ECC, SM2, PQC, utility), showing tool relationships.

Summary of CipherHUB vs AWS KMS interoperability verification. 70/70 passed across RSA, ECC, ECDH, Ed25519, HMAC, and ML-DSA.

Summary of CipherHUB vs Tencent Cloud KMS interoperability verification. 39/39 passed including SM2, SM4, RSA, and ECC.

Summary of CipherHUB vs OpenSSL 3.6 interoperability verification. 148/154 passed including Hash, HMAC, CBC, AEAD, RSA, ECC, SM2, ML-KEM, ML-DSA, and Hybrid KEX.

Complete Python reference implementation of the CipherHUB encrypted REST channel protocol. Covers ECDH key agreement (SECP521R1), HKDF-SHA512 key derivation, ChaCha20-Poly1305 encryption with PKCS#7 p…

Complete guide for AI Agents to use CipherHUB MCP tools. Includes initialization, tool listing, tool call examples, error handling, rate limit avoidance, and parameter notes for every tool.

Performance benchmark data for all CipherHUB operations. Includes Avg/P50/P95/Max latency and MaxQPS for 29 test cases. AI Agents should read this before integrating to avoid triggering 429 rate limit…

Assess post-quantum cryptography migration readiness. Guides you through generating ML-KEM/ML-DSA keys, testing encapsulation/signature flows, and comparing with classical algorithms.

Verify that a public key and private key form a valid pair. Supports RSA, ECC, and SM2. Signs a test message with the private key and verifies with the public key.

Demonstrate a complete end-to-end encryption flow: generate a key pair, derive a shared secret via key exchange, encrypt plaintext with AEAD, and decrypt to verify correctness.

Complete digital signature workflow: generate key pair, sign a message, then verify the signature. Supports RSA-PSS, ECDSA, SM2, and ML-DSA.

Demonstrate X25519 + ML-KEM-768 hybrid key exchange. Generates both classical and post-quantum key pairs, performs the full hybrid KEX, and verifies both parties derive the same shared secret.

Get algorithm recommendations based on your use case. Considers performance, security level, compliance requirements (FIPS 140-3, GM/T), and post-quantum readiness.