# POSITION.md — FIBEMATE 项目定位声明

> **Version**: 1.0  
> **Date**: 2026-08-24  
> **Status**: Published — 8/31 开源发布版本

---

## 一、项目是什么

FIBEMATE 是一个**中文 PQC 可执行教科书 · 国密 × PQC 混合验证平台**：对外主推可执行、可复现的教材，向内承接国密（SM2/SM3/SM4）与 NIST PQC 的混合验证工程。提供：

- **算法可视化**：ML-KEM-768、SM2、SM4 等算法的完整加解密过程 3D 可视化（26 个交互式演示）
- **失败档案**：失败案例 + 根因分析（拒绝制造"只跑 KAT = 正确"的假象）
- **互操作验证**：与 GB/T 32918/32907/32918-2026 标准的交叉验证报告
- **公开记录**：参考资料引用库（学术文献、工业标准、开源实现对照）

**不是**：通用密码库、生产级加密系统、商业密码产品。

---

## 二、市场定位

### 密码市场现实

| 梯队 | 机构 | 能力 | FIBEMATE 位置 |
|------|------|------|--------------|
| T0 | liboqs / OpenSSL 3.5 | PQC 生产级 | — |
| T1 | 铜锁 Tongsuo / 华为 OpenHiTLS | 国密 + PQC 企业级 | — |
| T2 | 三未信安 / 格尔软件 / 安恒信息 | 国密商业产品 | — |
| T3 | 零信浏览器 | 浏览器 PQC 支持 | — |
| **FIBEMATE** | — | 教育内容 + 可视化 | **中文 PQC 教育入口** |

### 为什么存在

**T0–T3 全被压制，没有任何梯队缝隙可以正面竞争。**

唯一未被占领的位置：**中文 PQC 教育内容生态**。

- 国际选手无中文内容（liboqs/OQS 文档英文）
- 国内 T1/T2 专注企业销售，不做教育内容
- 零资质个人项目，无法进入金融/政务市场

做「**生态的教科书**」——被高校引用、被社区教学使用、被研究者做互操作对拍——比竞争 stars 更有价值。

---

## 三、核心差异

### 相比 liboqs / OQS

| 维度 | liboqs | FIBEMATE |
|------|--------|----------|
| 语言 | C + Python | 中文 + 浏览器 |
| 目标用户 | 开发者 | 学生 + 研究者 |
| 特色 | 全算法覆盖 | **可视化 + 失败档案** |
| 内容语言 | 英文 | **中文** |

### 相比国密 T1/T2

| 维度 | Tongsuo / OpenHiTLS | FIBEMATE |
|------|---------------------|----------|
| 资质要求 | 需要 | 无 |
| 目标市场 | 企业商业 | 教育评估 |
| 特色 | 生产可用 | **交互式学习** |
| 内容 | API 文档 | **过程可视化 + 失败案例** |

---

## 四、已知限制（开源前公开）

本项目为**教育与评估用途**，不适用于生产加密系统。使用前请评估以下限制：

### 4.1 安全限制

- ⚠️ **未通过第三方正式密码安全审计**（审计计划已启动，NLnet 9-10 月评估）
- ⚠️ **SM2 实现基于 BigInt 非恒定时间**（适用教育场景，生产请使用铜锁/OpenHiTLS）
- ⚠️ **Double Ratchet 实现为教育参考**（Signal 协议简化版，未经过正式验证）
- ⚠️ **弃用 `Math.random()` 历史代码残留**（sm-crypto 0.5.6 前版本，已升级但历史 commit 可见）

### 4.2 工程限制

- ⚠️ **SM2 存在 0.2% 量级签名失败率**（已知边界条件问题，已修复但需 10 万轮回归确认）
- ⚠️ **Session 管理尚未完全稳定**（桌面端 Double Ratchet 在部分并发场景偶发）
- ⚠️ **无多设备同步协议**（当前为单设备设计）
- ⚠️ **移动端尚未完成**（Capacitor Tauri 移植进行中）

### 4.3 合规限制

- ⚠️ **非商用密码产品**，不得用于需要商密资质的市场（金融、政务、医疗等受监管场景）
- ⚠️ **SM4 无侧信道防护**（恒定时间实现为 P2 待办项）

---

## 五、2026-2027 路线图

### 短期（开源后 90 天）

- [ ] 第三方正式密码审计（NLnet 申请中，目标 9-10 月）
- [ ] Double Ratchet 全 Rust 化（消除 JS/Rust 双轨漂移）
- [ ] SM4 恒定时间实现（位切片 S-box）
- [ ] 移动端 Tauri 移植（iOS/Android）

### 中期（2026 Q4 — 2027 Q2）

- [ ] PQC 迁移就绪度评估工具 MVP（CARS 评分 + CBOM 分析 + 密码法合规自评）
- [ ] 与 liboqs / 铜锁 / OpenSSL 3.5 互操作测试公开报告
- [ ] Deep-Dive 系列内容（ML-KEM-768 详解 / Nonce 截断复盘 / TLA+ 验证）
- [ ] 高校合作引入（课程引用计划）

### 长期（2027+）

- [ ] 评估工具 SaaS 化（订阅制，资质壁垒外唯一变现路径）
- [ ] PQC 工程认证课程体系
- [ ] GB/T 32918-2026 / NIST PQC 标准 互操作认证报告

---

## 六、术语说明

| 术语 | 说明 |
|------|------|
| PQC | Post-Quantum Cryptography，后量子密码学 |
| ML-KEM | Formerly CRYSTALS-Kyber，NIST 后量子密钥封装标准 |
| SM2/4 | 中国国家密码管理局发布的商密算法标准 |
| KAT | Known Answer Test，密码算法标准测试向量验证 |
| CARS | Cryptographic Algorithm Readiness Score，算法就绪度评分 |
| CBOM | Cryptographic Bill of Materials，密码材料清单 |

---

## 七、许可证

本项目采用 **GPL-3.0-only** 许可证（详见 `LICENSE.txt`）。

密码算法实现部分参考以下开放标准：

- [NIST PQC Standardization Process](https://csrc.nist.gov/projects/post-quantum-cryptography)
- [GB/T 32918-2026 / GB/T 32907-2026 / GB/T 32908-2026](http://www.gmbz.org.cn/)
- [IETF RFC 9590](https://www.rfc-editor.org/rfc/rfc9590.html)（OID 4.3.1.45.122）

---

## 版本历史

| 版本 | 日期 | 变更 |
|------|------|------|
| 1.1 | 2026-11-11 | 统一对外身份：由「全栈工程验证平台」改为「中文 PQC 可执行教科书 · 国密 × PQC 混合验证平台」，与官网 / README / CITATION 对齐 |
| 1.0 | 2026-08-24 | 初始发布，开源版本 |