写给开发人员的实用密码学 - 国密对称加密算法SM4实现要点
写给开发人员的实用密码学 - 国密对称加密算法SM4实现要点
在上一篇文章《写给开发人员的实用密码学 - 对称加密算法》中，介绍了现代密码学中非常重要的加密解密算法，国密标准中 SM4/SMS4 就是一种对称加密算法。本文将介绍密码库 libtomcrypt 库中增加 SM4 算法的一些关键点。
论名气，libtomcrypt 远远不及 OpenSSL、NSS、Bouncy Castle 等加密库，不过 libtomcrypt 也有一些优点：
- 代码采用 C 语言实现，可移植性好
- 模块化设计，易于裁剪，可以编译出很精简的库，比较适用于嵌入式设备、IoT设备
- 实现完备，支持目前几乎所有公开的加密算法
- 代码规模适中，没有使用过多的语法糖，代码直观易懂，比较容易上手
不过需要注意的是 libtomcrypt 并没有实现 SSL/TLS、SSH 等协议，仅仅是一个加密解密库。如果项目中需要 SSL/TLS 支持，这个库就不太适用。
国密 SM4 的实现
国密SM4算法在文档《GM/T 0002-2012》中有详细的说明，只有几页纸，算法并不复杂。更简单的方法是参考 GmSSL 项目的实现代码，代码位于 GmSSL/crypto/sms4 下。主要算法实现文件是：
- sms4_common.c
- sms4_enc.c
- sms4_setkey.c
其它的实现，与分组模式有关，还有的针对特定 CPU 指令集进行优化。
算法实现时，一定要注意不同 CPU 上字节序的问题，比如 X86 芯片采用 little-endian，而 ARM 芯片采用 big-endian。如果需要优化加密解密速度，可使用汇编，针对特定 CPU 指令集进行优化。
libtomcrypt 增加 SM4 算法
libtomcrypt 并没有使用过多的设计技巧，对于加密算法的支持，都定义在 tomcrypt_cipher.h 头文件中。有关加密算法的结构为：
struct ltc_cipher_descriptor {
/** 密码算法名称 */
const char *name;
/** 算法内部ID */
unsigned char ID;
/** 密钥长度最小值（字节数） */
int min_key_length,
/** 密钥长度最大值（字节数） */
max_key_length,
/** 分组大小（字节数） */
block_length,
/** 默认的轮次 */
default_rounds;
/** Setup the cipher
@param key The input symmetric key
@param keylen The length of the input key (octets)
@param num_rounds The requested number of rounds (0==default)
@param skey [out] The destination of the scheduled key
@return CRYPT_OK if successful
*/
int (*setup)(const unsigned char *key, int keylen, int num_rounds, symmetric_key *skey);
/** Encrypt a block
@param pt The plaintext
@param ct [out] The ciphertext
@param skey The scheduled key
@return CRYPT_OK if successful
*/
int (*ecb_encrypt)(const unsigned char *pt, unsigned char *ct, symmetric_key *skey);
/** Decrypt a block
@param ct The ciphertext
@param pt [out] The plaintext
@param skey The scheduled key
@return CRYPT_OK if successful
*/
int (*ecb_decrypt)(const unsigned char *ct, unsigned char *pt, symmetric_key *skey);
/** Test the block cipher
@return CRYPT_OK if successful, CRYPT_NOP if self-testing has been disabled
*/
int (*test)(void);
/** Terminate the context
@param skey The scheduled key
*/
void (*done)(symmetric_key *skey);
/** Determine a key size
@param keysize [in/out] The size of the key desired and the suggested size
@return CRYPT_OK if successful
*/
int (*keysize)(int *keysize);
...
};添加一个算法进来，我们需要获得密钥长度、分组长度、并实现初始化、加密、解密、结束几个函数。其它的以 accel_ 开头的函数，在优化某种分组模式实现时有用，如果暂时不做这方面的工作，在填入结构数据时，给一个 NULL 值即可。
SM4 使用的是 128 位固定长度密钥，所以 min_key_length、max_key_length 的值都给16。分组长度为 128 位，所以 block_length 的值也是 16。default_rounds 指的是默认加密的轮次（可以想象为一个轮盘，转的次数不同，加密结果就不同）。因为 SM4 的加密算法与密钥扩展算法都采用 32 轮，所以这里的缺省轮次和 setup 函数中的 num_rounds 都不会用到。
SM4 的数据加密和数据解密，算法相同，只是轮密钥的使用顺序相反，解密轮密钥是加密轮密钥的逆序。所以 libtomcrypt 还有一个重要的数据结构 symmetric_key:
typedef union Symmetric_key {
#ifdef LTC_DES
struct des_key des;
struct des3_key des3;
#endif
#ifdef LTC_RC2
struct rc2_key rc2;
#endif
...
void *data;
} symmetric_key;这是一个联合体，不同的加密算法，其内部密钥结构并不相同。注意，这个结构并不是持有的私钥（一串随机数），而是对用户私钥进行处理，然后用于加密算法的一种结构定义。下面是我为 SM4 算法定义的密钥结构：
struct sm4_key {
/* 加密和解密时会对密钥做不同的处理，分别保存处理结果 */
ulong32 rk[SMS4_NUM_ROUNDS]; /* 用于加密 */
ulong32 rk_d[SMS4_NUM_ROUNDS]; /* 用于解密 */
};读过上一篇文章《写给开发人员的实用密码学 - 对称加密算法》，我们就会知道，所谓分组密码算法，一次只加密一个分组的数据。SM4 的分组长度是 128 位，也就是一次只处理 16 个字节。在实际应用中，肯定不会只加密 16 个字节的数据，这就涉及到如何分组，如果数据字节数不是 16 的整数倍，还涉及到填充问题。
libtomcrypt 实现了多种分组模式，基本上涵盖了现有的主流分组模式，在 src/modes 下有许多子目录，分别对应着 CBC、CFB、CTR 等分组模式。
在定义了 SM4 算法结构后，还需要调用 register_cipher 注册，一个简单的方法是添加到 register_all_ciphers 函数中，程序在初始化过程中调用 register_all_ciphers，就能得到所有加密算法的支持。
应用程序调用 SM4 实现
在实际应用中，我们需要调用 modes 下的分组函数，比如 ctr_start、ctr_encrypt、ctr_decrypt 等，然后由这些函数再去调用相应的加密算法。如果我们不需要关心什么分组模式、填充模式，那就需要在此基础上做进一步封装。
关于如何调用 libtomcrypt 进行数据加密，我们可以参考 demos/ltcrypt.c 的代码。
小结
国密 SM4 是一种分组加密算法，有国家标准文档详细描述了算法，另外也可以参考开源实现，移植起来并不复杂。真正考验水平的是算法优化，特别是针对 CPU 指令进行优化，此外算法结合分组模式进行优化也是一个方向。
有兴趣的同学也可以参考我的移植代码：https://gitee.com/mogoweb/libtomcrypt-gm.git