SM3密码杂凑算法

本文参考国标文件GB/T 32905——2016，重点在于对示例的计算。

---

1 范围

本标准规定了SM3密码杂凑算法的计算方法和计算步骤，并给出了运算示例。
本标准适用于商用密码应用中的数字签名和验证、消息认证码的生成与验证以及随机数的生成，可满足多种密码应用的安全需求。

---

2 术语和定义

下列术语和定义适用于本文将。

2.1 比特串 bit string

具有0或1值的二进制数字序列。

2.2 大端 big-endian

数组在内存中的一种表示格式，规定左边为高有效位，右边为低有效位。即数的高阶字节放在存储器的低地址，数的低阶字节放在存储器的高地址。

2.3 消息 message

任意有限长度的比特串，本标准中消息作为杂凑算法的输入数据。

2.4 杂凑值 hash value

杂凑算法作用于一条消息时输出的消息摘要（比特串）。

2.5 字 word

长度为32比特的组（串）。

---

3 符号

下列符号适用于本文件。
$ABCDEFGH$：8个字寄存器或它们的值的串连
$B_{(i)}$：第$i$个消息分组
$CF$：压缩函数
${FF}_j$：布尔函数，随$j$的变化取不同的表达式
${GG}_j$：布尔函数，随$j$的变化取不同的表达式
$IV$：初始值，用于确定压缩函数寄存器的初态
$P_0$：压缩函数中的置换函数
$P_1$：消息扩展中的置换函数
$T_j$：算法常量，随$j$的变化取不同的值
$m$：消息
$m^{\prime }$：填充后的消息
$mod$：模运算
$n$：消息分组个数
$\wedge$：32比特与运算
$\vee$：32比特或运算
$\oplus$：32比特异或运算
$\neg$：32比特非运算
$+$：mod $2^{32}$比特算术加运算
$<<<k$：32比特循环左移$k$比特运算
$\leftarrow$：左向赋值运算符

---

4 常数与函数

4.1 初始值

$IV=$7380166f 4914b2b9 172442d7 da8a0600 a96f30bc 163138aa e38dee4d b0fb0e4e

4.2 常量

$T_j=\{\begin{array}{ll}& \text{ 79cc4519 }0\le j\le 15\\ & \text{ 7a879d8a }16\le j\le 63\end{array}$

4.3 布尔函数

${FF}_j(X,Y,Z)=\{\begin{array}{ll}& X\oplus Y\oplus Z0\le j\le 15\\ & (X\wedge Y)\vee (X\wedge Z)\vee (Y\wedge Z)16\le j\le 63\end{array}$
${GG}_j(X,Y,Z)=\{\begin{array}{ll}& X\oplus Y\oplus Z0\le j\le 15\\ & (X\wedge Y)\vee (\neg X\wedge Z)16\le j\le 63\end{array}$
其中$X,Y,Z$为字。


例：$X=$ 7380166F，$Y=$ 4914B2B9，$Z=$ 172442D7
当$0\le j\le 15$时：
${FF}_j(X,Y,Z)=X\oplus Y\oplus Z=$ (7380166F) $\oplus$ (4914B2B9) $\oplus$ (172442D7) $=$ 2DB0E601
${GG}_j(X,Y,Z)=X\oplus Y\oplus Z=$ (7380166F) $\oplus$ (4914B2B9) $\oplus$ (172442D7) $=$ 2DB0E601
当$16\le j\le 63$时：
${FF}_j(X,Y,Z)=(X\wedge Y)\vee (X\wedge Z)\vee (Y\wedge Z)=(7380166F\wedge 4914B2B9)\vee (7380166F\wedge 172442D7)\vee (4914B2B9\wedge 172442D7)=(41001229)\vee (13000247)\vee (01040291)=530412FF$
${GG}_j(X,Y,Z)=(X\wedge Y)\vee (\neg X\wedge Z)=(7380166F\wedge 4914B2B9)\vee (\neg 7380166F\wedge 172442D7)=(41001229)\vee (8C7FE990\wedge 172442D7)=(41001229)\vee (04244090)=452452B9$

4.4 置换函数

$P_0(X)=X\oplus (X<<<9)\oplus (X<<<17)$
$P_1(X)=X\oplus (X<<<15)\oplus (X<<<23)$
其中$X$为字。


例：
$P_0(7380166F)=7380166F\oplus (002CDEE7)\oplus (2CDEE700)=5F722F88$
$P_1(7380166F)=7380166F\oplus (0B37B9C0)\oplus (37B9C00B)=4F0E6FA4$

---

5 算法描述

5.1 概述

SM3密码杂凑算法的输入为长度为$l(l<2^{64})$比特的消息$m$，经过填充、迭代压缩，生成杂凑值，杂凑值输出长度为256比特。

5.2 填充

假设消息$m$的长度为$l$比特，则首先将比特“1”添加到消息的末尾，再添加$k$个“0”，$k$是满足$l+1+k\equiv 448(mod512)$的最小的非负整数。然后添加一个64位比特串，该比特串是长度$l$的二进制表示。填充后的消息$m^{\prime }$的比特长度为512的倍数。
例如：对消息：01100001 01100010 01100011，其长度$l=24$，经填充得到比特串：

5.3 迭代压缩

5.3.1 迭代过程

将填充后的消息$m^{\prime }$按512比特进行分组：$m^{\prime }=B^{(0)}{B}^{(1)}\cdot \cdot \cdot B^{(n-1)}$，其中$n=(l+k+65)/512$。
对$m^{\prime }$按下列方式迭代：

其中$CF$是压缩函数，$V^{(0)}$为256比特初始值$IV$，$B^{(i)}$为填充后的消息分组，迭代压缩结果为$V^{(n)}$。

5.3.2 消息扩展

将消息分组$B^{(i)}$按以下方法扩展生成132个消息字$W_0,W_1,\cdot \cdot \cdot W_{67},{W_0}^{\prime },{W_1}^{\prime },\cdot \cdot \cdot {W_{63}}^{\prime }$，用于压缩函数$CF$：
第一步，将消息分组$B^{(i)}$划分为16个字$W_0,W_1,\cdot \cdot \cdot W_{15}$。
第二步，
$FORj=16To67$
$W_j\leftarrow P_1(W_{j-16}\oplus W_{j-9}\oplus (W_{j-3}<<<15))\oplus (W_{j-13}<<<7)\oplus W_{j-6}ENDFOR$
第三步，
$FORj=0TO63$
${W_j}^{\prime }=W_i\oplus W_{i+4}$
$ENDFOR$


例：$B^0=$ 61626380 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000018
$W_{16}\leftarrow P_1(W_0\oplus W_7\oplus (W_3<<<15))\oplus (W_3<<<7)\oplus W_{10}=P_1(61626380)=9092E200$
其他依次类推。
${W_0}^{\prime }=W_0\oplus W_4=61626380$
其他依次类推。

5.3.3 压缩函数

令$A,B,C,D,E,F,G,H$为字寄存器，$SS1,SS2,TT1,TT2$为中间变量，压缩函数$V^{i+1}=CF(V^{(i)},B^{(i)}),0\le i\le n-1$。计算过程描述如下：
$ABCDEFGH\leftarrow V^{(i)}$
$FORj=0To63$
$SS1\leftarrow ((A<<<12)+E+(T_i<<<(jmod32)))<<<7$
$SS2\leftarrow SS1\oplus (A<<<12)$
$TT1\leftarrow F{F}_i(A,B,C)+D+SS2+{W_i}^{\prime }$
$TT2\leftarrow G{G}_i(E,F,G)+H+SS1+W_i$
$D\leftarrow C$
$C\leftarrow B<<<9$
$B\leftarrow A$
$A\leftarrow TT1$
$H\leftarrow G$
$G\leftarrow F<<<19$
$F\leftarrow E$
$E\leftarrow P_0(TT2)$
$ENDFOR$
$V^{(i+1)}\leftarrow ABCDEFGH\oplus V^{(i)}$
其中，字的存储为大端(big-endian)，左边为高有效位，右边为低有效位。
$+$为十六进制加法。


例：$j=$ 0 $IV=$ 7380166f 4914b2b9 172442d7 da8a0600 a96f30bc 163138aa e38dee4d b0fb0e4e
$SS1\leftarrow ((7380166f<<<12)+a96f30bc+(79cc4519<<<(0mod32)))<<<7=51368692$
$SS2\leftarrow SS1\oplus (A<<<12)=505071AA$
$TT1\leftarrow F{F}_i(A,B,C)+D+SS2+{W_i}^{\prime }=2DB0E601+da8a0600+505071AA+61626380=B9EDC12B$
$TT2\leftarrow G{G}_i(E,F,G)+H+SS1+W_i=5CD3E65B+b0fb0e4e+51368692+61626380=C067DEBB$
$D\leftarrow C=172442d7$
$C\leftarrow B<<<9=29657292$
$B\leftarrow A=7380166f$
$A\leftarrow TT1=B9EDC12B$
$H\leftarrow G=e38dee4d$
$G\leftarrow F<<<19=c550b189$
$F\leftarrow E=a96f30bc$
$E\leftarrow P_0(TT2)=B2AD29F4$
其他依次类推。

5.4 输出杂凑值

$ABCDEFGH\leftarrow V^{(n)}$
输出256比特的杂凑值$y=ABCDEFGH$。


例：
$V^1=ABCDEFGH\oplus V^0=$ 66C7F0F4 62EEEDD9 D1F2D46B DC10E4E2 4167C487 5CF2F7A2 297DA02B 8F4BA8E0

---

6 完整代码

#ifndef _SM3_H_
#define _SM3_H_

#include<stdio.h>
#include<string.h>
#include<stdlib.h>

const unsigned int IV[8] = {0x7380166F,0x4914B2B9,0x172442D7,0xDA8A0600,0xA96F30BC,0x163138AA,0xE38DEE4D,0xB0FB0E4E};

const unsigned int T[64] = {0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,
                            0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,0x79CC4519,
                            0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,
                            0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,
                            0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,
                            0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,
                            0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,
                            0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A,0x7A879D8A};

#endif

#include "sm3.h"

unsigned int FF(unsigned int X,unsigned int Y,unsigned int Z,int j);//布尔函数FF
unsigned int GG(unsigned int X,unsigned int Y,unsigned int Z,int j);//布尔函数GG
unsigned int move(unsigned int data , int length);
unsigned int P0(unsigned int X);
unsigned int P1(unsigned int X);
int PaddingNum(long long l);
unsigned int* inputPadding(char ch[]);
unsigned int * MessagePadding(unsigned int * B);
unsigned int * IteratveCompression(char ch[]);

unsigned int FF(unsigned int X,unsigned int Y,unsigned int Z,int j)
{
    if(0<=j && j<=15)
    {
        return X^Y^Z;
    }
    else if(16<=j && j<=63)
    {
        return (X&Y)|(X&Z)|(Y&Z);
    }
}

unsigned int GG(unsigned int X,unsigned int Y,unsigned int Z,int j)
{
    if(0<=j && j<=15)
    {
        return X^Y^Z;
    }
    else if(16<=j && j<=63)
    {
        return (X&Y)|(~X&Z);
    }
}

unsigned int move(unsigned int data , int length)
{
    unsigned int result = 0;
    result = (data << length) ^ (data >> (32-length));
    return result;
}

unsigned int P0(unsigned int X)
{
    return X^move(X,9)^move(X,17);
}

unsigned int P1(unsigned int X)
{
    return X^move(X,15)^move(X,23);
}

int PaddingNum(long long l)
{
    int k=-1,i=0;
    while (k<0)
    {
        k = 512*i+447-l;
        i++;
        if(k>=0)
            break;
    }   
    return k;
}

unsigned int* inputPadding(char m[])
{
    long long l = strlen(m)*8;    //输入的消息的位数
    int k=PaddingNum(l);
    int len = (l+1+k+64)/32;//填充后的信息   int类型的个数
    unsigned int *paddedInput = (unsigned int *)malloc(len*sizeof(unsigned int));
    memset(paddedInput,0,len*4);    //设初值为0
    //将原消息放到扩展信息中
    for (int i = 0; i < l/8; i++)
    {
        *(paddedInput+(i/4)) ^= *(m+i)<<(24-(i%4)*8);
    }
    //补充0x80
    *(paddedInput+l/32) ^= 0x80<<(24-((l/8)%4)*8);
    //在尾部填充长度l
    *(paddedInput+len-1) = l;
    return paddedInput;
}

unsigned int * MessagePadding(unsigned int * B)
{
    unsigned static int W[132] = {0};
    for(int i=0;i<16;i++)
    {
        W[i] = *(B+i);
    }
    for(int i=16;i<68;i++)
    {
        W[i]=P1(W[i-16]^W[i-9]^move(W[i-3],15))^move(W[i-13],7)^W[i-6];
    }
    for(int i=0;i<64;i++)
    {
        W[68+i] = W[i]^W[i+4];
    }
    return W;
}

unsigned int * IteratveCompression(char m[])
{
    long long l = strlen(m)*8;    //输入的消息的位数
    int k=PaddingNum(l);
    int len = (l+1+k+64)/32;//填充后的信息   int类型的个数
    unsigned int * paddedInput = inputPadding(m);
    unsigned static int V[8] = {0};
    V[0] = IV[0];
    V[1] = IV[1];
    V[2] = IV[2];
    V[3] = IV[3];
    V[4] = IV[4];
    V[5] = IV[5];
    V[6] = IV[6];
    V[7] = IV[7];
    unsigned int A,B,C,D,E,F,G,H,SS1,SS2,TT1,TT2;

    unsigned int Bmes[16] = {0};
    for(int i=0;i<len/16;i++)
    {   
        //每个分组都要对ABCDEFGH赋初值
        A=V[0];B=V[1];C=V[2];D=V[3];E=V[4];F=V[5];G=V[6];H=V[7];
        for(int j=0;j<16;j++)
        {
            Bmes[j] = *(paddedInput+16*i+j);
        }
        unsigned int *W = MessagePadding(Bmes);
        for(int j=0;j<64;j++)
        {
            SS1 = move((move(A,12)+E+move(T[j],j%32)),7);
            SS2=SS1^move(A,12);
            TT1 = FF(A,B,C,j)+D+SS2+W[j+68];
            TT2 = GG(E,F,G,j)+H+SS1+W[j];
            D=C;
            C=move(B,9);
            B=A;
            A=TT1;
            H=G;
            G=move(F,19);
            F=E;
            E=P0(TT2);
        }
        V[0] = A^V[0];V[1] = B^V[1];V[2] = C^V[2];V[3] = D^V[3];
        V[4] = E^V[4];V[5] = F^V[5];V[6] = G^V[6];V[7] = H^V[7];
    }
    return V;
}

int main()
{
    char input[100]="abc";
    printf("输入的消息为：\n");
    for(int i=0;i<strlen(input);i++)
    {
        printf("%c",input[i]);
        if(i%4==3)
            printf(" ");
    }
    printf("\n输入消息的十六进制为：\n");
    for(int i=0;i<strlen(input);i++)
    {
        printf("%.2x",input[i]);
        if(i%4==3)
            printf(" ");
    }
    unsigned int *hash =  IteratveCompression(input);
    printf("\n所得的十六进制杂凑值为：\n");
    for(int i=0;i<8;i++)
    {
        printf("%.8x ",*(hash+i));
    }
    return 0;
}