SM3：密码学杂凑函数

国家标准全文公开系统：http://openstd.samr.gov.cn/

本文参考：http://c.gb688.cn/bzgk/gb/showGb?type=online&hcno=45B1A67F20F3BF339211C391E9278F5E

常数与函数

• 初值$IV=7380166F,4914B2B9,172442D7,DA8A0600,A96F30BC,163138AA,E38DEE4D,B0FB0E4E$

• 常量$T_0=79CC4519,T_1=7A879D8A$

• 布尔函数
  $$\begin{array}{rlr}F{F}_0(X,Y,Z)=& X\oplus Y\oplus Z& 模2加法\\ F{F}_1(X,Y,Z)=& (X\wedge Y)\vee (X\wedge Z)\vee (Y\wedge Z)& 少数服从多数\\ G{G}_0(X,Y,Z)=& X\oplus Y\oplus Z& 模2加法\\ G{G}_1(X,Y,Z)=& (X\wedge Y)\vee (\neg X\wedge Z)& 用X选择Y或Z\end{array}$$

• 置换函数
  $$\begin{array}{rl}{P}_0(X)=& X\oplus (X\ll 9)\oplus (X\ll 17)\\ P_1(X)=& X\oplus (X\ll 15)\oplus (X\ll 23)\end{array}$$

• 其中$X,Y,Z$都是字，运算符$\ll$是字的循环左移。

• $SM3$处理的单位是字 (1 Word = 32 bits)，按大端存储 (左边是高有效位)

消息扩展

• 将$512$比特的消息分组 (含$16$个字$W_0,W_1,\cdots ,W_{15}$)，扩展成$132$个字$W_0,W_1,\cdots ,W_{67},W_0^{\prime },W_1^{\prime },\cdots ,W_{63}^{\prime }$

• 对于$i=16,17,\cdots ,67$，计算$W_i=P_1(W_{i-16}\oplus W_{i-9}\oplus (W_{i-3}\ll 15))\oplus (W_{i-13}\ll 7)\oplus W_{i-6}$

• 对于$j=0,1,\cdots ,63$，计算$W_j^{\prime }=W_j\oplus W_{j+4}$

压缩函数

• 这是固定输入长度$512$比特的压缩函数，输出为$256$比特的杂凑值。

• 记为$V^{\prime }=CF(V,B)$，其中$V,V^{\prime }$为中间变量，$B$为$512$比特的输入。

• 令$ABCDEFGH\leftarrow V$，其中$A,B,\cdots$为$32$比特的字。

• 一共要执行$64$轮迭代，然后$V^{\prime }\leftarrow ABCDEFGH\oplus V$

• 对于$0\le j\le 15$的迭代，使用$T_0,F{F}_0,G{G}_0$和$P_0$

• 对于$16\le j\le 63$的迭代，使用$T_1,F{F}_1,G{G}_1$和$P_0$

for (j = 0; j < 16; j++)
{
    SS1 = ROTL((ROTL(A, 12) + E + ROTL(T0, j)), 7);
    SS2 = SS1 ^ ROTL(A, 12);
    TT1 = FF0(A, B, C) + D + SS2 + W1[j];
    TT2 = GG0(E, F, G) + H + SS1 + W[j];
    D = C;
    C = ROTL(B, 9);
    B = A;
    A = TT1;
    H = G;
    G = ROTL(F, 19);
    F = E;
    E = P0(TT2);
}

for (j = 16; j < 64; j++)
{
    SS1 = ROTL((ROTL(A, 12) + E + ROTL(T1, j)), 7);
    SS2 = SS1 ^ ROTL(A, 12);
    TT1 = FF1(A, B, C) + D + SS2 + W1[j];
    TT2 = GG1(E, F, G) + H + SS1 + W[j];
    D = C;
    C = ROTL(B, 9);
    B = A;
    A = TT1;
    H = G;
    G = ROTL(F, 19);
    F = E;
    E = P0(TT2);
}

填充

• 对于$l<2^{64}$比特长度的消息$m$，计算 k = min ⁡ { k ≥ 0 ∣ l + 1 + k ≡ 448 m o d    512 } k = \min\{k \ge 0 \mid l+1+k \equiv 448 \mod 512\} k=min{k≥0∣l+1+k≡448mod512}
• 做填充：$m^{\prime }=m\Vert 1\Vert \underset{k}{\underbrace{0\cdots 0}}\Vert l$，其中$l$是$64$比特的无符号整数。
• 填充后的消息$m^{\prime }$长度为$512$的倍数$l^{\prime }$，它的最后$64$比特是消息长度，然后继续向前找到第一个遇到的$1$作为标记，继续往前就是消息$m$

迭代压缩

• 使用$Merkle-DamgardTransform$，将固定输入长度的压缩函数，扩展到任意输入长度的压缩函数。
• 假设填充后的$m^{\prime }$长度为$l^{\prime }=512n$，那么可以分成$n$个$512$比特的消息分组$B^{(i)},i=0,1,\cdots ,n-1$
• 初始化$V^{(0)}=IV$
• 迭代$V^{(i+1)}=CF(V^{(i)},B^{(i)})$，最后输出$V^{(n)}$

在线计算

• 有时候，我们并不知道要压缩的消息$m$到底有多长。比如：网络通信中，数据包分批到达。
• 可以记录当前已到达的数据长度，对已到达的数据分组并迭代计算中间变量$V^{(j)}$，并存储达不到$512$比特的数据尾部。
• 把填充步骤放在最后执行。当所有数据都到达之后，对数据尾部做填充，并迭代计算出$V^{(n)}$

实现

• 不同计算机的大小端不一致。

• 小端机器上，$uint32n=0x01020304$，对应$(uint8\ast )\&n=[04,03,02,01]$

• 本人的笔记本为小端机器，执行$CF$时注意数据的大小端转换。

• 在$CF$中，$A\to B$，$C\to D$，$E\to F$，$G\to H$这些赋值不是必要的，可以跨越两轮。赋值运算比加、减、乘、位运算要慢得多。