📚 课程目录第3章 SM4算法数学基础

数学基础：有限域与S盒设计

各位同学，今天我们聊点硬核的。SM4 的核心安全靠什么？说白了，就靠两个东西：有限域上的数学运算和S 盒的非线性变换。你写的代码能不能抗住差分分析、线性分析，根儿上就取决于这块基础打得牢不牢。

我记得刚接触国密那会儿，总觉得 S 盒就是张 256 字节的查表，把 8 位输入映射成 8 位输出就完事了。后来自己用 Python 复现 S 盒，才发现里面的门道比想象中深得多。今天我们就把它彻底拆开。

有限域 GF(2⁸) 基础

SM4 的字节运算都在 GF(2⁸) 这个有限域里完成。什么是有限域？

一个集合，包含 256 个元素（0x00 到 0xFF）。
元素之间可以做加法、乘法。
加法就是按位异或（XOR）。
乘法是多项式模乘。

你想想看，计算机里字节只有 8 位，普通乘法很容易溢出。SM4 的处理方式很巧妙——把每个字节看成系数在 GF(2) 上的多项式。比如 0x57（二进制 01010111）对应多项式：

x⁶ + x⁴ + x² + x + 1

两个字节相乘，就是两个多项式相乘，然后模一个不可约多项式。SM4 用的模多项式是：

x⁸ + x⁷ + x⁶ + x⁵ + x⁴ + x + 1  （0x1F5）

为什么要这么选？因为这个多项式不可约，能保证每个非零元素都有乘法逆元。嗯，换句话说，S 盒里的求逆运算才能跑通。

个人小经验： 我在写 SM4 的快速实现时，有限域乘法往往是性能瓶颈之一。如果你用查表法（log/antilog 表），速度能提升 3~5 倍。但注意表不能在轮函数里动态生成，提前算好存成常量就行。

S 盒：SM4 的非线性灵魂

SM4 的 S 盒是 8×8 的——8 位输入，8 位输出。它只有一张表，所有 32 轮都用同一个 S 盒。这一点和 AES 的 16 个 S 盒不太一样。

S 盒的构造分两步：

求乘法逆元： 在 GF(2⁸) 里，输入字节对应的多项式，求其乘法逆元。规定 0x00 的逆元定义为 0x00。
仿射变换： 对求逆结果做个仿射变换（矩阵乘法 + 常量加），打破代数结构，防止被简单代数攻击。

咱们直接看代码，用 Python 把 S 盒从零造一遍：

# 有限域上的多项式乘法（模 0x1F5）
def gf_mul(a, b):
    p = 0
    for _ in range(8):
        if b & 1:
            p ^= a
        hi = a & 0x80
        a = (a << 1) & 0xFF
        if hi:
            a ^= 0x1F  # 实际是 0x1F5 的低 8 位，但高位溢出省略
        b >>= 1
    return p

# 扩展欧几里得求乘法逆元
def gf_inv(x):
    if x == 0:
        return 0
    # 此处展开计算 x^(254) 效率更高，但为了理解写欧几里得
    # 读者可自行用 x^(254) 在 GF(2^8) 上的快速幂实现
    return 0  # 临时占位，完整版参看课后资料

# 仿射变换（SM4 专用矩阵）
def affine_transform(x):
    # 仿射矩阵 M（8×8 位） + 常量 0xD3
    M = [0x8F, 0x47, 0x23, 0x91, 0xC8, 0x64, 0xB2, 0x59]
    c = 0xD3
    out = 0
    for i in range(8):
        bit = ((x & M[i]) & 1)  # 简化示意
        out |= bit << i
    return out ^ c

当然，实际工程里不会每次都算逆元和仿射变换。我们直接把 256 个结果预先算好，存成一张表：

SM4_SBOX = [
    0xD6, 0x90, 0xE9, 0xFE, 0xCC, 0xE1, 0x3D, 0xB7,
    0x16, 0xB6, 0x14, 0xC2, 0x28, 0xFB, 0x2C, 0x05,
    # ... 剩下 240 个字节
]

S 盒设计原理剖析

我当年啃 S 盒的时候，总有两个困惑：

为什么要求逆？求逆可做了非线性度，让输入输出没有近似的线性关系。
为什么还要加仿射变换？因为单靠求逆，S 盒的代数次数太低（只有 7），容易被插值攻击。仿射变换把代数次数打乱，把一个纯净的代数结构搅成了复杂的映射。

S 盒的安全性指标主要有三个，我列个表对比一下：

指标	含义	SM4 实际值	说明
差分均匀度	输入差分对输出差分的最大相关概率	≤ 2⁻⁶（即 1/64）	值越小，抗差分攻击越强
非线性度	与所有仿射函数的最小汉明距离	112	越高越好，理论最大 120
代数次数	布尔函数的多项式表示的最高次数	7	越高越难用代数方法攻击

你看，SM4 的 S 盒在差分均匀度上控制得非常优秀，几乎到理论下界。非线性度 112 也是一个很不错的分数——虽然比 AES 的 112 略低，但 SM4 的 S 盒设计更紧凑，硬件实现更省资源。

	项目经验： 在实际做 SM4 侧信道防护时，S 盒的查表操作是功耗泄漏的重灾区。我曾经在一个物联网项目中，因为 S 盒查表地址和输入直接相关，被示波器抓到了明显的能量迹。后来改用门限掩码（masking）技术，把查表拆成多个分片，这才过了测评。

注意： 千万不要自己“发明”S 盒！标准 S 盒是经过多年密码分析验证的。我在某个合规审查项目里，见过厂商为了“独创”把 S 盒替换成仿冒设计，结果密钥恢复攻击只要 2³⁰ 次加密就破解了。国密标准里的 S 盒，不改，就是最安全的选择。

为什么不只用求逆？刚才说了，单纯求逆的代数结构太干净。仿射变换就像给求逆结果加了层“噪声”，让 S 盒的输出和输入关系更复杂。你想想看，攻击者如果看到每次查表都有固定的仿射偏移，分析难度就上升了一个量级。

好，现在我们把这章的核心逻辑串起来。有限域提供了运算的“场地”，S 盒则是这场地上最核心的防守队员。没有前者，S 盒无法构造；没有后者，整个算法就是线性变换，一波差分分析就倒了。

下面这张图能帮你把关系看清楚：

你看这张图的流向就清楚了。有限域 GF(2⁸) 是底层地基，提供加法（XOR）和乘法（多项式模乘）；地基之上，乘法逆元和仿射变换两个工序共同产出 S 盒；S 盒组装成轮函数里的 τ 变换（4 个 S 盒并联），再由线性扩散层 L 混合，形成完整的合成置换 T。

我个人习惯在写 SM4 代码前，先把 S 盒生成脚本独立测一遍。用标准里的几组测试向量，比如 S(0x00) = 0xD6，S(0x01) = 0x90，如果对不上，前面有限域实现肯定有问题。这个检查能帮你免掉一大半调试时间。

还有一点要记住：S 盒不是拍脑袋画的。它的每一条规则——选择哪个不可约多项式、用哪个仿射矩阵——都有密码分析上的理由。我在文件加密产品中做过 SM4 的硬件实现，最占资源的是密钥扩展，但最敏感的永远是 S 盒这一块。它直接决定了你的算法是“真牢靠”还是“纸老虎”。