SM4密钥扩展算法归纳总结

密钥扩展，说白了就是把你的初始密钥变成32个轮密钥。SM4的加密解密共用这32个轮密钥，只不过解密时倒着用。这个过程不复杂，但细节特别容易翻车。有一次我在做项目的时候，看到新人写的代码里密钥扩展部分处理得很糟糕，结果加解密结果对不上，排查了半天才发现是扩展出来的轮密钥顺序搞反了。嗯，这里我们就把它彻底讲清楚。

密钥扩展基础

SM4的密钥长度是128位，也就是16个字节。你可以把它想象成一个4×4的矩阵，每个格子是1字节。扩展过程就是从这16字节的初始密钥，生成32个32位的轮密钥。

• 输入：16字节初始密钥，记为 MK
• 输出：32个32位轮密钥，记为 rk0, rk1, ..., rk31
• 核心运算：非线性变换τ和线性变换L'

密钥扩展参数解析

密钥扩展需要两组固定参数。一组叫系统参数FK，另一组叫固定参数CK。这两组参数的值都是标准写死的，你不需要自己推导，直接拿来用就行。

系统参数FK：一共4个32位常数，用于初始化密钥状态。

固定参数CK：一共32个32位常数，每个轮密钥生成时使用一个。CK的生成规则也是固定的，我建议你直接查表，没必要每次重新算，浪费时间还容易出错。

密钥扩展流程

整个流程分两步走。第一步是初始化，第二步是迭代生成32个轮密钥。

1. 初始化：将初始密钥MK与FK进行异或，得到4个中间状态值：K0, K1, K2, K3。
2. 迭代生成：对于i = 0到31，计算rki = Ki+4 = Ki ⊕ T'(Ki+1 ⊕ Ki+2 ⊕ Ki+3 ⊕ CKi)。

这里的 T'() 是一个合成变换，先过非线性变换τ（查S盒），再过线性变换L'（移位异或）。

SVG：密钥扩展流程结构图

下面这张图展示了密钥扩展的完整流程，从初始密钥输入到32轮密钥输出，你可以对照着看。

代码实现与避坑指南

下面是密钥扩展的Python实现伪代码。我故意把S盒和线性变换抽象成函数，这样整体流程更清晰。

def sm4_key_expansion(mk):
    """
    mk: 16字节初始密钥
    返回: 32个32位轮密钥列表
    """
    # 系统参数
    FK = [0xA3B1BAC6, 0x56AA3350, 0x677D9197, 0xB27022DC]
    # 固定参数（仅示例前4个，实际32个）
    CK = [0x00070E15, 0x1C232A31, 0x383F464D, 0x545B6269, ...]
    
    # 1. 将mk拆成4个32位字
    K = [0, 0, 0, 0]
    for i in range(4):
        K[i] = bytes_to_word(mk[i*4:(i+1)*4]) ^ FK[i]
    
    # 2. 迭代生成轮密钥
    rk = []
    for i in range(32):
        temp = K[i+1] ^ K[i+2] ^ K[i+3] ^ CK[i]
        # T' = τ + L' 合成变换
        temp = sm4_tau(temp)      # 查S盒
        temp = sm4_l_prime(temp)  # 线性变换L'
        ki = K[i] ^ temp
        rk.append(ki)
        K.append(ki)  # 扩展状态列表
    
    return rk

密钥扩展常见问题

你想想看，密钥扩展这部分其实就两个要点。一是参数别用错，二是流程别跳步骤。只要把FK、CK、S盒、L'这四个东西对齐了，剩下的就是按部就班地迭代32次。