📚 课程目录第4章优化AES软件实现

4. 优化AES软件实现

AES（Advanced Encryption Standard）在标准文档中定义的是字节级的数学运算，但真正部署到软件中时，性能瓶颈往往不在算法本身，而在“如何把字节运算映射到 CPU 的指令与内存层次上”。同一份 AES 逻辑，用朴素字节实现、T 表实现、位切片实现或 AES-NI 指令实现，吞吐量可能相差一个数量级以上。本节围绕这四条实现路线，讲清它们的原理、关键代码结构、参数影响与性能对比方法。

一、朴素字节实现：理解基准

AES-128 加密一轮包含 SubBytes、ShiftRows、MixColumns、AddRoundKey 四个步骤。最直观的实现是逐字节查 S 盒完成 SubBytes，再按行循环移位完成 ShiftRows，MixColumns 则对每列做 GF(2⁸) 上的乘 2、乘 3 运算。这种写法逻辑清晰，但每轮要执行大量独立字节操作，且 MixColumns 中的 xtime 需要条件分支处理溢出，分支预测失败会进一步拖慢速度。在通用 x86 上，朴素实现的吞吐量通常只有几十 MB/s 量级，适合作为正确性基准，不适合高吞吐场景。

二、T 表实现：用空间换时间

T 表法的核心思想是把 SubBytes、ShiftRows 和 MixColumns 合并成一次查表。以加密为例，定义四张 1KB 的表 T0、T1、T2、T3，每张表有 256 个 32 位条目。对状态列 s0 s1 s2 s3，一轮输出列可写成：

t0 = T0[s0 & 0xff] ^ T1[(s1 >> 8) & 0xff]
   ^ T2[(s2 >> 16) & 0xff] ^ T3[(s3 >> 24) & 0xff] ^ rk[0];
t1 = T0[s1 & 0xff] ^ T1[(s2 >> 8) & 0xff]
   ^ T2[(s3 >> 16) & 0xff] ^ T3[(s0 >> 24) & 0xff] ^ rk[1];
// t2、t3 同理，按列循环移位

这样每轮每列只需 4 次查表和 4 次异或，四列共 16 次查表，比朴素实现少了一个数量级的操作。代价是 4KB 表常驻 L1 缓存，且查表地址依赖输入数据，存在缓存时序侧信道风险。工程上常把 T 表实现作为“无硬件加速时的快速软件方案”，吞吐量可达数百 MB/s。解密方向需要逆 S 盒与逆 MixColumns，可另建四张逆表 Td0~Td3，或采用等价逆密码结构减少表数量。

三、位切片实现：面向并行与恒定时间

位切片（bitslicing）把多个 AES 分组按位并行处理：若一次处理 64 个分组，则每个比特位用一个 64 位寄存器表示，S 盒被展开成布尔门电路，SubBytes 变成若干 AND、XOR、NOT 的组合。它的优势是天然恒定时间，不依赖数据相关查表，能抵抗缓存时序攻击；同时在现代 CPU 上可借助 SIMD 进一步并行。缺点是实现复杂、需要批量数据才能填满并行度，且单分组延迟较高。位切片适合磁盘加密、VPN 网关等大批量、恒定时间要求高的场景。

四、AES-NI：硬件指令直达

Intel 从 Westmere 起提供 AES-NI 指令集，核心指令包括 AESENC、AESENCLAST、AESDEC、AESDECLAST、AESKEYGENASSIST 和 AESIMC。一条 AESENC xmm1, xmm2 就完成一轮 SubBytes、ShiftRows、MixColumns 和 AddRoundKey，密钥扩展也可用 AESKEYGENASSIST 配合移位异或完成。AES-NI 把轮函数压缩成单条指令，吞吐量可达数 GB/s，且不依赖数据相关内存访问，天然抗缓存时序攻击。使用前需通过 CPUID 检测 ECX[25]（AESNI 位）确认支持，并用 _mm_aesenc_si128 等内建函数或汇编调用。

五、性能对比方法与实测观察

对比不同实现时，不能只看单次加密耗时，应关注吞吐量（MB/s 或 GB/s）和每字节周期数（cycles/byte）。测试时固定分组大小（如 16 字节）、固定数据量（如 64MB），分别测量加密与解密，并记录 CPU 型号、主频、编译选项（-O2 或 -O3）和是否开启 -maes。一个合理的示例观察是：在支持 AES-NI 的 x86 上，AES-NI 实现吞吐可达数 GB/s，T 表实现约数百 MB/s，位切片在批量并行下接近 T 表甚至更高，而朴素实现通常只有几十 MB/s。这些数值随平台变化，应作为量级参考而非固定结论。

若目标平台不支持 AES-NI，可先检测 CPUID，再回退到 T 表或位切片实现；回退路径必须与硬件路径输出完全一致，建议用同一组测试向量交叉验证。

六、工程落地建议

实际工程中，推荐采用“运行时检测 + 多实现回退”的结构：启动时检测 AES-NI，可用则走硬件路径；否则根据是否要求恒定时间选择位切片或 T 表。密钥扩展也应与轮函数实现匹配，AES-NI 路径可用 AESKEYGENASSIST 加速，软件路径则用普通 S 盒扩展。最后，无论选哪条路线，都要用 NIST 提供的 AES 测试向量验证加解密结果，确保优化没有引入正确性偏差。