分组密码的整体结构--「创文」001

原创

小马商密实验室
小马商密实验室

小马商密实验室

2026年1月20日 21:13
北京

在小说阅读器读本章

去阅读

在小说阅读器中沉浸阅读

2024年，小马商密实验室成功发明奇偶奇自逆整体结构，并基于该结构设计出EWES分组密码（中文名羊羊姐）。相较于经典的AES和SM4算法，EWES具备先天优势——扩散速度极快、所需轮数更少，其纯C代码性能接近AES-128表现。本文是我实验室首次公开竞品分析类型科研成果，后续我们还将陆续推出《分组密码七强的软件延迟指标、轮子密钥指标实测和性能评估结论》《分组密码的组件分析成果和实验室观点》等系列原创科技小文，持续分享前沿研究。

值得一提的是，Nano-EWES作为EWES的轮子密钥删减版本，凭借极快的扩散速度和极小的轮子密钥体积，特别适配物联网、车联网场景，目前该项研究已被中国工业互联网研究院正式立项。

在此，小马商密实验室郑重承诺：所有研究成果均为原创，核心数据真实可复现，欢迎公众点赞支持、打赏鼓励，更期待大家提出实质性的指导意见。

恰逢2025年2月5日ICCS官宣启动新商密征集，面向新一代商密标准布局。从当前分组密码领域的竞品分析来看，后续分组赛道的竞争必将日趋激烈。今天，我们就从分组密码的“骨架”——整体结构入手，拆解其5大核心结构，结合DES、AES、SM4等经典算法实例，再通过实测数据直观呈现主流算法的性能指标巅峰对决。

一、整体结构重要性

整体结构直接决定了密码算法的安全性高低、软硬件运行效率，甚至能否实现低延迟传输与并行计算，其重要性不言而喻。在具体拆解前，我们先通过汇总表格和进化图，快速感知整体结构对算法安全性、软硬件平台适配性、低延迟指标及加解密逻辑一致性的关键影响。

先看汇总方表和进化图，整体结构对安全性、软硬件平台表现、低延迟指标和加解密逻辑一致性影响极大。

再看两个工业标准，SM4：省晶体管设计，加解密逻辑一致，小面积组件，延迟很大，AES：扩散效率极高，延迟极小，适合硬件并行；总之，各有千秋。

第一种结构Festel，简单说，L拷贝上层R，R等于轮子密钥和R的逻辑函数输出，再异或L，所以每次轮变换只有1半数据被改变，请看递归方程和结构图。

两分支平衡Feistel结构(典型)：S(i)为第i+1轮中间状态，S(i+1)为第i+1轮中间状态

轮函数递归关系：

R（i+1)<=F(R(i),RK(i))+L(i);

优点：加密解密逻辑一致，反序轮子密钥 等于 加密密切换

缺点：比SP结构扩散慢

•实施例：DES、3DES

•分组长度 64bit 密钥长度 56bit

•16轮设计，密钥扩展为bit拉线

•优点：反序轮子密钥实现加密解密功能切换，特别省晶体管设计 。

•不足：软件实现不友好，56比特不安全。

2.2.广义Feistel结构

广义feistel结构是feistel的推广，所以，扩散更慢更省晶体管。简单的说，只有X（i+4）是上层5个变量的逻辑函数输出，其余3个变量拷贝。

•四分支非平衡Feistel结构(非典型)：S(i)为第i+1轮中间状态，S(i+1)为第i+1轮中间状态。

•轮函数递归：X(i+1）=X(i)+F(X(i+1),X(i+2),X(i+3),RK(i));

•优点：反序轮子密钥等于明文密文切换

•缺点：比2分支FEISTEL结构，扩散更慢，更省晶体管。

•实施例：SM4算法是一种四分支非平衡Feistel结构。

•分组长度128bit，密钥128bit

•32轮

•轮组件为4字节规模 MDS矩阵，典型的省晶体管设计。

2.3.SP结构

大名鼎鼎的SP结构，简单说，一层S盒一层可逆线性变换一层轮子密钥。优点：扩散比feistel快很多，缺点：加解密逻辑不一致。请看递归方程和结构图。

•SPN结构：S(i)为第i+1轮中间状态，S(i+1)为第i+1轮中间状态。

•轮函数递归：X(i+1）=P(S（X（i）+RK（i))

•实施例: AES、uBlock、FESH、 ARIA

•优点：扩散极快，最高1轮全扩散

•缺点：一般认为加密解密不自拟。

•实例化：AES-128，10轮至少激活50个差分活跃S盒，世界级竞品之冠，各平台表现卓越，应用极其广泛。

2.4.Lai-Massey结构

Lai-Massey结构是相对小众设计。简单说，上层L和R先异或，结果结合轮子密钥作为函数输入，函数输出同时异或L与R。特点，扩散较快，加密解密逻辑近似一致，表现介于feistel和Sp之间。

•Lai-Massey结构：S(i)为第i+1轮中间状态，S(i+1)为第i+1轮中间状态。

•轮函数递归：

•R(i+1）=R（i）+F（L（i）+R（i），RK（i）））

•L(i+1）=L（i）+F（L（i）+R（i），RK（i）））

•优点：扩散比feistel快，自逆或基本编码解码自拟

•缺点：扩散不如SP结构快，正型置换破坏

•实施例：FOX、Ballet

•Ballet-128，隶属广义Lai-Massey结构

•分组长度128bit

•46轮设计

•ARX指令特色，总体软件表现出色。

•安全性评估不易，要结构自逆还是性能优先是两难选择。

•关键路径设计有瑕疵，Ballet的软件的编码器和解码器延迟比很大，理论比值3:5，通过分割技术AMD处理器实测，26.01clk:40.02clk

实验室观点：Lai-Massey结构需要正型置换或其他措施消除差分路径先天复现的结构性瑕疵（参考孙兵刚出版的《分组密码迭代结构的设计与分析》FOX密码），设计不好将导致编码器和解码器的关键路径不对称甚至严重不对称。

2.5.奇-偶-奇自逆结构

奇偶奇自逆结构，来自2024年的挑战者，解决了前述4种结构不足。技术优势：反序轮子密钥实现加解密切换，扩散极快。简单说：奇数轮关联2组轮子密钥，偶数轮不关联密钥，奇数轮和偶数轮均为自逆组件，最后为奇数轮。请看递归方程和结构图。

•奇数轮定义为st=S奇（rki⊕st）⊕rki+1，偶数轮逻辑，st=S偶（st），其中S奇＝S奇-1，S偶＝S偶-1，优选S偶≠S奇。

•反序轮子密钥实现加密解密切换。

•实施例：EWES-128，128bit分组长度密钥，7轮，42个差分活跃S盒。

•优点：反序轮子密钥实现加解密功能互换。

•软硬件性能：接近AES-128

•新一代自逆结构，特殊型的SP结构，单轮差分分支数10，最优差分指标设计，系 SM4和AES设计的强力挑战者。羊羊姐EWES和羊羊妹EWES-TWIN是典型的六变形战士，软件表现，8位机表现、多路表现、fpga表现、低延迟硬件表现、时钟换面积表现、轮子密钥寄存器字节数等关键指标均表现卓越。

三、盘点2019年全国密码设计竞赛10强

先看结构和特色汇总表。

这是10强的结构细节图，公开文档和源代码请到密码学学会官网此处下载。

10强的安全性评估汇总表,摘自王老师公开视频课件（CCF）。

2019年全国密码算法设计竞赛分组密码前3名

这是，前3名的细节图，三个设计主导者分别为，吴文玲、王美琴和贾珂婷老师。

我实验室刚出炉7强软件延迟性能实测结果，先公布5强，其中5强为AES、EWES、uBlok、Ballet、FESH。第一个测试主场为AMD9700X处理器，第二个测试主场为i7-4770处理器。

测试方案由“小马商密实验室”独立设计首次公开，测试颗粒为1G次CBC加密及解码器的反向验证，其中CBC的明文为count。相当于与计算16G字节CBC-MAC的优质代码.

试验目的:精确分组密码编码器和解码器的软件延迟指标.精度为0.01秒和0.01C/B。

主场1：[email-masked]

[email-masked]

睿频5.5G

AES-128

EWES-128

uBlock

Balliet

FESH

CBC-MAC

计算

25.079秒

0.638GB/秒

8.621C/B

34.094秒

0.469GB/秒

11.72C/B

76.43秒

0.2093GB/秒

26.27C/B

26.828秒

0.597GB/秒

9.23C/B

46.875秒

0.3412GB/秒

16.11C/B

解码器反向计算

25.156秒

8.647GB/S

0.636C/B

同上

76.438秒

0.210GB/秒

26.27C/B

42.266秒

0.3786GB/秒

14.52

54.422秒

0.2940GB/秒

18.71

主场2：[email-masked]

[email-masked]
3.8G

AES-128

EWES-128

uBlock

Balliet

FESH

CBC-MAC

计算

46.644秒

0.3430GB/秒

11.0C/B

59.795秒

0.2676GB/秒

14.2C/B

54.522秒

0.2935GB/秒

12.97C/B

48.937秒

0.3270GB/秒

11.62C/B

74.896秒

0.2136GB/秒

17.8C/B

解码器反向计算

46.520秒

0.3439GB/秒

11.0C/B

同上

54.632秒

0.2929GB/秒

12.97C/B

72.229秒

0.2215GB/秒

17.16C/B

83.726秒

0.1911GB/秒

19.88C/B

测试代码来自Openssl-1.1.1代码和密码学会官网代码的优化版。Gcc-4.8.1、8.0.1或gcc-13.0.1 编译器 ，编译选项：Gcc -m64  -mavx2  -O4

先给出部分分析结论，以后文章将给出更多分析结论。

结论1：Balliet和FESH的解码器延迟显著大于编码器延迟，处理器定点性能越好，现象约明显。

结论2.haswell架构的SIMD执行特点，侧重小吞吐量指令配对好，所以UBlock表现出色，低延迟。zen5架构特点相反，专注大吞吐率，不纠结指令配对，所以uBlock刚好表现差1倍，C/B值刚好等于haswell架构C/B的2倍。

结论3：X64平台的低延迟指标，魁首为AES，AMD平台性能高达8.5C/B，我们认为AMD处理器最新架构已经实现并行查表功能，应该向AMD的工程师致敬。我们观点的理由，如果查表是串行瓶颈，AES-128的峰值性能10.5左右，分割测试结果为8.5C/B左右。10.5到8.5对用户是一小步，对高性能处理器设计是一大步。

四、盘点3强

安全性和性能表现，先看，结构、轮数、公开文本的汇总表。3强是AES、EWES、SM4，共同点是S盒均为256元域逆元设计，不同点是整体结构不同。

安全性指标评估

由差分活跃S盒数考察安全性，结论，SP结构扩散效果显著优于广义feistel结构。AES一行，50个差分活跃S盒除8轮，得6.25，依次类推。

本实验室观点：X-1型S盒的混淆能力属于非线性组件最强，该组件可以显著减轻P盒设计压力和轮数参数压力。8位机查表开销只有2clk，AMD处理器已支持GFNI+AVX512指令，并行查表开销等于AESNI指令；因为先天的实现代价极低，我们认为，相比4bitS盒设计、ARX组件设计、比特切片设计、bit拉线设计，三强在8位机性能和X64平台多路均为top级，其他设计的表现望尘莫及，预计表现最差的大概率是比特切片表现和比特拉线表现。比特切片实施例有，ASCON、Keccak、FESH、TANGRAM、Serpent。

4.2.X64单路表现

•AES-128和SM4代码摘自OpenSSL1.1.1。编译器gcc，v4.8.1或v8.1.0.

•单路：接近CBC模式、OFB模式、MAC码模式的性能，典型产品ipsec-VPN、SSL-VPN。

说明：以上指标是ECB性能测试，所以长帧长的指标大概率高于CBC模式表现。根据CPU架构常识，ECB单路会被当代高性能处理器自动优化。可以佐证，前述小马实验室的CBC压力测试模型才是真实的编码器和解码器性能表现。

4.3.X64平台多路

适用：XTS磁盘加密，CGM加密模块

16路、24路、32路、64路。

AESNI+AVX512峰值性能

本实验室实测的结果：1.AMD9700X在指令8路%zmm开始掉一点性能。实测峰值性能62.5G/B.相当于CRT模式的32路实现，乱数生产性能高达单线程0.5T+bps。2。AESNI的CBC峰值性能为2GB/S，所以8路%zmm已经榨干性能。

优化要点：8路并行 vaesenc  %zmm*，%zmm*，%zmm*，

本实验室的猜测和求证：1个vaesenc被分成8clk执行，大概率AMD将vaesenc指令转化成GFNI指令序列微码执行。总之，AMD-zen结构是加密延迟较大，吞吐量极高、硬件复用率极高工业产品。希望AMD处理器专家给我们更合理更真实的解释。

EWES和SM4的多路性能

[email-masked]，win11,32GRAM，gcc-8.1.0编译器。下面是EWES-NI（采用GFNI和AVX512指令优化的代码，参照SM4-NI的叫法）的性能表现。因为EWES-NI的性能极高，不访问RAM，连续对数据迭代0.2G次，不考虑数据重排，相当于CRT和XTS的乱数生产模块的性能。

规格

性能

核心寄存器

16路EWES-128

5.129GB/S

3对%zmm

8路EWES-128

4.129GB/S

2对%zmm

4路EWES-128

2.069GB/S

3对%ymm

优化要点是，喂饱AMD9700X的运算器输入，主要结论是，2对zmm没有喂饱，3对zmm喂饱。根据优化经验和《密码学报》论文观点，预计SM4性能不会低于4GB/S。

3强的avr性能实测

软件平台Atmel Studio6.2，芯片-Atmega16,嵌入式汇编研发。

算法

表现C/B

SM4或EWES-Twin（羊羊妹）

128

EWES-Twin和EWES的区别，奇数轮逻辑和偶数轮逻辑互换，安全性完全一样，软件代价更小。

EWES-128或nano-EWES-128:

138

AES-128

144

ASCON-12轮/16字节

632.8

网上汇编：void   Ascon128_permute(uint8_t first)；  10125clk，比特切片

2025年2月5日新一代商密标准征集官宣开始，预计将涌现更多新的设计乃至新的整体结构，本实验室的科普小文和视频系应景作品。

陈述完毕，现在求打赏时间。

请关注“”小马商密实验室” 和或 官网 www.sjxb.com。小马商密实验室深耕商用密码学与区块链赛道，既要做原始创新的攻坚者，也要做硬核知识的科普员！「创」字头是原创技术干货，「普」字头是趣味科普内容。原创之路道阻且长，感恩你的赞赏与支持！这笔心意将投入专业资料购置、硬件平台搭建，帮我坚守创作初心。未来继续输出实用技术内容，与你一同成长，感谢陪伴！

微信扫描上面二维码，或长按二维码，点击“识别图中二维码”。打赏时请务必确认收款方为“小马商密实验室的店铺”。

2026年1月20日

预览时标签不可点

微信扫一扫赞赏作者喜欢作者

关闭

4人喜欢

更多

正在加载...

正在加载...

关闭

更多

名称已清空

微信扫一扫赞赏作者
喜欢作者其它金额

赞赏后展示我的头像

作品

暂无作品

喜欢作者

其它金额

¥

最低赞赏 ¥0

确定

返回

其它金额

更多

赞赏金额

¥

最低赞赏 ¥0

1

2

3

4

5

6

7

8

9

0

.

关闭

更多

搜索「」网络结果

关闭

调整当前正文文字大小

更多

100%

​

留言

暂无留言

1条留言

已无更多数据

发消息

写留言:

微信扫一扫
关注该公众号

继续滑动看下一个

轻触阅读原文

小马商密实验室

向上滑动看下一个

当前内容可能存在未经审核的第三方商业营销信息，请确认是否继续访问。

继续访问取消

微信公众平台广告规范指引

知道了

微信扫一扫
使用小程序

取消
允许

取消
允许

取消
允许

×
分析

微信扫一扫可打开此内容，
使用完整服务

小马商密实验室

已关注

赞

分享

推荐

写留言

：
，
，
，
，
，
，
，
，
，
，
，
，
。

视频
小程序

赞
，轻点两下取消赞
在看
，轻点两下取消在看
分享
留言
收藏
听过

可在「公众号 > 右上角 > 划线」找到划线过的内容

我知道了

,

,

选择留言身份

留言

暂无留言

1条留言

已无更多数据

发消息

写留言:

关闭

更多

关闭

确认提交投诉

你可以补充投诉原因（选填）

确定