【密码算法 之七】GCM 浅析

  在我的另一篇博客【密码算法 之三】分组密码工作模式 （ECB \ CBC \ CFB \ OFB \ CTR \ XTS）浅析 中已经详细的介绍了对称算法（也称为“分组密码算法”）的各种工作模式。这些工作模式中，CBC、CFB、OFB 三种模式可以解决 ECB 模式中相同明文生成相同密文的缺陷，CTR 又可以在此基础上提供多分组并行加密特性，但是它们都不能提供密文消息完整性校验功能，所有就有了 GCM 模式。

1. 概述

  GCM 全称为 Galois/Counter Mode，其中 G 是指 GMAC，C 是指 CTR 模式，可以将 GCM 认为是认证模式的一种，提供认证和加密两种功能。GCM模式的分组大小为128bit。
  在进行GCM原理分析之前，首先应该了解一下 GHASH函数 及 GCTR函数。

1.1 GHASH

  GHASH函数利用了“伽罗瓦域算法”计算HASH值。关于伽罗瓦域算法的不在这里详述（有兴趣的可以自行学习）。

  GHASH函数的执行步骤如下：
  （1）将字符串 x 分为 128bit 的块 X₁, X₂, …, X_m；
  （2）置 Y₀ 为 0¹²⁸（即 Y₀ 为 128bit 的 0），由于 Y₀ 与 X₁ 异或不改变 X₁ 的值，故下图没有体现 Y₀ 的存在；
  （3）Y