简介围绕AES-128算法原理与实现整理的这份技术文档面向希望在C/C或嵌入式环境中使用对称加密的开发者与学习者重点解决加密流程抽象、轮变换细节难以对照代码理解的问题也可作为密码学课程设计与实验的辅助材料。包内仅含1个doc文档压缩包约110KB篇幅集中便于入门查阅。文档从NIST征集AES与Rijndael胜出的背景讲起梳理分组密码的排列与置换思想逐层说明SubBytes字节代换、ShiftRow行移位、MixColumn列混合与AddRoundKey密钥加等轮变化并介绍密钥扩展中的rotword、subword与Rcon操作。内容还对比AES与3DES在密钥长度、速度和资源消耗上的差异附AVR汇编实现片段便于把原理与代码对应起来对理解算法移植与底层优化亦有帮助。目前已有1678人学习下载适合需要快速建立AES-128整体认识、对照实现细节的读者参考。1. AES-128 不是黑匣子一份带 AVR 汇编和 C 类的实现包能给你什么手上这份资料最有价值的地方不是它讲了多少 AES 的历史而是它同时给了三样东西一份能在单片机上跑的 AVR 汇编轮函数、一份从 C# 搬过来的 C 类还有一组可以拿来对账的 128 位测试向量。很多讲 AES 的文章停在分组、轮、S 盒这些名词上你读完还是不知道state里第 0 行第 1 列该放明文的第几个字节。这份资料把SubBytes、ShiftRows、MixColumns、AddRoundKey拆到了指令级配合密钥扩展的w[]递推能让你从知道有 AES走到能自己写一个 10 轮跑通、输出和标准向量一模一样的 AES-128。它适合两类人做嵌入式、需要在资源受限的 MCU 上塞进对称加密的工程师以及被现成库养惯了、想搞清楚AES_encrypt()一次调用到底做了什么的开发者。不适合只想调个 API 的人。2. 把 16 字节摊成 4×4轮函数四步的落地顺序AES-128 的分组是 16 字节密钥也是 16 字节轮数 Nr10。围绕这个 16 字节算法定义了四种操作全部作用在一个叫状态State的 4×4 字节矩阵上。资料里那句排列是对数据重新安排置换是将一个数据单元替换为另一个是对的但太抽象落到代码上就是四段十几行的循环。理解顺序很关键一轮里先SubBytes再ShiftRows再MixColumns再AddRoundKey第十轮没有MixColumns。这个顺序不是可选项调换任何一个输出立刻和标准向量分道扬镳。2.1 状态布局与字节序为什么第一列是 00 11 22 33AES 规范用的是列主序。输入 16 字节按顺序填进状态矩阵的列不是行。很多人第一版实现栽在这里把in[0]放到state[0][0]in[1]放到state[0][1]看起来更自然结果整条链路全错。正确的映射是state[r][c] in[r 4*c]也就是前四个字节竖着站成第一列。// 列主序装载in[0..3] 构成状态矩阵第 0 列而不是第 0 行 static void load_state(const uint8_t in[16], uint8_t st[4][4]) { for (int c 0; c 4; c) for (int r 0; r 4; r) st[r][c] in[r 4 * c]; // r 变化最快先填满一列 } // 卸载时原路返回保证 encrypt 后 state 还原成线性字节流 static void store_state(const uint8_t st[4][4], uint8_t out[16]) { for (int c 0; c 4; c) for (int r 0; r 4; r) out[r 4 * c] st[r][c]; }这段代码没什么技巧但它是后面所有调试的基准。参数只有两个输入缓冲区必须严格 16 字节st用uint8_t[4][4]而不是一维 16 字节数组是为了让后面ShiftRows的下标表达更直观。装载完之后明文的00 11 22 33变成状态矩阵的第一列st[0][0]0x00, st[1][0]0x11, st[2][0]0x22, st[3][0]0x33其余三列以此类推。资料里那个 128 位明文00112233445566778899AABBCCDDEEFF就是按这个规则铺开的你用调试器看一眼内存布局就能确认。提示如果你的调试器按行显示二维数组看到的画面和你脑子里列的直觉是拧着的建议在纸上把 4×4 矩阵画出来标上每个格子对应输入的第几字节贴显示器边上直到不再看错。2.2 SubBytes 与 S 盒16×16 查表怎么定SubBytes是唯一的非线性环节作用是对状态矩阵里每一个字节做一次查表替换表叫 S 盒16×16 共 256 项。查表的方式是把字节拆成高低两个 4 位高 4 位当行号低 4 位当列号字节0x53行 5 列 3取Sbox[5][3] 0xED。资料里的 AVR 汇编用zh:zl做指针把待查字节的低位塞进zl一次ld temp, z就完成查表这是 8 位机上最省事的写法。S 盒的值不是随便填的它是GF(2^8) 上求乘法逆元再做一次仿射变换的结果。别手抄 256 个常量抄错一个字节症状是某些明文能过、某些不能过排查起来极其难受。用代码生成跑一次断言几个已知点比人眼校对准得多。# GF(2^8) 乘法模多项式 x^8x^4x^3x1低 8 位是 0x1B def gmul(a, b): p 0 for _ in range(8): if b 1: p ^ a hi a 0x80 a (a 1) 0xFF if hi: a ^ 0x1B # 只有最高位为 1 才约减这一步漏了就是普通左移 b 1 return p def ginv(a): if a 0: return 0 # 0 的逆元定义为 0这是 AES 的约定 for x in range(1, 256): if gmul(a, x) 1: return x def build_sbox(): box [0] * 256 for a in range(256): b ginv(a) s b # 仿射变换b ^ rotl(b,1..4) ^ 0x63 for i in range(1, 5): s ^ ((b i) | (b (8 - i))) 0xFF box[a] s ^ 0x63 return box SBOX build_sbox() assert SBOX[0x00] 0x63 and SBOX[0x01] 0x7C and SBOX[0x53] 0xED print(hex(gmul(0xE1, 0x03))) # 输出 0x38MixColumns 要用gmul里那个0x1B是模多项式x^8x^4x^3x1去掉最高位之后剩下的部分作用是防止乘法结果溢出到 8 位之外。ginv用最朴素的穷举求逆256 次循环跑 256 遍也就几毫秒生成期用足够了真要抠性能可以换成对数/反对数表。生成完立刻断言三个点SBOX[0x00]、SBOX[0x01]、SBOX[0x53]这三个对不上后面不用看了。逆 S 盒同理对 S 盒做一次逆映射即可不需要重新推导。2.3 ShiftRows 与 MixColumnsGF(2^8) 上的 xtime 与 0x03 乘ShiftRows是纯字节搬运第 0 行不动第 1 行左移 1 字节第 2 行左移 2 字节第 3 行左移 3 字节移出去的从右边绕回来。资料里那段 AVR 汇编用r2 r6 r10 r14这组寄存器表示第一列通过一串mov完成列内换位思路就是用寄存器当临时缓存做循环移位。C 里写起来简单得多但要注意左移的方向别搞反解密时是右移。// 加密方向第 r 行循环左移 r 个字节 static void shift_rows(uint8_t st[4][4]) { uint8_t t; // 第 1 行左移 1 t st[1][0]; st[1][0] st[1][1]; st[1][1] st[1][2]; st[1][2] st[1][3]; st[1][3] t; // 第 2 行左移 2等于交换前后两半 t st[2][0]; st[2][0] st[2][2]; st[2][2] t; t st[2][1]; st[2][1] st[2][3]; st[2][3] t; // 第 3 行左移 3等价于右移 1 t st[3][3]; st[3][3] st[3][2]; st[3][2] st[3][1]; st[3][1] st[3][0]; st[3][0] t; }第 0 行完全不动这是最容易漏的一行——不是所有行都移移动量等于行号。写成循环也行st[r][(c r) % 4]取新值但那样需要一份临时数组在单片机上多占 16 字节 RAM寄存器紧张时手写展开更划算。这段代码没有参数但隐含一个约束st必须是 4×4且进来之前已经做过SubBytes顺序错了结果一样是错的。MixColumns是整个算法里唯一需要动脑的部分也是资料花最多篇幅讲的地方。它把状态矩阵的每一列当成 GF(2^8) 上的多项式乘一个固定多项式c(x) 03·x^3 01·x^2 01·x 02再模x^41。展开成矩阵乘法就是每列的四个字节按下面的系数组合输出字节系数组合对列内 a0..a3b002·a0 ⊕ 03·a1 ⊕ 01·a2 ⊕ 01·a3b101·a0 ⊕ 02·a1 ⊕ 03·a2 ⊕ 01·a3b201·a0 ⊕ 01·a1 ⊕ 02·a2 ⊕ 03·a3b303·a0 ⊕ 01·a1 ⊕ 01·a2 ⊕ 02·a3这里的 ⊕ 是异或乘 02 就是xtime值小于 0x80 时左移一位大于等于 0x80 时先左移再异或 0x1B。乘 03 拆成xtime(a) ⊕ a乘 09、0x0B、0x0D、0x0E 类推全部化归成若干次xtime加异或。拿资料里那组数手算一遍列内四个字节是a00x09, a10x60, a20xE1, a30x04求 b0。0x09×01 0x090x60×020x60 最高位是 0直接左移得0xC00xE1×03 xtime(0xE1) ⊕ 0xE10xE1 最高位是 1左移得 0xC2 再异或 0x1B 得0xD90xD9 ⊕ 0xE1 0x380x04×01 0x04。四项异或0x09 ⊕ 0xC0 ⊕ 0x38 ⊕ 0x04 0xF5。// xtimeGF(2^8) 中乘 2溢出时用 0x1B 约减 static inline uint8_t xtime(uint8_t a) { return (uint8_t)((a 1) ^ ((a 0x80) ? 0x1B : 0x00)); } // 整列混合先算三个中间量避免重复调用 xtime static void mix_columns(uint8_t st[4][4]) { for (int c 0; c 4; c) { uint8_t a0 st[0][c], a1 st[1][c], a2 st[2][c], a3 st[3][c]; uint8_t t a0 ^ a1 ^ a2 ^ a3; // 公共项省三次异或 st[0][c] ^ t ^ xtime(a0 ^ a1); // 等价于 02·a0 ^ 03·a1 ^ a2 ^ a3 st[1][c] ^ t ^ xtime(a1 ^ a2); st[2][c] ^ t ^ xtime(a2 ^ a3); st[3][c] ^ t ^ xtime(a3 ^ a0); } }这个写法比照着矩阵逐项展开快秘密在那句t a0^a1^a2^a3四个输出都要异或一遍全部输入先把公共部分算出来每列只需要四次异或加四次xtime。注意st[r][c] ^ t ^ xtime(...)右边用的是原始值因为t已经把四个原始字节都算进去了改一个不影响其他三个的t这也是这个技巧成立的前提。注意手算结果和某些旧资料上印的数值对不上时先别怀疑自己。用gmul跑一遍、再用标准测试向量验证以测试向量为准。我见过不止一份流传的讲义在MixColumns的例子里把中间值抄岔了一格。2.4 AddRoundKey 与轮密钥的取用顺序AddRoundKey最简单把状态矩阵和本轮的四字轮密钥逐字节异或。坑不在运算在索引。轮密钥表w[]是按字组织的每个字 4 字节w[i]的第 r 个字节对应状态矩阵第 r 行。所以state[r][c] ^ w[round*4 c][r]注意最后那个[r]——它是转置的写成w[..][c]就错了。// 第 round 轮0..10的轮密钥加w 是 44 个 4 字节字 static void add_round_key(uint8_t st[4][4], const uint8_t w[44][4], int round) { for (int c 0; c 4; c) for (int r 0; r 4; r) st[r][c] ^ w[round * 4 c][r]; // 列号选字行号选字内字节 }round * 4 c的含义是第 0 轮用 w[0..3]第 1 轮用 w[4..7]一直到第 10 轮用 w[40..43]总共 44 个字正好是4*(Nr1)。异或本身可逆所以解密时同一个函数直接复用只是轮次反过来走。资料里 C# 版那句注释说得很清楚——State[r,c]是和w[c,r]异或不是w[r,c]这个转置是 AES 实现里第二常见的翻车点。四步串起来就是一轮。这里补一个完整的加密主循环方便你照着敲void aes128_encrypt_block(const uint8_t in[16], uint8_t out[16], const uint8_t w[44][4]) { uint8_t st[4][4]; load_state(in, st); add_round_key(st, w, 0); // 预白化第 0 轮密钥 for (int round 1; round 9; round) { sub_bytes(st); // S 盒查表 shift_rows(st); mix_columns(st); add_round_key(st, w, round); } // 第 10 轮没有 MixColumns这是规范硬性规定 sub_bytes(st); shift_rows(st); add_round_key(st, w, 10); store_state(st, out); }十轮循环里跑九次完整轮函数最后补一次去掉MixColumns的收尾轮加上开头的预白化一共用了 11 组轮密钥。这个结构在加密和解密之间几乎对称解密只是把四个操作换成逆操作、轮密钥倒序取这也是资料里说加解密算法极其相似的实际含义。3. 密钥扩展与十轮调度44 个字是怎么排出来的16 字节种子密钥要变成 11 组、共 176 字节的轮密钥靠的是密钥扩展。三个参数贯穿始终Nb 是以字为单位的分组长度AES 恒为 4Nk 是以字为单位的密钥长度128 位密钥对应 4Nr 是轮数等于Nk 6所以 128 位是 10 轮。192 位密钥 Nk6、Nr12256 位 Nk8、Nr14这套关系在资料里以表格形式给出实现时直接用公式算别硬编码。3.1 从种子密钥到 w[44]递推规则与三个辅助操作扩展的核心是一条递推w[i] w[i-Nk] ⊕ temp其中temp默认取w[i-1]。当 i 是 Nk 的整数倍时temp要先经过三步加工RotWord把 4 字节循环左移一位SubWord对 4 个字节逐个查 S 盒再异或轮常数Rcon[i/Nk]。128 位密钥 Nk4所以每 4 个字就要加工一次Rcon用到 10 个。Rcon[j]是一个字形式是[rc, 0x00, 0x00, 0x00]rc从 0x01 开始每步在 GF(2^8) 里乘 2也就是不断xtime。序列是 01、02、04、08、10、20、40、80、1B、36。注意 0x80 那一步左移溢出异或 0x1B 得 0x36不是 0x00。这个细节在 AVR 汇编版本里被写成一段带进位判断的子程序brcs分支跳去异或 0x1B正是同一个逻辑。// 一次性生成 44 个轮密钥字Nk4, Nr10 void key_expansion(const uint8_t key[16], uint8_t w[44][4]) { static const uint8_t RCON[10] { 0x01,0x02,0x04,0x08,0x10,0x20,0x40,0x80,0x1B,0x36 }; for (int i 0; i 4; i) // 前 Nk 个字直接来自种子密钥 for (int j 0; j 4; j) w[i][j] key[4 * i j]; for (int i 4; i 44; i) { uint8_t temp[4] { w[i-1][0], w[i-1][1], w[i-1][2], w[i-1][3] }; if (i % 4 0) { uint8_t t0 temp[0]; // RotWord左移一位 temp[0] temp[1]; temp[1] temp[2]; temp[2] temp[3]; temp[3] t0; for (int j 0; j 4; j) // SubWord逐字节查 S 盒 temp[j] SBOX[temp[j]]; temp[0] ^ RCON[i / 4 - 1]; // 只有首字节异或轮常数 } for (int j 0; j 4; j) w[i][j] w[i - 4][j] ^ temp[j]; // 与 i-Nk 位置的字异或 } }i / 4 - 1这个下标要留意i4 时用RCON[0]0x01i8 时用RCON[1]0x02正好对上。RCON[8]0x1B、RCON[9]0x36是数组里唯一两个不像 2 的幂的值就是因为它们经过了约减。3.2 用测试向量逐行核对 w[]光看代码不知道对不对最好的办法是拿资料里那组种子密钥把w[]打出来对比。种子是000102030405060708090A0B0C0D0E0F前四个字就是原样下标w[i] 值说明w[0]00010203直接来自种子w[1]04050607直接来自种子w[2]08090A0B直接来自种子w[3]0C0D0E0F直接来自种子w[4]D6AA74FD首个经 RotWord/SubWord/Rcon 生成的字w[5]D2AF72FA由 w[1] ⊕ w[4] 得出w[43]B6630B39最后一组轮密钥的首字w[4] 的推导可以手算验证temp w[3] 0C0D0E0FRotWord 得0D0E0F0CSubWord 逐字节查表得D7AB76FE首字节异或 0x01 得D6AB76FE再与w[0]00010203异或结果D6AA74FD。每一步都能在纸上对上。这套核对方法比盯着代码看有效得多因为一旦哪一步错了你能立刻定位是 RotWord 方向错了、还是 Rcon 下标差了一位。3.3 解密时的轮密钥用法解密的轮函数是加密的逆InvShiftRows、InvSubBytes、AddRoundKey、InvMixColumns顺序也倒过来。轮密钥直接用同一份w[]但从w[40..43]开始逐轮往前推。很多人第一次写解密会想当然地把w[]逆序复制一份这不算错但多占 176 字节 RAM在单片机上更常见的做法是保留正序表用w[round*4 c]里的round从 10 递减到 0。资料里提到解密比加密慢原因就在这里InvMixColumns的系数是 09、0x0B、0x0D、0x0E每个都需要三四次xtime比加密的 02、03 贵得多。4. 从 C# 类到 C 与 AVR 汇编同一套轮函数换三种载体这份资料的独特之处是把同一套算法在三个层次上摆开C# 版用来讲结构C 版用来实际用AVR 汇编版用来讲资源受限时怎么抠。三者算的是同一件事差异全在怎么表达一个 4 字节的字和怎么省 RAM上。4.1 C 移植用 uint8_t 数组模拟 wordC# 有byte[,]二维数组和垃圾回收搬过来最大的问题是 C 没有内置的 word 类型也没有边界检查。原帖作者的处理是用uint8_t w[44][4]每个字就是一个 4 字节数组索引的时候多写一层。这个选择在嵌入世上是对的连续内存、无动态分配、可以直接memcpy。// 用固定大小数组代替 C# 的 byte[,]避免 new/delete 和堆碎片 class Aes128 { public: explicit Aes128(const uint8_t key[16]) { key_expansion(key, w_); } void encrypt(const uint8_t in[16], uint8_t out[16]) const { uint8_t st[4][4]; load_state(in, st); add_round_key(st, w_, 0); for (int r 1; r 9; r) { sub_bytes(st); shift_rows(st); mix_columns(st); add_round_key(st, w_, r); } sub_bytes(st); shift_rows(st); add_round_key(st, w_, 10); store_state(st, out); } private: uint8_t w_[44][4]; // 176 字节全部在栈/对象内无堆分配 };这个类只有 176 字节状态加上局部 16 字节在 STM32 这类片子上完全无压力。构造时一次性扩展密钥之后encrypt是const的可以多线程共享同一个对象读w_。要注意的是它只做单块 ECB没有模式、没有填充这是刻意的——把模式留给调用方比在类里捆死一个 CBC 更灵活也更少出错。4.2 AVR 汇编版本在省什么资料里的汇编片段值得单独看因为它暴露了 8 位机的真实约束。SubBytes用Z指针查 S 盒一行ldtemp, z完成ShiftRows用一堆mov在寄存器之间倒腾xtime子程序只有四条指令xtime: ldi temp1, 0x1B lsl temp ; 左移一位最高位进 C 标志 brcs next1 ; 溢出则跳去约减 ret next1: eor temp, temp1 ; 异或 0x1B rjmp nextlsl把最高位挤进进位标志brcs根据进位决定是否约减这就是 C 里(a 0x80) ? 0x1B : 0的硬件级等价物。资料里同时还给了优化路径把MixColumns做成 256 项的查找表用空间换时间。这个取舍在 AVR 上很现实——一张 256 字节的表能吃掉小容量型号三分之一的 RAM但换来的是每列少跑四次xtime。资料给出的结论是加密表小、解密表大因为解密系数更多。选哪条路取决于你的 Flash 和 RAM 谁更紧张。4.3 分组模式与填充单块加密之上必须补的东西单块 AES 只能加密 16 字节实际数据一定比这长所以必须有模式和填充。ECB 最省事同样的明文块永远得到同样的密文块图片加密后能看出轮廓这个特性基本等于不可用。CBC 把前一块密文异或进下一块明文需要 16 字节随机 IV解密时 IV 不保密但必须完整传输。CTR 把块密码变成流密码加解密同一个函数不需要填充代价是绝对不能重用计数器。// CBC 加密iv 由调用方提供长度必须是 16 的整数倍 void aes128_cbc_encrypt(const Aes128 aes, const uint8_t* iv, const uint8_t* in, uint8_t* out, size_t len) { uint8_t prev[16], block[16]; memcpy(prev, iv, 16); for (size_t off 0; off len; off 16) { for (int i 0; i 16; i) block[i] in[off i] ^ prev[i]; // 先和上一块密文异或 aes.encrypt(block, out off); memcpy(prev, out off, 16); // 本块密文成为下一块的 prev } }prev初始是 IV之后每轮被本块密文覆盖这是 CBC 链式关系的全部。填充推荐 PKCS#7缺 n 个字节就补 n 个值为 n 的字节哪怕正好对齐也要补一整块 16 个 0x10否则解密端无法区分最后一块是数据还是补的。这条规则看着多余省掉它去填充时就会遇上原文末尾恰好是 0x01的歧义。提示IV 每次加密都要重新随机生成不能固定写死。固定 IV 的 CBC 在相同明文前缀下会产生相同密文前缀安全性和 ECB 差不多。5. 避坑与排查五个让密文对不上的地方5.1 密文长度对但内容全错先查状态矩阵的装载顺序现象加密不崩、不越界输出 16 字节但和标准向量一位都对不上。原因八成是行列搞反了把列主序写成了行主序。解决打印第一轮AddRoundKey之后的状态矩阵用种子密钥000102...0F和明文00112233...FF手动异或st[0][0]应该是0x00^0x000x00st[1][0]是0x11^0x010x10。如果打印出来是st[0][1]0x10说明装载方向反了改load_state的索引即可。5.2 前九轮都对、最后一轮错漏了末轮无 MixColumns现象写了个通用round()函数循环里一视同仁调 10 次结果只差最后一轮。原因AES 规范规定第 10 轮不做列混合这是为了让加密和解密结构对称。解决把MixColumns从循环里提出来循环跑 1..9第 10 轮只做SubBytes、ShiftRows、AddRoundKey。改完之后再跑向量69C4E0D86A7B0430D8CDB78070B4C55A应该一次就对。5.3 部分字节正确部分乱码GF 乘法忘了约减现象测试向量里某些字节对、某些不对换个明文错的位置又变了。原因xtime里只写了a 1没判断最高位、没异或 0x1B等价于在整数上做乘法而不是在 GF(2^8) 上。解决补上(a 0x80) ? 0x1B : 0这一支然后单独测gmul(0x80, 0x02)必须等于0x1B、gmul(0xE1, 0x03)必须等于0x38。这两个数对了MixColumns基本不会再有系统性问题。5.4 C 里 char 默认有符号右移带进来一堆 1现象同样的逻辑用char写出来结果和uint8_t版不同且只在某些值上出错。原因char在多数编译器上是有符号的word[0] 4遇到高位为 1 的字节会做算术右移把符号位带进来。解决所有字节一律用uint8_t取高低 4 位写成(b 4) 0x0F和b 0x0F不要依赖反正只取 4 位的侥幸。5.5 解密结果末尾多出乱码填充和模式没配对现象加密再解密前面内容对最后几个字节是垃圾。原因加密端做了 PKCS#7 填充解密端没去填充或者反过来CBC 解密时 IV 传错。解决把去填充写成一个独立函数先校验最后一个字节n在 1..16 之间、且末尾 n 个字节都等于 n校验不过直接报错而不是截断——这一步同时挡住了填充预言类的误用。6. 用三组向量加一张 T 表做自校验写完实现别急着往业务里接先跑固定向量。我习惯准备三组覆盖单块正确、多块链式正确、解密可逆三件事编号密钥明文期望密文V1000102030405060708090A0B0C0D0E0F00112233445566778899AABBCCDDEEFF69C4E0D86A7B0430D8CDB78070B4C55AV2全部 0x00全部 0x0066E94BD4EF8A2C3B884CFA59CA342B2EV3全部 0xFF全部 0xFFA1F6258C877D5FCD8964484538BFAA03V1 就是资料里给出的那组用来对齐你的MixColumns和ShiftRowsV2、V3 用来抓全零输入会不会走进特殊分支这类边界问题比如ginv(0)返回 0 的约定如果写错V2 立刻炸。# 把向量写成文件让测试程序逐行读避免每次改代码重编 # vectors.txt: key_hex plain_hex cipher_hex 000102030405060708090A0B0C0D0E0F 00112233445566778899AABBCCDDEEFF 69C4E0D86A7B0430D8CDB78070B4C55A 00000000000000000000000000000000 00000000000000000000000000000000 66E94BD4EF8A2C3B884CFA59CA342B2E FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF FFFFFFFFFFFFFFFFFFFFFFFF A1F6258C877D5FCD8964484538BFAA03这个脚本的价值在于把验证从人工比对变成可重复执行的环节。每次改完MixColumns的写法跑一遍三行全绿才算过有一行红先看是哪个向量红了——V1 红多半是轮函数顺序问题V2 红多半是零值分支问题V3 红多半是有符号位移问题。定位速度比在完整业务里打断点快一个数量级。进阶一点的做法是上 T 表。MixColumns加SubBytes可以合并成四张 256 项的 32 位表每轮只需四次查表和三次异或速度能提升三到五倍代价是 4KB 表。合并后的轮函数长这样// 合并 SubBytes MixColumns 的查表法T0..T3 各 256 项共 4KB static inline uint32_t round_t(uint32_t s, const uint32_t rk, const uint32_t T0[256], const uint32_t T1[256], const uint32_t T2[256], const uint32_t T3[256]) { return T0[(s 24) 0xFF] ^ T1[(s 16) 0xFF] ^ T2[(s 8) 0xFF] ^ T3[ s 0xFF] ^ rk; }用 T 表之前务必先用上面的三组向量验证查表版和直白版输出完全一致别只测一组。这类优化最容易在字节序上出错24取的是最高字节如果你的s是从小端内存里直接memcpy出来的字节序正好反着结果看起来像对的但每一位都错。我第一次上 T 表的时候就是栽在这里向量 V1 过了因为它是回文式对称输入换到 V3 才暴露。从那以后我每次做对称加密的移植都强制走一遍装载顺序打印 三组向量 单块解密还原的老三样不管代码看起来多简单。这套流程慢不了几分钟但能省掉在业务代码里大海捞针的一整天。希望帮到你。本文还有配套的精品资源点击获取
简介围绕AES-128算法原理与实现整理的这份技术文档面向希望在C/C或嵌入式环境中使用对称加密的开发者与学习者重点解决加密流程抽象、轮变换细节难以对照代码理解的问题也可作为密码学课程设计与实验的辅助材料。包内仅含1个doc文档压缩包约110KB篇幅集中便于入门查阅。文档从NIST征集AES与Rijndael胜出的背景讲起梳理分组密码的排列与置换思想逐层说明SubBytes字节代换、ShiftRow行移位、MixColumn列混合与AddRoundKey密钥加等轮变化并介绍密钥扩展中的rotword、subword与Rcon操作。内容还对比AES与3DES在密钥长度、速度和资源消耗上的差异附AVR汇编实现片段便于把原理与代码对应起来对理解算法移植与底层优化亦有帮助。目前已有1678人学习下载适合需要快速建立AES-128整体认识、对照实现细节的读者参考。1. AES-128 不是黑匣子一份带 AVR 汇编和 C 类的实现包能给你什么手上这份资料最有价值的地方不是它讲了多少 AES 的历史而是它同时给了三样东西一份能在单片机上跑的 AVR 汇编轮函数、一份从 C# 搬过来的 C 类还有一组可以拿来对账的 128 位测试向量。很多讲 AES 的文章停在分组、轮、S 盒这些名词上你读完还是不知道state里第 0 行第 1 列该放明文的第几个字节。这份资料把SubBytes、ShiftRows、MixColumns、AddRoundKey拆到了指令级配合密钥扩展的w[]递推能让你从知道有 AES走到能自己写一个 10 轮跑通、输出和标准向量一模一样的 AES-128。它适合两类人做嵌入式、需要在资源受限的 MCU 上塞进对称加密的工程师以及被现成库养惯了、想搞清楚AES_encrypt()一次调用到底做了什么的开发者。不适合只想调个 API 的人。2. 把 16 字节摊成 4×4轮函数四步的落地顺序AES-128 的分组是 16 字节密钥也是 16 字节轮数 Nr10。围绕这个 16 字节算法定义了四种操作全部作用在一个叫状态State的 4×4 字节矩阵上。资料里那句排列是对数据重新安排置换是将一个数据单元替换为另一个是对的但太抽象落到代码上就是四段十几行的循环。理解顺序很关键一轮里先SubBytes再ShiftRows再MixColumns再AddRoundKey第十轮没有MixColumns。这个顺序不是可选项调换任何一个输出立刻和标准向量分道扬镳。2.1 状态布局与字节序为什么第一列是 00 11 22 33AES 规范用的是列主序。输入 16 字节按顺序填进状态矩阵的列不是行。很多人第一版实现栽在这里把in[0]放到state[0][0]in[1]放到state[0][1]看起来更自然结果整条链路全错。正确的映射是state[r][c] in[r 4*c]也就是前四个字节竖着站成第一列。// 列主序装载in[0..3] 构成状态矩阵第 0 列而不是第 0 行 static void load_state(const uint8_t in[16], uint8_t st[4][4]) { for (int c 0; c 4; c) for (int r 0; r 4; r) st[r][c] in[r 4 * c]; // r 变化最快先填满一列 } // 卸载时原路返回保证 encrypt 后 state 还原成线性字节流 static void store_state(const uint8_t st[4][4], uint8_t out[16]) { for (int c 0; c 4; c) for (int r 0; r 4; r) out[r 4 * c] st[r][c]; }这段代码没什么技巧但它是后面所有调试的基准。参数只有两个输入缓冲区必须严格 16 字节st用uint8_t[4][4]而不是一维 16 字节数组是为了让后面ShiftRows的下标表达更直观。装载完之后明文的00 11 22 33变成状态矩阵的第一列st[0][0]0x00, st[1][0]0x11, st[2][0]0x22, st[3][0]0x33其余三列以此类推。资料里那个 128 位明文00112233445566778899AABBCCDDEEFF就是按这个规则铺开的你用调试器看一眼内存布局就能确认。提示如果你的调试器按行显示二维数组看到的画面和你脑子里列的直觉是拧着的建议在纸上把 4×4 矩阵画出来标上每个格子对应输入的第几字节贴显示器边上直到不再看错。2.2 SubBytes 与 S 盒16×16 查表怎么定SubBytes是唯一的非线性环节作用是对状态矩阵里每一个字节做一次查表替换表叫 S 盒16×16 共 256 项。查表的方式是把字节拆成高低两个 4 位高 4 位当行号低 4 位当列号字节0x53行 5 列 3取Sbox[5][3] 0xED。资料里的 AVR 汇编用zh:zl做指针把待查字节的低位塞进zl一次ld temp, z就完成查表这是 8 位机上最省事的写法。S 盒的值不是随便填的它是GF(2^8) 上求乘法逆元再做一次仿射变换的结果。别手抄 256 个常量抄错一个字节症状是某些明文能过、某些不能过排查起来极其难受。用代码生成跑一次断言几个已知点比人眼校对准得多。# GF(2^8) 乘法模多项式 x^8x^4x^3x1低 8 位是 0x1B def gmul(a, b): p 0 for _ in range(8): if b 1: p ^ a hi a 0x80 a (a 1) 0xFF if hi: a ^ 0x1B # 只有最高位为 1 才约减这一步漏了就是普通左移 b 1 return p def ginv(a): if a 0: return 0 # 0 的逆元定义为 0这是 AES 的约定 for x in range(1, 256): if gmul(a, x) 1: return x def build_sbox(): box [0] * 256 for a in range(256): b ginv(a) s b # 仿射变换b ^ rotl(b,1..4) ^ 0x63 for i in range(1, 5): s ^ ((b i) | (b (8 - i))) 0xFF box[a] s ^ 0x63 return box SBOX build_sbox() assert SBOX[0x00] 0x63 and SBOX[0x01] 0x7C and SBOX[0x53] 0xED print(hex(gmul(0xE1, 0x03))) # 输出 0x38MixColumns 要用gmul里那个0x1B是模多项式x^8x^4x^3x1去掉最高位之后剩下的部分作用是防止乘法结果溢出到 8 位之外。ginv用最朴素的穷举求逆256 次循环跑 256 遍也就几毫秒生成期用足够了真要抠性能可以换成对数/反对数表。生成完立刻断言三个点SBOX[0x00]、SBOX[0x01]、SBOX[0x53]这三个对不上后面不用看了。逆 S 盒同理对 S 盒做一次逆映射即可不需要重新推导。2.3 ShiftRows 与 MixColumnsGF(2^8) 上的 xtime 与 0x03 乘ShiftRows是纯字节搬运第 0 行不动第 1 行左移 1 字节第 2 行左移 2 字节第 3 行左移 3 字节移出去的从右边绕回来。资料里那段 AVR 汇编用r2 r6 r10 r14这组寄存器表示第一列通过一串mov完成列内换位思路就是用寄存器当临时缓存做循环移位。C 里写起来简单得多但要注意左移的方向别搞反解密时是右移。// 加密方向第 r 行循环左移 r 个字节 static void shift_rows(uint8_t st[4][4]) { uint8_t t; // 第 1 行左移 1 t st[1][0]; st[1][0] st[1][1]; st[1][1] st[1][2]; st[1][2] st[1][3]; st[1][3] t; // 第 2 行左移 2等于交换前后两半 t st[2][0]; st[2][0] st[2][2]; st[2][2] t; t st[2][1]; st[2][1] st[2][3]; st[2][3] t; // 第 3 行左移 3等价于右移 1 t st[3][3]; st[3][3] st[3][2]; st[3][2] st[3][1]; st[3][1] st[3][0]; st[3][0] t; }第 0 行完全不动这是最容易漏的一行——不是所有行都移移动量等于行号。写成循环也行st[r][(c r) % 4]取新值但那样需要一份临时数组在单片机上多占 16 字节 RAM寄存器紧张时手写展开更划算。这段代码没有参数但隐含一个约束st必须是 4×4且进来之前已经做过SubBytes顺序错了结果一样是错的。MixColumns是整个算法里唯一需要动脑的部分也是资料花最多篇幅讲的地方。它把状态矩阵的每一列当成 GF(2^8) 上的多项式乘一个固定多项式c(x) 03·x^3 01·x^2 01·x 02再模x^41。展开成矩阵乘法就是每列的四个字节按下面的系数组合输出字节系数组合对列内 a0..a3b002·a0 ⊕ 03·a1 ⊕ 01·a2 ⊕ 01·a3b101·a0 ⊕ 02·a1 ⊕ 03·a2 ⊕ 01·a3b201·a0 ⊕ 01·a1 ⊕ 02·a2 ⊕ 03·a3b303·a0 ⊕ 01·a1 ⊕ 01·a2 ⊕ 02·a3这里的 ⊕ 是异或乘 02 就是xtime值小于 0x80 时左移一位大于等于 0x80 时先左移再异或 0x1B。乘 03 拆成xtime(a) ⊕ a乘 09、0x0B、0x0D、0x0E 类推全部化归成若干次xtime加异或。拿资料里那组数手算一遍列内四个字节是a00x09, a10x60, a20xE1, a30x04求 b0。0x09×01 0x090x60×020x60 最高位是 0直接左移得0xC00xE1×03 xtime(0xE1) ⊕ 0xE10xE1 最高位是 1左移得 0xC2 再异或 0x1B 得0xD90xD9 ⊕ 0xE1 0x380x04×01 0x04。四项异或0x09 ⊕ 0xC0 ⊕ 0x38 ⊕ 0x04 0xF5。// xtimeGF(2^8) 中乘 2溢出时用 0x1B 约减 static inline uint8_t xtime(uint8_t a) { return (uint8_t)((a 1) ^ ((a 0x80) ? 0x1B : 0x00)); } // 整列混合先算三个中间量避免重复调用 xtime static void mix_columns(uint8_t st[4][4]) { for (int c 0; c 4; c) { uint8_t a0 st[0][c], a1 st[1][c], a2 st[2][c], a3 st[3][c]; uint8_t t a0 ^ a1 ^ a2 ^ a3; // 公共项省三次异或 st[0][c] ^ t ^ xtime(a0 ^ a1); // 等价于 02·a0 ^ 03·a1 ^ a2 ^ a3 st[1][c] ^ t ^ xtime(a1 ^ a2); st[2][c] ^ t ^ xtime(a2 ^ a3); st[3][c] ^ t ^ xtime(a3 ^ a0); } }这个写法比照着矩阵逐项展开快秘密在那句t a0^a1^a2^a3四个输出都要异或一遍全部输入先把公共部分算出来每列只需要四次异或加四次xtime。注意st[r][c] ^ t ^ xtime(...)右边用的是原始值因为t已经把四个原始字节都算进去了改一个不影响其他三个的t这也是这个技巧成立的前提。注意手算结果和某些旧资料上印的数值对不上时先别怀疑自己。用gmul跑一遍、再用标准测试向量验证以测试向量为准。我见过不止一份流传的讲义在MixColumns的例子里把中间值抄岔了一格。2.4 AddRoundKey 与轮密钥的取用顺序AddRoundKey最简单把状态矩阵和本轮的四字轮密钥逐字节异或。坑不在运算在索引。轮密钥表w[]是按字组织的每个字 4 字节w[i]的第 r 个字节对应状态矩阵第 r 行。所以state[r][c] ^ w[round*4 c][r]注意最后那个[r]——它是转置的写成w[..][c]就错了。// 第 round 轮0..10的轮密钥加w 是 44 个 4 字节字 static void add_round_key(uint8_t st[4][4], const uint8_t w[44][4], int round) { for (int c 0; c 4; c) for (int r 0; r 4; r) st[r][c] ^ w[round * 4 c][r]; // 列号选字行号选字内字节 }round * 4 c的含义是第 0 轮用 w[0..3]第 1 轮用 w[4..7]一直到第 10 轮用 w[40..43]总共 44 个字正好是4*(Nr1)。异或本身可逆所以解密时同一个函数直接复用只是轮次反过来走。资料里 C# 版那句注释说得很清楚——State[r,c]是和w[c,r]异或不是w[r,c]这个转置是 AES 实现里第二常见的翻车点。四步串起来就是一轮。这里补一个完整的加密主循环方便你照着敲void aes128_encrypt_block(const uint8_t in[16], uint8_t out[16], const uint8_t w[44][4]) { uint8_t st[4][4]; load_state(in, st); add_round_key(st, w, 0); // 预白化第 0 轮密钥 for (int round 1; round 9; round) { sub_bytes(st); // S 盒查表 shift_rows(st); mix_columns(st); add_round_key(st, w, round); } // 第 10 轮没有 MixColumns这是规范硬性规定 sub_bytes(st); shift_rows(st); add_round_key(st, w, 10); store_state(st, out); }十轮循环里跑九次完整轮函数最后补一次去掉MixColumns的收尾轮加上开头的预白化一共用了 11 组轮密钥。这个结构在加密和解密之间几乎对称解密只是把四个操作换成逆操作、轮密钥倒序取这也是资料里说加解密算法极其相似的实际含义。3. 密钥扩展与十轮调度44 个字是怎么排出来的16 字节种子密钥要变成 11 组、共 176 字节的轮密钥靠的是密钥扩展。三个参数贯穿始终Nb 是以字为单位的分组长度AES 恒为 4Nk 是以字为单位的密钥长度128 位密钥对应 4Nr 是轮数等于Nk 6所以 128 位是 10 轮。192 位密钥 Nk6、Nr12256 位 Nk8、Nr14这套关系在资料里以表格形式给出实现时直接用公式算别硬编码。3.1 从种子密钥到 w[44]递推规则与三个辅助操作扩展的核心是一条递推w[i] w[i-Nk] ⊕ temp其中temp默认取w[i-1]。当 i 是 Nk 的整数倍时temp要先经过三步加工RotWord把 4 字节循环左移一位SubWord对 4 个字节逐个查 S 盒再异或轮常数Rcon[i/Nk]。128 位密钥 Nk4所以每 4 个字就要加工一次Rcon用到 10 个。Rcon[j]是一个字形式是[rc, 0x00, 0x00, 0x00]rc从 0x01 开始每步在 GF(2^8) 里乘 2也就是不断xtime。序列是 01、02、04、08、10、20、40、80、1B、36。注意 0x80 那一步左移溢出异或 0x1B 得 0x36不是 0x00。这个细节在 AVR 汇编版本里被写成一段带进位判断的子程序brcs分支跳去异或 0x1B正是同一个逻辑。// 一次性生成 44 个轮密钥字Nk4, Nr10 void key_expansion(const uint8_t key[16], uint8_t w[44][4]) { static const uint8_t RCON[10] { 0x01,0x02,0x04,0x08,0x10,0x20,0x40,0x80,0x1B,0x36 }; for (int i 0; i 4; i) // 前 Nk 个字直接来自种子密钥 for (int j 0; j 4; j) w[i][j] key[4 * i j]; for (int i 4; i 44; i) { uint8_t temp[4] { w[i-1][0], w[i-1][1], w[i-1][2], w[i-1][3] }; if (i % 4 0) { uint8_t t0 temp[0]; // RotWord左移一位 temp[0] temp[1]; temp[1] temp[2]; temp[2] temp[3]; temp[3] t0; for (int j 0; j 4; j) // SubWord逐字节查 S 盒 temp[j] SBOX[temp[j]]; temp[0] ^ RCON[i / 4 - 1]; // 只有首字节异或轮常数 } for (int j 0; j 4; j) w[i][j] w[i - 4][j] ^ temp[j]; // 与 i-Nk 位置的字异或 } }i / 4 - 1这个下标要留意i4 时用RCON[0]0x01i8 时用RCON[1]0x02正好对上。RCON[8]0x1B、RCON[9]0x36是数组里唯一两个不像 2 的幂的值就是因为它们经过了约减。3.2 用测试向量逐行核对 w[]光看代码不知道对不对最好的办法是拿资料里那组种子密钥把w[]打出来对比。种子是000102030405060708090A0B0C0D0E0F前四个字就是原样下标w[i] 值说明w[0]00010203直接来自种子w[1]04050607直接来自种子w[2]08090A0B直接来自种子w[3]0C0D0E0F直接来自种子w[4]D6AA74FD首个经 RotWord/SubWord/Rcon 生成的字w[5]D2AF72FA由 w[1] ⊕ w[4] 得出w[43]B6630B39最后一组轮密钥的首字w[4] 的推导可以手算验证temp w[3] 0C0D0E0FRotWord 得0D0E0F0CSubWord 逐字节查表得D7AB76FE首字节异或 0x01 得D6AB76FE再与w[0]00010203异或结果D6AA74FD。每一步都能在纸上对上。这套核对方法比盯着代码看有效得多因为一旦哪一步错了你能立刻定位是 RotWord 方向错了、还是 Rcon 下标差了一位。3.3 解密时的轮密钥用法解密的轮函数是加密的逆InvShiftRows、InvSubBytes、AddRoundKey、InvMixColumns顺序也倒过来。轮密钥直接用同一份w[]但从w[40..43]开始逐轮往前推。很多人第一次写解密会想当然地把w[]逆序复制一份这不算错但多占 176 字节 RAM在单片机上更常见的做法是保留正序表用w[round*4 c]里的round从 10 递减到 0。资料里提到解密比加密慢原因就在这里InvMixColumns的系数是 09、0x0B、0x0D、0x0E每个都需要三四次xtime比加密的 02、03 贵得多。4. 从 C# 类到 C 与 AVR 汇编同一套轮函数换三种载体这份资料的独特之处是把同一套算法在三个层次上摆开C# 版用来讲结构C 版用来实际用AVR 汇编版用来讲资源受限时怎么抠。三者算的是同一件事差异全在怎么表达一个 4 字节的字和怎么省 RAM上。4.1 C 移植用 uint8_t 数组模拟 wordC# 有byte[,]二维数组和垃圾回收搬过来最大的问题是 C 没有内置的 word 类型也没有边界检查。原帖作者的处理是用uint8_t w[44][4]每个字就是一个 4 字节数组索引的时候多写一层。这个选择在嵌入世上是对的连续内存、无动态分配、可以直接memcpy。// 用固定大小数组代替 C# 的 byte[,]避免 new/delete 和堆碎片 class Aes128 { public: explicit Aes128(const uint8_t key[16]) { key_expansion(key, w_); } void encrypt(const uint8_t in[16], uint8_t out[16]) const { uint8_t st[4][4]; load_state(in, st); add_round_key(st, w_, 0); for (int r 1; r 9; r) { sub_bytes(st); shift_rows(st); mix_columns(st); add_round_key(st, w_, r); } sub_bytes(st); shift_rows(st); add_round_key(st, w_, 10); store_state(st, out); } private: uint8_t w_[44][4]; // 176 字节全部在栈/对象内无堆分配 };这个类只有 176 字节状态加上局部 16 字节在 STM32 这类片子上完全无压力。构造时一次性扩展密钥之后encrypt是const的可以多线程共享同一个对象读w_。要注意的是它只做单块 ECB没有模式、没有填充这是刻意的——把模式留给调用方比在类里捆死一个 CBC 更灵活也更少出错。4.2 AVR 汇编版本在省什么资料里的汇编片段值得单独看因为它暴露了 8 位机的真实约束。SubBytes用Z指针查 S 盒一行ldtemp, z完成ShiftRows用一堆mov在寄存器之间倒腾xtime子程序只有四条指令xtime: ldi temp1, 0x1B lsl temp ; 左移一位最高位进 C 标志 brcs next1 ; 溢出则跳去约减 ret next1: eor temp, temp1 ; 异或 0x1B rjmp nextlsl把最高位挤进进位标志brcs根据进位决定是否约减这就是 C 里(a 0x80) ? 0x1B : 0的硬件级等价物。资料里同时还给了优化路径把MixColumns做成 256 项的查找表用空间换时间。这个取舍在 AVR 上很现实——一张 256 字节的表能吃掉小容量型号三分之一的 RAM但换来的是每列少跑四次xtime。资料给出的结论是加密表小、解密表大因为解密系数更多。选哪条路取决于你的 Flash 和 RAM 谁更紧张。4.3 分组模式与填充单块加密之上必须补的东西单块 AES 只能加密 16 字节实际数据一定比这长所以必须有模式和填充。ECB 最省事同样的明文块永远得到同样的密文块图片加密后能看出轮廓这个特性基本等于不可用。CBC 把前一块密文异或进下一块明文需要 16 字节随机 IV解密时 IV 不保密但必须完整传输。CTR 把块密码变成流密码加解密同一个函数不需要填充代价是绝对不能重用计数器。// CBC 加密iv 由调用方提供长度必须是 16 的整数倍 void aes128_cbc_encrypt(const Aes128 aes, const uint8_t* iv, const uint8_t* in, uint8_t* out, size_t len) { uint8_t prev[16], block[16]; memcpy(prev, iv, 16); for (size_t off 0; off len; off 16) { for (int i 0; i 16; i) block[i] in[off i] ^ prev[i]; // 先和上一块密文异或 aes.encrypt(block, out off); memcpy(prev, out off, 16); // 本块密文成为下一块的 prev } }prev初始是 IV之后每轮被本块密文覆盖这是 CBC 链式关系的全部。填充推荐 PKCS#7缺 n 个字节就补 n 个值为 n 的字节哪怕正好对齐也要补一整块 16 个 0x10否则解密端无法区分最后一块是数据还是补的。这条规则看着多余省掉它去填充时就会遇上原文末尾恰好是 0x01的歧义。提示IV 每次加密都要重新随机生成不能固定写死。固定 IV 的 CBC 在相同明文前缀下会产生相同密文前缀安全性和 ECB 差不多。5. 避坑与排查五个让密文对不上的地方5.1 密文长度对但内容全错先查状态矩阵的装载顺序现象加密不崩、不越界输出 16 字节但和标准向量一位都对不上。原因八成是行列搞反了把列主序写成了行主序。解决打印第一轮AddRoundKey之后的状态矩阵用种子密钥000102...0F和明文00112233...FF手动异或st[0][0]应该是0x00^0x000x00st[1][0]是0x11^0x010x10。如果打印出来是st[0][1]0x10说明装载方向反了改load_state的索引即可。5.2 前九轮都对、最后一轮错漏了末轮无 MixColumns现象写了个通用round()函数循环里一视同仁调 10 次结果只差最后一轮。原因AES 规范规定第 10 轮不做列混合这是为了让加密和解密结构对称。解决把MixColumns从循环里提出来循环跑 1..9第 10 轮只做SubBytes、ShiftRows、AddRoundKey。改完之后再跑向量69C4E0D86A7B0430D8CDB78070B4C55A应该一次就对。5.3 部分字节正确部分乱码GF 乘法忘了约减现象测试向量里某些字节对、某些不对换个明文错的位置又变了。原因xtime里只写了a 1没判断最高位、没异或 0x1B等价于在整数上做乘法而不是在 GF(2^8) 上。解决补上(a 0x80) ? 0x1B : 0这一支然后单独测gmul(0x80, 0x02)必须等于0x1B、gmul(0xE1, 0x03)必须等于0x38。这两个数对了MixColumns基本不会再有系统性问题。5.4 C 里 char 默认有符号右移带进来一堆 1现象同样的逻辑用char写出来结果和uint8_t版不同且只在某些值上出错。原因char在多数编译器上是有符号的word[0] 4遇到高位为 1 的字节会做算术右移把符号位带进来。解决所有字节一律用uint8_t取高低 4 位写成(b 4) 0x0F和b 0x0F不要依赖反正只取 4 位的侥幸。5.5 解密结果末尾多出乱码填充和模式没配对现象加密再解密前面内容对最后几个字节是垃圾。原因加密端做了 PKCS#7 填充解密端没去填充或者反过来CBC 解密时 IV 传错。解决把去填充写成一个独立函数先校验最后一个字节n在 1..16 之间、且末尾 n 个字节都等于 n校验不过直接报错而不是截断——这一步同时挡住了填充预言类的误用。6. 用三组向量加一张 T 表做自校验写完实现别急着往业务里接先跑固定向量。我习惯准备三组覆盖单块正确、多块链式正确、解密可逆三件事编号密钥明文期望密文V1000102030405060708090A0B0C0D0E0F00112233445566778899AABBCCDDEEFF69C4E0D86A7B0430D8CDB78070B4C55AV2全部 0x00全部 0x0066E94BD4EF8A2C3B884CFA59CA342B2EV3全部 0xFF全部 0xFFA1F6258C877D5FCD8964484538BFAA03V1 就是资料里给出的那组用来对齐你的MixColumns和ShiftRowsV2、V3 用来抓全零输入会不会走进特殊分支这类边界问题比如ginv(0)返回 0 的约定如果写错V2 立刻炸。# 把向量写成文件让测试程序逐行读避免每次改代码重编 # vectors.txt: key_hex plain_hex cipher_hex 000102030405060708090A0B0C0D0E0F 00112233445566778899AABBCCDDEEFF 69C4E0D86A7B0430D8CDB78070B4C55A 00000000000000000000000000000000 00000000000000000000000000000000 66E94BD4EF8A2C3B884CFA59CA342B2E FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF FFFFFFFFFFFFFFFFFFFFFFFF A1F6258C877D5FCD8964484538BFAA03这个脚本的价值在于把验证从人工比对变成可重复执行的环节。每次改完MixColumns的写法跑一遍三行全绿才算过有一行红先看是哪个向量红了——V1 红多半是轮函数顺序问题V2 红多半是零值分支问题V3 红多半是有符号位移问题。定位速度比在完整业务里打断点快一个数量级。进阶一点的做法是上 T 表。MixColumns加SubBytes可以合并成四张 256 项的 32 位表每轮只需四次查表和三次异或速度能提升三到五倍代价是 4KB 表。合并后的轮函数长这样// 合并 SubBytes MixColumns 的查表法T0..T3 各 256 项共 4KB static inline uint32_t round_t(uint32_t s, const uint32_t rk, const uint32_t T0[256], const uint32_t T1[256], const uint32_t T2[256], const uint32_t T3[256]) { return T0[(s 24) 0xFF] ^ T1[(s 16) 0xFF] ^ T2[(s 8) 0xFF] ^ T3[ s 0xFF] ^ rk; }用 T 表之前务必先用上面的三组向量验证查表版和直白版输出完全一致别只测一组。这类优化最容易在字节序上出错24取的是最高字节如果你的s是从小端内存里直接memcpy出来的字节序正好反着结果看起来像对的但每一位都错。我第一次上 T 表的时候就是栽在这里向量 V1 过了因为它是回文式对称输入换到 V3 才暴露。从那以后我每次做对称加密的移植都强制走一遍装载顺序打印 三组向量 单块解密还原的老三样不管代码看起来多简单。这套流程慢不了几分钟但能省掉在业务代码里大海捞针的一整天。希望帮到你。本文还有配套的精品资源点击获取
