技术文章 / SM4 硬件加速实战：利用 AES-NI 和 SIMD 指令集将国密加密性能提升 10 倍

SM4 硬件加速实战：利用 AES-NI 和 SIMD 指令集将国密加密性能提升 10 倍

国密算法 · 2026-06-10 · 13 阅读

前言：国密 SM4 的性能瓶颈

在国密算法体系中，SM4 是应用最广泛的分组对称加密算法。GM/T 0001-2012《SM4 分组密码算法》定义了 128 位分组长度和 128 位密钥长度，采用 32 轮广义 Feistel 结构。

然而，SM4 在软件实现上长期面临一个尴尬的现实：AES 有专用的硬件加速指令（AES-NI），而 SM4 没有。这导致在相同硬件平台上，SM4 的吞吐量通常只有 AES 的 1/5 到 1/10。

算法实现方式单核吞吐量（典型值）
AES-128-CBCAES-NI 硬件加速4-6 Gbps
AES-128-GCMAES-NI + PCLMULQDQ5-8 Gbps
SM4-CBC纯软件（查表法）0.3-0.5 Gbps
SM4-GCM纯软件0.2-0.3 Gbps
这个性能差距在密评（密码应用安全性评估）场景下尤为突出——当系统需要加密大量数据（如数据库字段加密、日志加密、视频流加密）时，SM4 的纯软件实现可能成为性能瓶颈。

本文回答一个核心问题：如何在不修改 SM4 算法本身的前提下，利用现代 CPU 的硬件能力大幅提升 SM4 的性能？

一、SM4 算法结构分析：为什么纯软件实现慢

1.1 SM4 的轮函数结构

SM4 的加密和解密都使用相同的结构，只是轮密钥使用顺序相反。每一轮迭代包含：

CODE
X[i+4] = X[i] ⊕ T(X[i+1] ⊕ X[i+2] ⊕ X[i+3] ⊕ rk[i])

其中 T 变换由 S 盒替换和线性变换 L 组成：

CODE
T(A) = L(S(A))
L(B) = B ⊕ (B <<< 2) ⊕ (B <<< 10) ⊕ (B <<< 18) ⊕ (B <<< 24)

1.2 性能瓶颈分析

SM4 纯软件实现慢的根源在于：

  • S 盒查表：SM4 的 S 盒是一个 8 位输入、8 位输出的非线性替换，通常用 256 字节的查找表实现。每次 S 盒访问都可能导致缓存未命中
  • 位操作密集：线性变换 L 包含多个循环移位和异或操作，在纯软件中需要多条指令完成
  • 数据依赖链：每轮迭代依赖上一轮的结果，形成严格的数据依赖链，CPU 流水线难以并行
  • 缺乏专用指令：不像 AES 有 AES-NI 指令集直接支持 SubBytes、ShiftRows、MixColumns 操作，SM4 没有对应的硬件指令

二、AES-NI 加速 SM4：巧借东风

2.1 核心思路

Intel AES-NI 提供了 6 条专用指令：

指令功能延迟吞吐量
AESENCAES 单轮加密4 周期1 周期
AESDECAES 单轮解密4 周期1 周期
AESKEYGENASSISTAES 密钥扩展4 周期1 周期
AESIMCAES 密钥逆混合列4 周期1 周期
PCLMULQDQ无进位乘法7 周期2 周期
AES-NI 的设计目标是加速 AES，但研究者发现：AES 的 SubBytes + ShiftRows + MixColumns 操作与 SM4 的 T 变换在结构上有相似之处，可以通过适当的变换映射，用 AES-NI 指令来模拟 SM4 的轮函数。

2.2 数学原理

2014 年，Intel 公司提出了使用 AES-NI 指令集实现 SM4 的专利方案。核心思路是：

  • S 盒映射：SM4 的 S 盒和 AES 的 S 盒都是 8 位非线性替换，虽然具体替换表不同，但可以通过仿射变换相互转换
  • 线性变换分解：SM4 的线性变换 L 可以分解为一系列 GF(2^8) 上的矩阵运算，这些运算可以用 AES 的 MixColumns 指令配合适当的预计算来实现
  • 轮函数重组：将 SM4 的 T 变换重写为 AESENC 可处理的形式
具体地，SM4 的 S 盒可以表示为：

CODE
SM4_S(x) = A · AES_S(x) + c

其中 A 是一个 8×8 的二进制矩阵，c 是常数向量。这意味着 SM4 的 S 盒可以通过 AES S 盒的输出经过仿射变换得到。

2.3 实现方案

以下是使用 AES-NI 加速 SM4 的核心代码（C 语言 + GCC 内建函数）：

注意：上述代码是教学示意，展示 AES-NI 加速 SM4 的核心思路。完整的生产级实现需要处理以下关键问题： 1. SM4 和 AES 的 S 盒不同，需要额外的仿射变换（SM4_S(x) = A · AES_S(x) + c） 2. SM4 的 Feistel 结构（4 个 32 位字）与 AES 的 SPN 结构（4×4 字节矩阵）不同 3. 字节序转换（SM4 大端序 vs AES 小端序） 4. 仿射变换矩阵 A 和常数向量 c 需要根据 GM/T 0001-2012 标准精确计算
>
生产环境建议使用 OpenSSL 3.x 或 GmSSL 的成熟实现，而非自行编写。

2.4 实际性能数据

根据公开的研究数据和厂商测试（量级估算，具体数值因测试环境和工作负载而异）：

实现方案平台单核吞吐量相对纯软件提升
纯软件查表法Intel i7-11700K~0.4 Gbps1x（基线）
SIMD 并行（AVX2）Intel i7-11700K~1.5 Gbps~3.7x
AES-NI 间接加速Intel i7-11700K~2.5 Gbps~6x
海泰方圆优化方案Intel i7-11700K~7.36 Gbps~18x
海泰方圆优化方案Intel i5~10 Gbps~25x
数据来源：海泰方圆公开技术白皮书、OpenAnolis 国密优化白皮书 ⚠️ 以上数据为第三方公开文档中的测试结果，非本文作者实测。实际性能取决于具体硬件型号、工作负载特征和软件实现质量。建议在目标环境中使用 openssl speed -evp sm4-cbc 进行实测。
海泰方圆的方案综合运用了 AES-NI 指令、AVX2 并行、流水线优化和自适应技术，在 Intel 第 11 代处理器上实现了单线程 10 Gbps 的 SM4-ECB 加密速度。

三、ARMv8 Cryptographic Extension：原生 SM4 指令

3.1 ARM 的差异化路线

与 x86 平台"借用 AES-NI"的间接方案不同，ARM 在 ARMv8.2 架构中引入了 Cryptographic Extension，原生支持 SM3 和 SM4 算法。

ARMv8.2 的 SM4 指令包括：

指令功能操作
SM4EKEYSM4 密钥扩展一次生成 4 个轮密钥
SM4ESM4 单轮加密/解密一次完成一轮 Feistel 迭代

3.2 SM4EKEY 指令详解

SM4EKEY 指令的伪代码如下：

CODE
// SM4EKEY Vd.4S, Vn.4S, Vm.4S
// 输入：Vn = (X[i+1], X[i+2], X[i+3], X[i+4]) — 当前状态
//       Vm = (rk[i], rk[i], rk[i], rk[i]) — 轮密钥（广播到 4 个字）
// 输出：Vd = 下一轮的 4 个字

t = Vn XOR Vm          // 异或轮密钥
t = SM4_SBOX(t)         // S 盒替换（硬件实现）
t = SM4_LIN(t)          // 线性变换 L
Vd = Vn[0] XOR t[0]    // 更新第一个字
// 实际硬件一次完成全部 4 个字

关键优势：SM4EKEY 一条指令完成 4 个轮密钥的生成，8 次执行即可完成全部 32 个轮密钥的扩展。

3.3 SM4E 指令详解

SM4E 指令一次完成一个分组的 4 个字数据的加密/解密轮函数：

CODE
// SM4E Vd.4S, Vn.4S
// 对 Vn 中的 4 个 32 位字执行一轮 SM4 轮函数
// 结果写入 Vd

SM4E 的并行度：一次执行并行处理 4 个字（128 位），充分利用了 ASIMD 的 128 位向量寄存器。

3.4 可并行模式性能

对于可以并行处理的分组模式（ECB、CTR），ARM 的 SM4 指令可以实现 4 个分组同时计算：

3.5 性能对比：阿里云倚天 710

在阿里云倚天 710（ARMv8.2 + Cryptographic Extension）上的 benchmark 数据：

算法实现方式吞吐量对比
SM4-ECB纯软件~0.5 Gbps基线
SM4-ECBARMv8 Crypto Extension~4 Gbps~8x
SM4-GCM纯软件~0.3 Gbps基线
SM4-GCMARMv8 Crypto Extension~2.5 Gbps~8x
AES-128-GCMARMv8 Crypto Extension~5 Gbps参考
数据来源：OpenAnolis 国密优化白皮书 ⚠️ 以上数据为第三方公开文档中的测试结果，非本文作者实测。
关键发现：ARMv8 的 SM4 硬件指令不仅提升了性能，还因为 S 盒替换由硬件电路实现（时间恒定），天然抵抗了基于缓存定时的侧信道攻击。

四、x86 平台的实用方案：从 OpenSSL 到自定义实现

4.1 OpenSSL 3.x 的 SM4 优化

OpenSSL 3.x 已经集成了 SM4 的优化实现。在支持 AES-NI 的平台上，可以通过以下方式启用：

注意：openssl enc -sm4-cbc 命令语法可能因 OpenSSL 版本和编译选项而异。如果报错，尝试 openssl enc -aes-128-cbc 对比 AES 性能，再用 openssl speed 查看 SM4 是否列出。SM4 支持需要 OpenSSL 编译时启用 enable-sm4 选项。

4.2 检测 CPU 能力并选择最优实现

4.3 编译和运行

五、安全性考量：硬件加速的双刃剑

5.1 侧信道攻击风险

硬件加速指令在提升性能的同时，也引入了新的安全考量：

AES-NI 的侧信道历史：

  • 2019 年，研究人员发现某些 Intel 处理器的 AES-NI 实现存在缓存定时侧信道漏洞（CacheBleed）
  • 2021 年，Platypus 攻击利用 SGX 环境下的 AES-NI 时序差异恢复密钥
SM4 硬件指令的安全性优势：
  • ARMv8.2 的 SM4E 指令在硬件层面实现了时间恒定的 S 盒替换
  • 与软件查表法不同，硬件指令不会产生缓存访问模式差异
  • 这意味着硬件加速的 SM4 实现天然具有侧信道抵抗能力

5.2 实际建议

  • 优先使用硬件加速：在支持的平台（ARMv8.2+ 或 Intel AES-NI+）上，使用硬件加速的 SM4 实现，既提升性能又增强安全性
  • 软件实现作为兜底：在不支持硬件加速的平台上，使用恒定时间的软件实现（如 bitslicing 技术）
  • 避免查表法：纯软件查表法（256 字节 S 盒表）容易受到缓存定时攻击，在生产环境中应避免使用
  • 关注 CPU 微代码更新：及时应用 CPU 厂商发布的微代码更新，修复已知的侧信道漏洞

六、行业应用：高性能 SM4 的实际部署

6.1 数据库字段加密

在金融行业的数据库加密场景中，SM4 的性能直接影响系统吞吐量。以下是一个基于公开数据的估算示例：

CODE
场景：大型银行核心交易系统（参考：工商银行 2024 年报披露数据）
- 日均交易量：约 5000 万笔（来源：工商银行 2024 年报，日均交易笔数超 5 亿笔，
  此处取核心交易系统约 10% 估算）
- 每笔交易需加密字段：8 个（账户、金额、身份信息等）
- 每个字段平均长度：64 字节
- 总加密数据量：5000万 × 8 × 64 = 25.6 GB/天
- 峰值时段（4 小时）：60% 交易量 → 15.36 GB / 4h ≈ 1.07 Gbps

纯软件 SM4（0.4 Gbps）无法满足峰值需求
AES-NI 加速 SM4（2.5 Gbps）可轻松应对
注：以上数据为基于公开披露信息的量级估算，非实测数据。实际性能取决于具体硬件配置和软件实现。

6.2 视频流加密

在视频监控场景中，高清摄像头的实时加密需求：

CODE
场景：1080P 视频流加密
- 分辨率：1920×1080
- 帧率：25 fps
- 每帧数据：~6 MB
- 带宽：6 MB × 25 = 150 MB/s = 1.2 Gbps

SM4-CTR 模式 + AES-NI 加速：~2.5 Gbps → 可支持 2 路
SM4-GCM 模式 + ARMv8 Crypto Extension：~2.5 Gbps → 可支持 2 路
纯软件 SM4：~0.4 Gbps → 无法支持实时加密

6.3 云原生环境

在容器化和微服务架构中，SM4 加速的影响更为显著。以下是基于公开测试数据的具体分析：

服务网格（Service Mesh）中的 mTLS 通信：

Istio 的 mTLS 通信在 sidecar 代理（Envoy）中完成加解密。如果密码套件使用 SM4（如 GM/T 0024 定义的 TLS 国密扩展），硬件加速可降低 sidecar 的 CPU 开销。根据 Istio 社区 2025 年的 benchmark 数据，在 1000 RPS 的 mTLS 场景下，SM4-GCM 的 sidecar CPU 使用率比 AES-256-GCM 高约 3-4 倍（纯软件实现），使用 AES-NI 加速后差距缩小到 1.5 倍以内。

Kubernetes Secret 加密：

etcd 中存储的 Secret 数据使用 SM4 加密时，硬件加速可减少 API Server 的响应延迟。在大规模集群（1000+ 节点）中，Secret 加密的延迟累积效应明显。使用 openssl speed sm4-cbc 可以在部署前评估当前硬件的 SM4 性能。

容器密度与资源规划：

在相同硬件上，硬件加速的 SM4 允许每个节点运行更多加密容器。一个实用的估算方法：

CODE
节点配置：8 核 CPU，64 GB 内存
容器需求：每容器 0.5 核 CPU（含加密开销）

纯软件 SM4（0.4 Gbps/核）：
  - 每核可支撑约 0.4 Gbps 加密吞吐
  - 8 核节点 ≈ 3.2 Gbps 总加密吞吐

AES-NI 加速 SM4（2.5 Gbps/核）：
  - 每核可支撑约 2.5 Gbps 加密吞吐
  - 8 核节点 ≈ 20 Gbps 总加密吞吐
  - 提升约 6 倍，相当于节省 70% 的加密计算资源
注：以上数据为量级估算，实际性能取决于具体工作负载和硬件配置。建议在目标环境中使用 openssl speed -evp sm4-cbc 进行实测。

七、总结与展望

7.1 当前状态总结

平台SM4 加速方案性能提升侧信道安全性成熟度
Intel x86 (Haswell+)AES-NI 间接加速6-10x依赖实现高（OpenSSL 已集成）
Intel x86 (Rocket Lake+)AES-NI + AVX215-20x依赖实现中（厂商定制方案）
ARMv8.2+ (倚天 710 等)Crypto Extension 原生指令8x硬件恒定时间高（OpenSSL/Linux 内核已集成）
ARMv8 (无 Crypto Ext)NEON SIMD 并行3-4x依赖实现中

7.2 未来展望

  • Intel 原生 SM4 指令：目前 Intel 和 AMD 尚未宣布原生 SM4 指令支持。随着国密算法在北美市场的渗透，未来可能在 x86 平台看到原生 SM4 指令
  • RISC-V 国密扩展：RISC-V 社区正在讨论国密算法指令扩展提案，多家国产芯片厂商（如平头哥、芯来科技）已在 RISC-V 核中集成 SM4 硬件加速
  • GPU 加速：对于大规模数据加密场景，GPU 并行计算可提供更高的吞吐量，但需要注意 CPU-GPU 数据传输开销
  • FPGA/ASIC 加速：在特定场景（如网络设备、存储控制器）中，FPGA 实现的 SM4 引擎可提供 100+ Gbps 的线速加密能力

7.3 实践建议

对于正在实施国密改造的企业，以下建议基于前文的技术分析和性能数据：

  • 硬件选型优先 ARMv8.2+：如果采购新服务器，优先选择支持 ARMv8.2 Cryptographic Extension 的处理器（如华为鲲鹏 920、阿里云倚天 710）。原生 SM4 指令不仅提供 8x 性能提升，还具备硬件恒定时间的侧信道安全性。可通过 cat /proc/cpuinfo | grep sm4 确认 Linux 内核是否识别了 SM4 硬件指令。
  • 软件栈升级到 OpenSSL 3.x 或 GmSSL：OpenSSL 3.x 已在 crypto/evp 层集成了 SM4 的硬件加速实现。在支持 AES-NI 的 x86 平台上，OpenSSL 会自动利用 AES-NI 间接加速 SM4。GmSSL（https://www.gmssl.cn）是国密优化的开源实现，对 SM4 的 AES-NI 加速有更深入的优化。
  • 部署前必须做性能基准测试：不要依赖本文或其他文档的性能数据——每个工作负载的特征不同。使用以下命令在目标硬件上实测：
BASH
# 测试 SM4-CBC 性能
   openssl speed -evp sm4-cbc -bytes 1024 -seconds 30
   
   # 测试 SM4-GCM 性能
   openssl speed -evp sm4-gcm -bytes 1024 -seconds 30
   
   # 对比 AES 性能
   openssl speed -evp aes-128-cbc -bytes 1024 -seconds 30
  • 侧信道安全审计：在多租户云环境或处理高价值数据时，确保使用的 SM4 实现具备侧信道抵抗能力。检查方法：确认 S 盒实现是否为恒定时间（硬件指令或 bitslicing），而非查表法。可通过 valgrind --tool=cachegrind 或 ctgrind 工具检测缓存访问模式。

参考来源

  • GM/T 0001-2012《SM4 分组密码算法》
  • GB/T 32907-2016《SM4 分组密码算法（修订）》
  • OpenAnolis 商用密码技术最佳实践白皮书：基于 CPU 指令集的国密算法优化
  • 海泰方圆 SM4 算法高速实现技术白皮书
  • Intel 专利：使用 AES-NI 指令集实现 SM4（CN117097455A）
  • ARM Architecture Reference Manual (ARMv8.2 Cryptographic Extension)
  • OpenSSL 3.x SM4 优化实现
SM4 硬件加速 AES-NI SIMD 性能优化
← 返回文章列表