SM4-CTR 流密码模式详解：高性能加密的场景与实现

算法原理 · 2026-09-06

概述

CTR（Counter，计数器）模式是分组密码的一种工作模式，它将分组密码转换为流密码（Stream Cipher）。与 CBC、CFB 等模式不同，CTR 模式不需要填充，支持随机访问和并行计算，在高吞吐场景下具有显著优势。

SM4-CTR 是国密 SM4 算法在 CTR 模式下的应用，已被纳入 GM/T 0024-2023《SSL VPN 技术规范》，作为 TLS_SM4_CTR_SM3 密码套件的核心加密算法。该模式在数据库字段加密、磁盘加密、实时通信等场景中广泛应用。

CTR 模式的数学原理

核心思想

CTR 模式的核心是将一个计数器值用分组密码加密，生成密钥流，再与明文逐字节异或：

CODE

Ci = Pi ⊕ E_K(Counter_i)
Pi = Ci ⊕ E_K(Counter_i)

加解密使用相同的公式，只需改变输入（明文或密文）。

计数器构造

对于 128 位分组的 SM4，计数器通常构造为：

CODE

Counter_i = IV || Counter_0 + i

其中：

IV 是 96 位的初始向量（Nonce）
Counter_0 是 32 位的初始计数器值（通常从 0 或 1 开始）
每次加密递增 1

PYTHON

# SM4-CTR 计数器构造示例
import struct

def build_counter(iv: bytes, counter: int) -> bytes:
    """构造 128 位计数器：96位 IV + 32位计数器"""
    assert len(iv) == 12  # 96 bit = 12 bytes
    return iv + struct.pack('>I', counter)

并行计算优势

CTR 模式的加密和解密可以完全并行：

CODE

加密：C0 = P0⊕E(K,IV), C1 = P1⊕E(K,IV+1), ...
解密：P0 = C0⊕E(K,IV), P1 = C2⊕E(K,IV+1), ...

每个 Counter 值的加密是独立的，可以分发到多个 CPU 核心同时处理。这是 CBC 模式无法做到的。

SM4-CTR 与 AES-CTR 的对比

特性	SM4-CTR	AES-128-CTR
分组长度	128 bit	128 bit
密钥长度	128 bit	128/192/256 bit
轮数	32 轮	10 轮
S 盒	非线性置换 S-box	AES S-box
安全性	基于 SM4 差分/线性分析	基于 NIST 标准
性能	硬件加速依赖 SM4 专用指令	多数 CPU 有 AES-NI

关键差异：

轮数更多：SM4 使用 32 轮，AES-128 仅 10 轮，SM4 的软件实现较慢
硬件加速：AES 有广泛的硬件支持（AES-NI），SM4 需要专用国密芯片或软件优化
标准化：AES-CTR 有 NIST SP 800-38A 标准，SM4-CTR 依赖 GB/T 17964-2020

GM/T 0024-2023 中的 SM4-CTR

密码套件定义

GM/T 0024-2023 定义了国密 SSL VPN 的密码套件，其中包含：

CODE

TLS_SM4_CTR_SM3 = {
    KeyExchange: SM2,
    Signature: SM2,
    CipherSuite: SM4-CTR,
    MAC: HMAC-SM3,
    PRF: SM3
}

这个套件的特点：

SM2 密钥交换：提供前向保密（如果配合 ECDHE）
SM4-CTR 加密：高性能流加密
HMAC-SM3 认证：提供完整性保护（Encrypt-then-MAC）

与 SM4-GCM 的对比

特性	SM4-CTR + HMAC-SM3	SM4-GCM
认证	需额外 MAC 计算	内置认证
性能	较高（可并行）	高（硬件加速）
标准化	GB/T 17964-2020	GM/T 0024-2023
适用场景	高性能流加密	需要认证的通用场景
Nonce 重用风险	灾难性（密钥流重用）	灾难性（认证失效）

选择建议：

需要内置认证 → 优先 SM4-GCM
高性能流加密且已有上层认证 → SM4-CTR + HMAC

安全分析

Nonce 重用攻击

CTR 模式最严重的安全风险是 Nonce 重用：

CODE

如果 E_K(Counter) 被重复使用：
  C1 = P1 ⊕ E_K(Counter)
  C2 = P2 ⊕ E_K(Counter)
  
则：C1 ⊕ C2 = P1 ⊕ P2

攻击者可以获得两段明文的异或值，通过统计分析可能恢复明文。

防御措施：

使用密码学安全的随机 Nonce（如 96 位随机数）
确保同一密钥 never reuse Nonce
使用带序号的计数器（而非纯随机）

与 CBC 模式的安全对比

攻击类型	CBC	CTR
Padding Oracle	✅ vulnerable	❌ immune
明文模式泄漏	✅ partial	❌ none
重排序攻击	❌ detectable (with MAC)	❌ detectable (with MAC)
并行加密	❌ no	✅ yes

结论：CTR 模式在安全性上与 CBC 相当（都需配合 MAC），但性能更优。

工程实现要点

Python 实现（使用 cryptography 库）

PYTHON

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.primitives import padding
import os

def sm4_ctr_encrypt(key: bytes, plaintext: bytes) -> tuple:
    """SM4-CTR 加密实现"""
    # 生成 96 位 Nonce
    nonce = os.urandom(12)
    
    # 构建 SM4 cipher（需要国密扩展）
    # 注意：标准 cryptography 库不支持 SM4，需使用 Tongsuo 或 gmssl
    cipher = Cipher(algorithms.SM4(key), modes.CTR(nonce))
    encryptor = cipher.encryptor()
    
    ciphertext = encryptor.update(plaintext) + encryptor.finalize()
    return nonce, ciphertext

def sm4_ctr_decrypt(key: bytes, nonce: bytes, ciphertext: bytes) -> bytes:
    """SM4-CTR 解密实现"""
    cipher = Cipher(algorithms.SM4(key), modes.CTR(nonce))
    decryptor = cipher.decryptor()
    return decryptor.update(ciphertext) + decryptor.finalize()

性能测试参考

实现方式	吞吐量 (MB/s)	延迟 (μs/op)
SM4-CTR 软件（Python）	~5-10	~500-1000
SM4-CTR 硬件加速	~500-1000	~1-10
AES-CTR 软件（Python）	~20-50	~100-200
AES-CTR 硬件（AES-NI）	~2000-4000	~50-100

注意：以上数据为参考值，实际性能取决于硬件和实现。

常见陷阱

Nonce 管理：必须确保每个加密操作使用唯一的 Nonce
计数器溢出：32 位计数器最多加密 2^32 个块（64 GB），超限需重新生成 Key/IV
填充不需要：CTR 是流模式，不需要 PKCS#7 填充
密钥派生：建议使用 HKDF 等 KDF 派生加密密钥，不要直接用主密钥

应用场景

1. 数据库字段加密

PYTHON

# 数据库字段加密示例
from cryptography.hazmat.primitives.kdf.hkdf import HKDF
from cryptography.hazmat.primitives import hashes

def encrypt_field(plaintext: bytes, field_id: str) -> tuple:
    # 基于字段 ID 派生唯一密钥
    ikm = field_id.encode()
    okm = HKDF(
        algorithm=hashes.SM3(),
        length=32,
        salt=None,
        info=ikm,
    ).derive(okm)
    
    # SM4-CTR 加密
    nonce = os.urandom(12)
    ciphertext = sm4_ctr_encrypt(okm, nonce, plaintext)
    return nonce, ciphertext

2. 实时通信加密

SM4-CTR 适用于实时音视频通信，因为：

无填充延迟
可并行处理
随机访问能力（可跳过加密块）

3. 磁盘/文件加密

虽然 XTS 模式更适合磁盘加密，但 SM4-CTR 也可用于：

大文件流式加密
网络传输中的文件加密

总结

SM4-CTR 是 SM4 分组密码的高效工作模式，具有无需填充、支持并行、随机访问等优势，适用于高性能加密场景。在国密应用中，它被 GM/T 0024-2023 采纳为 SSL VPN 的标准密码套件之一。

核心要点：

CTR 模式将分组密码转换为流密码
加解密使用相同公式，仅需改变输入
Nonce 重用是致命安全风险
性能优于 CBC，安全性相当（配合 MAC）
工程实现需注意 Nonce 管理和密钥派生

相关实践：SM4-GCM 认证加密模式 | 分组密码工作模式详解

← 返回知识库