SM4分组密码算法的密钥扩展算法

SM4是一种由中国国家密码管理局发布的分组密码算法，使用128位分组长度和128位密钥长度。其密钥扩展算法将初始的128位主密钥扩展为32个32位的轮密钥，用于算法的32轮加密过程。

题目描述
请详细讲解SM4分组密码算法的密钥扩展过程，包括初始密钥处理、轮密钥生成的迭代步骤，以及其中使用的变换和常量。

解题过程

1. 算法概述
SM4的密钥扩展算法将128位主密钥MK = (MK₀, MK₁, MK₂, MK₃)（每个MK_i为32位）通过固定变换生成32个轮密钥rk_i (i=0,...,31)。整个过程采用非线性迭代结构，确保轮密钥与主密钥高度相关但难以逆向推导。

2. 初始密钥处理
首先对MK进行预处理，与系统参数FK进行异或：

(K₀, K₁, K₂, K₃) = (MK₀ ⊕ FK₀, MK₁ ⊕ FK₁, MK₂ ⊕ FK₂, MK₃ ⊕ FK₃)

其中系统参数FK为固定常量：

FK₀ = 0xA3B1BAC6
FK₁ = 0x56AA3350  
FK₂ = 0x677D9197
FK₃ = 0xB27022DC

这个异或操作增加了密钥的随机性，避免弱密钥。

3. 轮密钥迭代生成
轮密钥通过以下迭代公式生成（i=0,...,31）：

rk_i = K_{i+4} = K_i ⊕ T'(K_{i+1} ⊕ K_{i+2} ⊕ K_{i+3} ⊕ CK_i)

其中：

• T'为简化变换函数
• CK_i为固定参数（每轮不同）
• 迭代从K₀到K₃开始，生成K₄到K₃₅，其中rk_i = K_{i+4}

4. 变换函数T'详解
T'由非线性变换τ和线性变换L'组成：T'(·) = L'(τ(·))

非线性变换τ：
将32位输入B分为4个字节：B = (b₀, b₁, b₂, b₃)
每个字节通过S盒进行替换：

τ(B) = (Sbox(b₀), Sbox(b₁), Sbox(b₂), Sbox(b₃))

SM4的S盒是一个8×8的固定置换表，提供非线性特性。

线性变换L'：

L'(B) = B ⊕ (B <<< 13) ⊕ (B <<< 23)

其中<<<表示循环左移。这个变换提供扩散效果，使单个字节的变化影响整个32位字。

5. 固定参数CK生成
CK_i为32位固定参数，通过以下方式生成：
设ck_{i,j}为CK_i的第j字节（j=0,1,2,3），则：

ck_{i,j} = (4i + j) × 7 mod 256

然后将字节组合为CK_i = (ck_{i,0}, ck_{i,1}, ck_{i,2}, ck_{i,3})。这种设计确保每轮使用不同的常量。

6. 完整生成过程示例
以第0轮密钥生成为例：

1. 计算中间值：B = K₁ ⊕ K₂ ⊕ K₃ ⊕ CK₀
2. 应用S盒：B' = τ(B)（每个字节查表替换）
3. 应用线性变换：B'' = L'(B') = B' ⊕ (B' <<< 13) ⊕ (B' <<< 23)
4. 生成轮密钥：rk₀ = K₀ ⊕ B''

重复此过程31次，每次使用新的K_i和CK_i，生成全部32个轮密钥。

7. 安全性设计要点

• 非线性S盒防止线性密码分析
• 循环移位提供良好的扩散特性
• 固定参数CK避免对称性攻击
• 迭代结构确保密钥雪崩效应

这个密钥扩展算法保证了即使已知部分轮密钥，也难以恢复主密钥或其他轮密钥，满足密码学安全要求。