上一篇23-1《國密 SM3 與 KAT 紅線——先有答案再寫實現(xiàn)》下一篇第 23-3 篇篡改實驗——改一個壓縮常量看 KAT 怎么崩源碼精讀篇本文為源碼/方法論精讀無獨立實測文中數(shù)字均引述倉庫 docs 的板端實測記錄。一句話導讀SM3 實現(xiàn)導讀沿 vllm_crypto.c 逐段精讀填充、消息擴展 W 與 W′ 與 64 輪壓縮輪把abc變 66c7f0f4 的過程講成能復述的實現(xiàn)地圖本篇屬源碼精讀導覽為下一篇篡改實驗備好坐標。關(guān)鍵詞SM3、實現(xiàn)導讀、消息擴展、壓縮輪、國密紅線證明實現(xiàn)正確。這篇鉆進vllm_crypto.c的 SM330–127 行逐段導讀填充、消息擴展W 與 W、64 輪壓縮。讀完你就能回答SM3 為什么把 abc 變成 66c7f0f4…也能在下一篇文章里親手改壞它。1. 知識點SM3 的三段式骨架SM3GB/T 32905-2016輸出 256 位結(jié)構(gòu)是 Merkle–Damg?rd消息按 512 位64 字節(jié)分組每組經(jīng)一個 64 輪的壓縮函數(shù)更新 8 個 32 位字的狀態(tài)IV → 摘要。三段式① 填充消息尾補 0x80 若干 0x00 64 位大端總長使總長 ≡ 0 (mod 512) ② 消息擴展每 64 字節(jié)塊展開成 W[0..67]再算 W[j]W[j]^W[j4]W[0..63] ③ 壓縮64 輪用布爾函數(shù) FF/GG、常量 Tj、置換 P0/P1 更新 a..h最后與舊狀態(tài)異或設(shè)計上它和 SHA-256 同源但不同構(gòu)布爾函數(shù)分兩段前 16 輪異或型、后 48 輪多數(shù)/選擇型常量也只有兩個0x79cc4519 / 0x7a879d8a隨輪數(shù) Tj 左移 j 位參與。256 位安全性靠的就是這些非線性置換與 64 輪擴散。2. 對應(yīng)代碼vllm_crypto.c 逐段導讀2.1 常量與置換33–43 行static const uint32_t SM3_IV[8] { 0x7380166f, 0x4914b2b9, … }; /* 標準初始狀態(tài) */ static inline uint32_t sm3_p0(uint32_t x) { return x ^ rotl32(x,9) ^ rotl32(x,17); } static inline uint32_t sm3_p1(uint32_t x) { return x ^ rotl32(x,15) ^ rotl32(x,23); }P1用于消息擴展P0用于每輪輸出。23-1 篡改實驗改的就是SM3_IV[0]——你現(xiàn)在知道它為什么能讓所有摘要失效了。2.2 壓縮函數(shù)消息擴展 64 輪45–78 行static void sm3_compress(uint32_t s[8], const uint8_t block[64]) { uint32_t w[68], wp[64]; for (int i 0; i 16; i) w[i] GET_U32_BE(block 4*i); /* 塊拆 16 個字 */ for (int j 16; j 68; j) /* W 擴展到 68 */ w[j] sm3_p1(w[j-16] ^ w[j-9] ^ rotl32(w[j-3],15)) ^ rotl32(w[j-13],7) ^ w[j-6]; for (int j 0; j 64; j) wp[j] w[j] ^ w[j4]; /* W W^W[4] */ … 裝載 a..h s[0..7] … for (int j 0; j 64; j) { uint32_t tj (j16) ? 0x79cc4519u : 0x7a879d8au; /* 兩段常量 */ uint32_t ss1 rotl32(rotl32(a,12) e rotl32(tj, j), 7); uint32_t ss2 ss1 ^ rotl32(a, 12); … FF/GG 分段 … tt1/tt2 更新 … dc; crotl32(b,9); ba; att1; /* 循環(huán)移位寄存器 */ hg; grotl32(f,19); fe; esm3_p0(tt2); } s[0]^a; …; s[7]^h; /* 與舊狀態(tài)異或 */ }導讀要點W 擴展是向前看 16~1 字的線性反饋w[j-16]^w[j-9]^rotl(w[j-3],15)經(jīng) P1 再異或兩路——這是把 16 個字攪成 68 個字的擴散引擎每輪只動 7 個寄存器a由 tt1 更新、e由 P0(tt2) 更新其余輪流左移——這就是一字之差64 輪后全盤皆變的結(jié)構(gòu)原因?qū)?yīng) 23-1 的雪崩實測FF/GG 的兩段設(shè)計前 16 輪是線性異或后 48 輪是非線性多數(shù)/選擇——與 SHA-256 相同思路非線性部分才是抗碰撞的主力。2.3 init/update/final長度計數(shù)與填充80–127 行void vc_sm3_update(vc_sm3_ctx *c, const void *p, size_t n) { c-n n; /* 累計字節(jié)數(shù)final 要算 64 位總長 */ while (n 0) { if (c-buflen 0 n 64) { sm3_compress(c-s, in); … } /* 整塊直壓 */ else { memcpy 余塊進 c-buf … 滿 64 再壓 … } /* 分塊緩沖 */ } } void vc_sm3_final(vc_sm3_ctx *c, uint8_t out[32]) { uint64_t bits c-n * 8; vc_sm3_update(c, \x80, 1); /* 補 0x80 */ while (c-buflen ! 56) vc_sm3_update(c, zero, 1); /* 補 0 直到余 8 字節(jié) */ … 寫入 64 位大端長度 … /* 再壓最后一組 */ for (i8) PUT_U32_BE(c-s[i], out4*i); /* 狀態(tài) → 32 字節(jié)摘要 */ }23-1 的第三個向量abcd*16用 361 字節(jié)分兩次喂專門測的就是這里c-n的 64 位累加在跨塊 update 下不丟字節(jié)、填充正確落在 56 余數(shù)上。填充一個字節(jié)錯位跨塊消息就全錯——而單塊向量測不出來這就是 KAT 需要不同長度向量的原因。3. 改動后果代碼走查式的如果實驗本文沒有新的板端實驗——23-1 已跑過紅線23-3 會跑篡改。這里只做紙面推演為 23-3 做鋪墊你可以在讀代碼時驗證問題 A把 w[j] 擴展式里的 rotl32(w[j-13],7) 的 7 改成 8 → 單塊向量會不會錯 → 會。消息擴展任何一位變W[68]/W[64] 全部改變64 輪全受影響。 問題 B把 FF/GG 的分段閾值 16 改成 15 → 只影響第 16 輪開始的非線性函數(shù)切換點 → 全向量錯。 問題 C把 ss1 的 rotl32(…,7) 改成 6 → 每輪移位錯 → 全錯。推演的結(jié)論先行SM3 里沒有任何可以隨手改一處還不影響結(jié)果的常數(shù)。這不是巧合——密碼原語就是設(shè)計成牽一發(fā)動全身。23-3 的實測只改一個 IV 字就讓它全紅正是這句話的量化版本。4. 學員調(diào)試任務(wù)A 檔配合 23-3先按 2.1–2.3 在源碼里標注 10 處紅線位IV×8、常量×2、P0/P1、位移參數(shù)為 23-3 的篡改清單做準備。B 檔純讀源碼回答①sm3_compress結(jié)尾的s[i]^…76–77 行為什么是異或而不是賦值提示否則多塊消息會丟失前塊狀態(tài)②vc_sm3_update里整塊直壓分支要求buflen0為什么這個前置條件能成立、省掉了 memcpy③c-n為什么必須是 64 位size_t在 32 位板會怎樣預期輸出一張標好 10 處紅線位的 SM3 源碼注釋圖能對任意一處說出改了它哪個 KAT 向量會先紅。收尾本篇源碼點名vllm_crypto.c常量 33–43、壓縮 45–78、填充 107–120開源倉庫Kestrel-LLM (Gitee)AGPL-3.0-or-later 或商業(yè)許可二選一下篇預告讀完實現(xiàn)、標好紅線位現(xiàn)在親手改把壓縮常量/IV 改 1重編 KAT看它怎么紅——紅線價值的可視化最后一課。