1 简介

GCM（伽罗瓦计数器模式）是一种分组密码的作模式，既提供加密功能，也支持认证。GCM广泛应用于密码套件，确保数据的机密性和完整性，并以高效率和性能实现。它结合了用于加密的计数器（CTR）模式和基于伽罗瓦字段的认证标签以保证数据完整性。

GCM的可并行化特性使其特别快速，适合高速网络和安全通信。通过引入GCM，密码套件提供了强大的防范未经授权访问和篡改的安全性，使其成为现代加密协议的首选。

2 xts模式

一般来说，ECB是最快的，其次是CTR和XTS，CFB1是最慢的。虽然CBC速度快，但它有一个核心弱点，就是在没有验证的情况下，可能会破坏某个区块。通常，CTR和GCM几乎相同，且都产生流密码。GCM较慢，因为它会为加密过程添加额外数据。关于GCM的一点是，nonce绝不能被重复使用，而且你需要在使用一个字节之前解密所有内容。

主要内容：

    AES-128-ECB和AES-128-CTR速度快，但不安全。
    AES-128-CBC在处理大量数据时扩展性不佳。
    AES-128-XTS 需要快速，因为它用于磁盘加密。
    AES GCM 和 ChaCha20 性能良好，支持 AEAD（认证加密加附加数据）。

中国标准（SM4）相比AES非常慢。

ARIA和Camillia未能进入前十。
3DES在后排运行缓慢（因为它有三个加密作）。

XTS (XEX-based Tweaked-Codebook Mode with Ciphertext Stealing) - XTS 模式

定义：XTS 专为磁盘加密设计，基于 XEX（XOR-Encrypt-XOR）调整码本，支持无填充的变长块。
工作原理：
使用两个密钥：数据密钥 K1 和调整密钥 K2（从主密钥派生）。
加密：对于第 j 个扇区，第 i 个块：T = E_{K2}(j) \otimes \alpha^i（Galois 乘法），C_i = E_{K1}(P_i \oplus T) \oplus T。
支持 ciphertext stealing 处理最后不完整块。

优缺点：
优点：无填充、随机访问、防模式泄露、适合固定大小单元。
缺点：无认证（需额外 MAC）、不适合流数据。

安全考虑：提供语义安全，但不防篡改。SM4-XTS 在 IEEE 1619 标准中定义，用于全盘加密。
SM4 应用：硬盘/SSD 加密，如 BitLocker 或 LUKS。

总结与比较
这些模式的选择取决于需求：ECB/CBC 简单但安全性较低；CFB/OFB/CTR 适合流式；GCM/CCM 提供认证；XTS 专为存储。SM4 在中国标准（如 GM/T 0002-2012）中支持这些模式，实际使用时需注意 IV/nonce 管理、填充和密钥派生。推荐优先使用 AEAD 模式如 GCM 以确保完整性。

3 国密合规（等保 / 密评）推荐配置

以下内容完全贴合目前主流密评实践（通信 / 存储 / 应用系统）。

1️⃣ 国家密码算法合规要求（总原则）

✅ 必须使用

SM2（密钥交换 / 签名）

SM3（杂凑）

SM4（对称加密）

❌ 禁止

AES / RSA / SHA-1（在核心安全功能中）

2️⃣ SM4 工作模式【合规推荐表】
应用场景 推荐模式 是否合规 备注
网络通信（TLS / VPN） SM4-GCM ✅ 强烈推荐 AEAD
应用层接口（API） SM4-GCM / CCM ✅ 带认证
文件加密 SM4-CBC + SM3-HMAC ⚠️ 勉强 不推荐新系统
数据库存储 SM4-XTS ✅ 存储专用
嵌入式 / IoT SM4-CCM ✅ 低资源
临时高速加密 SM4-CTR + MAC ⚠️ 需补完整性
ECB ❌ ❌ 明确不通过
3️⃣ 等保 2.0（三级 / 四级）关键要求映射
✔ 加密强度

SM4-128 满足 三级 / 四级

✔ 完整性

❌ 仅 CBC / CTR：不满足

✅ GCM / CCM：满足

✔ 密钥管理

密钥 不落明文

推荐：

密码机

KMS

HSM

4️⃣ 密评（GM/T 0054）重点检查项
🔍 常见被打回的点（非常重要）

❌ 使用 ECB
❌ IV 固定 / 可预测
❌ GCM 中 Nonce 重复
❌ CTR 无 MAC
❌ SM4-CBC 无完整性保护
❌ 密钥硬编码

5️⃣ 官方推荐“黄金组合”
✅ 通信系统（最稳妥）
密钥协商：SM2
加密算法：SM4-GCM
摘要认证：SM3（内置）

✅ 嵌入式 / 物联网
SM2 + SM4-CCM + SM3

✅ 存储系统 / 数据库
数据页加密：SM4-XTS
密钥保护：SM2 / 密码机

6️⃣ 密评文档中常用表述（可直接用）

“系统采用 SM4-GCM 工作模式实现数据机密性与完整性保护，
随机生成 96 位 Nonce，确保每次加密唯一性，
符合 GM/T 0002、GM/T 0003、GM/T 0054 要求。”

3 总结一句话（给领导 / 评审用）

等保 / 密评新系统：一律 SM4-GCM；
存储用 XTS；
ECB 一票否决。

工作模式

SM4() 表示一次 SM4 分组加密

⊕ 表示按位异或

IV / Nonce / Counter / Tweak 均需安全生成与管理