无需EVP接口在C语言中实现AES_GCM加解密的可行性问询

完全不用OpenSSL的EVP-*接口来实现AES-GCM是可行的——毕竟EVP只是OpenSSL提供的高层封装工具，本质上AES-GCM是由AES块加密+GCM模式的认证/加密逻辑组合而成的，你完全可以自己实现这些底层组件，或者调用OpenSSL更底层的AES原生接口来搭建整个流程。

你需要搞定的核心部分 #

要实现AES-GCM，得拆解成这几个模块来处理：

• AES块加密/解密：如果不想碰EVP，你可以直接用OpenSSL的底层AES函数，比如AES_set_encrypt_key、AES_encrypt（用来生成GCM需要的密钥流和认证密钥）；当然也可以完全从头实现AES算法，但这个工作量大且容易出安全漏洞，非学习或特殊需求不推荐。
• GHASH函数：这是GCM模式的核心认证组件，负责处理附加数据（AD）和密文的哈希计算，最终生成认证标签。你需要严格按照GCM规范，实现基于GF(2^128)域的乘法运算逻辑。
• GCM流程逻辑：
  1. 根据初始向量（IV）生成初始块J0
  2. 用AES加密J0及后续递增块生成密钥流，和明文异或得到密文
  3. 用GHASH处理附加数据和密文，得到哈希值后与AES加密的J0异或，生成最终认证标签
  4. 解密时必须先验证标签合法性，再用密钥流还原明文

重要提醒 #

• 安全风险：自己实现密码算法很容易踩坑——比如GHASH的GF(2^128)乘法实现错误、IV处理不符合规范，这些都会直接导致加密失效或被破解，若非必要优先用经过安全审计的成熟实现。
• 性能问题：手写的AES和GHASH通常比OpenSSL优化过的代码慢很多，尤其是没利用硬件加速（比如AES-NI指令集）的情况下。
• 规范对齐：严格遵循NIST SP 800-38D文档里的GCM标准，比如IV的长度要求、标签长度推荐用128位、附加数据的处理方式等。

简易伪代码示例 #

// 1. 初始化AES密钥
AES_KEY aes_enc_key;
AES_set_encrypt_key(secret_key, key_bit_length, &aes_enc_key);

// 2. 根据IV生成GCM初始块J0
uint8_t J0[16];
generate_gcm_j0(iv, iv_length, J0);

// 3. 生成加密用的密钥流
uint8_t keystream[plaintext_length];
generate_gcm_keystream(&aes_enc_key, J0, keystream, plaintext_length);

// 4. 明文异或密钥流得到密文
xor_blocks(plaintext, keystream, ciphertext, plaintext_length);

// 5. 计算GHASH值
uint8_t ghash_result[16];
ghash_compute(&aes_enc_key, additional_data, ad_length, ciphertext, ciphertext_length, ghash_result);

// 6. 生成最终认证标签
uint8_t auth_tag[16];
AES_encrypt(J0, auth_tag, &aes_enc_key);
xor_blocks(auth_tag, ghash_result, auth_tag, 16);

内容的提问来源于stack exchange，提问作者dead programmer