我正在开发Shamir秘密共享方案的C++实现。 我将消息分成8位块，并对每个块进行相应的算术运算。底层有限域是Rijndael的有限域F_256 /（x ^ 8 + x ^ 4 + x ^ 3 + x + 1）。
我曾经快速搜索是否存在用于Rijndael有限域计算的知名库，例如OpenSSL或类似库，并未找到。因此，我从头开始实现它，部分是为了练习编程。
然而，几天前，我们大学的一位教授提到了以下内容：“现代处理器支持无进位整数操作，因此特征-2有限域乘法现在运行得很快。”。
因此，由于我对硬件、汇编和类似东西知之甚少，我的问题是：在构建加密软件时，我如何实际使用（在C ++中）所有现代处理器指令 - 无论是AES、SHA、上述算术还是其他任何内容？ 我找不到令人满意的资源。我的想法是构建一个包含“现代方法快速实现”和“纯C++依赖性代码”的库，并让GNU Autoconf决定在每个相应的主机上使用哪个库。 如果有关于此主题的任何书籍/文章/教程推荐，都将不胜感激。
这个问题非常广泛，因为有多种方法可以访问底层硬件的能力，所以这里列出了一些方式，可以尝试使用所有现代处理器的指令：
将在C ++中直接提供的操作“展开”，并希望编译器将其识别为您想要的底层指令的成语。例如，您可以将左旋变量x的amount写为(x << amount) | (x >> (32 - amount))，gcc、clang和icc都会将其识别为旋转，并发出由x86支持的底层rol指令。
amount == 0（以及amount >= 32）时会出现未定义行为，因为在uint32_t上进行32次移位的结果是未定义的，但是由这些编译器生成的代码在这种情况下都是没问题的。尽管如此，在程序中潜伏着这种未定义行为仍然很危险，并且它很可能无法通过ubsan和其他工具的检测。安全的替代版本amount ? (x << amount) | (x >> (32 - amount)) : x;只被icc识别，而gcc和clang则不识别。作为扩展，编译器通常会提供内置函数，这些函数不属于语言本身，但通常直接映射到大多数硬件提供的指令。虽然它看起来像一个函数调用，但编译器通常只在调用它的地方发出所需的单个指令。
GCC将这些称为内建函数，您可以在此处找到通用内建函数列表 。例如，您可以使用__builtin_popcnt调用来发出popcnt指令，如果当前目标支持它。gcc内置函数也由icc和clang支持，在这种情况下，如果架构（-march = Haswell）设置为Haswell，则所有gcc、clang和icc都支持此调用并发出popcnt。否则，clang和icc会内联一个使用一些聪明的SWAR技巧的替换版本，而gcc则调用由运行时库提供的__popcountdi21。
#include <x86intrin.h>。这些内置函数具有比gcc内置函数更广泛的支持，例如它们受到Microsoft的Visual Studio编译套件的支持。通常会在支持它们的芯片之前添加新的指令集，因此您可以在发布后立即使用它们来访问新指令。你也可以直接在汇编中编写整个内核函数，按照你想要的方式进行汇编，然后声明为extern "C"并从C++中调用它。这类似于内联汇编选项，但适用于不支持内联汇编的编译器（例如64位Visual Studio）。你还可以使用不同的汇编器，这对于针对多个C++编译器的情况特别方便，因为你可以为所有编译器使用单个汇编器。
您需要自己处理调用约定，以及其他混乱的事情，例如DWARF展开信息和Windows SEH处理。
对于非常短的函数，这种方法效果不好，因为呼叫开销可能是禁止的3。
如果您想要为CPU编写快速的加密代码，那么您几乎将主要针对SIMD指令。 大多数使用软件实现的新算法也考虑到了矢量化。
您可以使用内在函数或汇编语言编写SIMD代码，但也可以编写普通的标量代码，并依赖于自动向量化程序。 在SIMD的早期阶段，这些程序声名狼藉，虽然它们远非完美，但已经取得了长足的进步。
考虑以下这个简单的函数，该函数获取payload和key字节数组并将key异或到payload中：
void otp_scramble(uint8_t* payload, uint8_t* key, size_t n) {
for (size_t i = 0; i < n; i++) {
payload[i] ^= key[i];
}
}
movdqu xmm0, XMMWORD PTR [rdi+rax]
movdqu xmm1, XMMWORD PTR [rsi+rax]
pxor xmm0, xmm1
movups XMMWORD PTR [rdi+rax], xmm0
-march=haswell编译上述相同的C++代码将产生如下循环： vmovdqu ymm1, YMMWORD PTR [rdi+rax]
vpxor ymm0, ymm1, YMMWORD PTR [rsi+rax]
vmovdqu YMMWORD PTR [rdi+rax], ymm0
-march=skylake-avx512编译，clang会在zmm寄存器上使用64字节的vxorps指令（但gcc和icc仍然坚持使用32字节的内部循环）。因此，原则上只需重新编译即可利用新的ISA获得一些优势。gcc所产生的那样。 movzx ecx, BYTE PTR [rsi+rax]
xor BYTE PTR [rdi+rax], cl
lea rcx, [rax+1]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+1+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+2]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+2+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+3]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+3+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+4]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+4+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+5]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+5+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+6]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+6+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+7]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+7+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+8]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+8+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+9]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+9+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+10]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+10+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+11]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+11+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+12]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+12+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+13]
cmp rdx, rcx
jbe .L1
movzx r8d, BYTE PTR [rsi+13+rax]
xor BYTE PTR [rdi+rcx], r8b
lea rcx, [rax+14]
cmp rdx, rcx
jbe .L1
movzx eax, BYTE PTR [rsi+14+rax]
xor BYTE PTR [rdi+rcx], al
1 GCC的优点在于，运行时如果平台支持popcnt，此调用可以解析为一个使用popcnt指令的实现，使用GNU IFUNC机制。
2 假设底层汇编器支持它，但即使不支持，您也可以在内联汇编块中编码原始指令字节。
3 调用开销包括不仅是call和ret以及参数传递的显式成本：它还包括对优化器的影响，因为它无法在调用函数周围优化代码，因为它具有未知的副作用。
4 在某些方面，自动向量化可以被视为成语识别的特殊情况，但它非常重要且具有足够独特的考虑因素，因此在这里它有自己的部分。
5 有些细微的差别：GCC如图所示，Clang展开了一点，而ICC使用了一个load-op pxor而不是单独的load。
_mm_clmulepi64_si128。 - harold