from ブロック暗号

1bitずつインクリメントされるctrという変数を用意する

↑こいつをE_Kで暗号化して、その結果をmと足してcにする

平文は直接暗号化されていない。暗号化した変数ctrと足し算してるだけ。

復号は、暗号化時にmに足したものと同じものを足せばもとに戻る

このモードでは復号時も含め一切E_Kの逆関数は使わないので、これは置換でなくて良い

つまり、E_Kはランダム関数族でいい

一番安全らしい