from ブロック暗号

E_Kは置換でなくていい

CBCモードのカウンタモードみたいなやつ

c_1=m_1\oplus E_K(IV)みたいな

なので、mは直接的には暗号化されていない。暗号化したものと足し算してるだけ。

これをCBCモードのときと同様にchainingさせる