aes-128-ctr представляет из себя симметричное шифрование, по этому получение расширенного ключа используется как при шифровании так и при де шифровании. Следовательно шифруется и дешифруется оно с одинаковым звуком - со свистом. Вабще не уверен точно, но по идее расширение ключа должно быть тоже реализовано аппаратно на CPU с поддержкой AES, иначе в чем смысл иметь только частичное аппаратное ускорение алгоритма. Даже если это не так, то алгоритм расширения ключа, на первый взгляд, выглядит так как будто можно задействовать векторные регистры для его ускорения, в итоге все равно будет очень быстро.