Шифрование AES: принцип работы, производительность и безопасность

Что такое AES?

AES (Advanced Encryption Standard) — самый популярный и широко принятый симметричный алгоритм шифрования. Разработали бельгийские криптографы Винсент Раймен и Жоан Дамен. При правильной реализации — не взламываем на данный момент.

Установлен NIST (США) в 2001 г., с 2002 — федеральный стандарт. Единственный публичный шифр, одобренный NSA для топ-секретных данных.

История: зачем нужен был AES?

В 1976 г. США приняли DES (IBM, 56-битный ключ). К 1990-м более мощные процессоры сделали DES уязвимым: полный перебор за 48 часов (дорого, но возможно). NIST анонсировал конкурс на преемника в 1997 г. — бесплатный, глобальный стандарт.

Из сотен алгоритмов в 2001 г. выбран «Rijndael» (авторы: Раймен и Дамен). Протестирован на ANSI, Java, C — устойчив к основным атакам в софте и железе.

Как работает AES

В отличие от DES (56 бит), AES использует ключи 128, 192 или 256 бит. Итеративный шифр на сети подстановки-перестановки. Операции: подстановка (замена) и перестановка (перемешивание битов).

1. Plaintext разбивается на блоки 128 бит (16 байт) → матрица 4×4 байт.
2. 5 основных шагов (Round):

1. AddRoundKey: XOR блока с раундовым ключом.
2. SubBytes: подстановка байтов через S-box.
3. ShiftRows: 2-я строка <<1, 3-я <<2, 4-я <<3 байта.
4. MixColumns: математическое преобразование каждого столбца.
5. AddRoundKey: XOR с раундовым ключом.

Шаги 2–5 повторяются в цикле: 9 раундов (128-бит), 11 (192), 13 (256). Финальный раунд без MixColumns (экономия ресурсов).

Дешифрование — обратные операции в обратном порядке.

Производительность

AES значительно быстрее и сильнее DES. Идеален для высокой пропускной способности и низкой задержки. Хорошо работает на любом железе: от 8-битных смарт-карт до HPC.

AMD/Intel интегрируют AES-NI (инструкции) в CPU — ускорение + защита от боковых каналов. На Ryzen/Core i7/5/3: >10 ГБ/с. На старых (Pentium M): ~60 Мбит/с.

Безопасность

С 2000 г. криптографы ищут слабости. Теоретические и боковые атаки на AES-128:

• 2009: атака на 8-раундовый AES-128 (стандарт — 10 раундов) — незначительная угроза.
• Related-key attacks — угроза только для некорректно реализованных протоколов.

Главный риск — боковые каналы (side-channel): утечки через потребление энергии, тайминги, ЭМ-излучение, кэш процессора. Защита: предотвращение утечек или их декорреляция от алгоритма.

Правильно реализованный AES не взламываем. Брутфорс 128-битного ключа на самом мощном суперкомпьютере: >800 квадриллионов лет. Для 256 бит: 3.31×10⁵⁶ операций ~ число атомов во Вселенной.

Применение

WinZip, RAR, UltraISO (Rijndael). BitLocker, VeraCrypt, FileVault — AES-диски. IEEE 802.11i (WiFi WPA2) — AES-128 CCM. Мессенджеры: Facebook Messenger, Signal, WhatsApp, Google Allo — AES для шифрования сообщений.