Estándar de cifrado avanzado

1. Expansión de claves : las claves de ronda se derivan de la clave de cifrado utilizando el esquema de claves AES . AES requiere un bloque de clave de ronda independiente de 128 bits para cada ronda, más uno adicional. 
2. Adición de clave de la ronda inicial:
   1. AddRoundKey : cada byte del estado se combina con un byte de la clave de ronda utilizando el OR exclusivo a nivel de bits . 
3. 9, 11 o 13 asaltos:
   1. SubBytes : un paso de sustitución no lineal donde cada byte se reemplaza por otro según una tabla de búsqueda . 
   2. ShiftRows : un paso de transposición donde las últimas tres filas del estado se desplazan cíclicamente un cierto número de pasos. 
   3. MixColumns : una operación de mezcla lineal que actúa sobre las columnas del estado, combinando los cuatro bytes de cada columna. 
   4. Agregar tecla redonda
4. Ronda final (con un total de 10, 12 o 14 rondas):
   1. Subbytes
   2. filas de desplazamiento
   3. Agregar tecla redonda

En el paso SubBytes , cada byte a _i,j en el arreglo de estado se reemplaza con un SubByte S ( a _i,j ) usando una caja de sustitución de 8 bits . Antes de la ronda 0, el arreglo de estado es simplemente el texto plano/entrada. Esta operación proporciona la no linealidad en el cifrado . La caja S utilizada se deriva del inverso multiplicativo sobre GF (2 ⁸ ) , conocido por tener buenas propiedades de no linealidad. Para evitar ataques basados ​​en propiedades algebraicas simples, la caja S se construye combinando la función inversa con una transformación afín invertible . La caja S también se elige para evitar cualquier punto fijo (y por lo tanto es un desorden ), es decir, S ( a _i,j ) ≠ a _i,j , y también cualquier punto fijo opuesto, es decir, S ( a _i,j ) ⊕ a _i,j ≠ FF ₁₆ . Durante el proceso de descifrado, se utiliza el paso InvSubBytes (la inversa de SubBytes ), que requiere primero tomar la inversa de la transformación afín y luego encontrar la inversa multiplicativa.

El paso ShiftRows opera sobre las filas del estado; desplaza cíclicamente los bytes de cada fila mediante un cierto desplazamiento . Para AES, la primera fila permanece sin cambios. Cada byte de la segunda fila se desplaza una posición a la izquierda. De forma similar, la tercera y la cuarta filas se desplazan dos y tres posiciones respectivamente. ^{[ nota 5 ]} De esta manera, cada columna del estado de salida del paso ShiftRows se compone de bytes de cada columna del estado de entrada. La importancia de este paso radica en evitar que las columnas se cifren de forma independiente, ya que en ese caso AES degeneraría en cuatro cifrados de bloques independientes.

En el paso MixColumns , los cuatro bytes de cada columna del estado se combinan mediante una transformación lineal invertible . La función MixColumns recibe cuatro bytes como entrada y produce cuatro bytes como salida, donde cada byte de entrada afecta a los cuatro bytes de salida. Junto con ShiftRows , MixColumns proporciona difusión en el cifrado.

Durante esta operación, cada columna se transforma utilizando una matriz fija (la matriz multiplicada por la izquierda por la columna da como resultado un nuevo valor de la columna en el estado): $${\displaystyle {\begin{bmatrix}b_{0,j}\\b_{1,j}\\b_{2,j}\\b_{3,j}\end{bmatrix}}={\begin{bmatrix}2&3&1&1\\1&2&3&1\\1&1&2&3\\3&1&1&2\end{bmatrix}}{\begin{bmatrix}a_{0,j}\\a_{1,j}\\a_{2,j}\\a_{3,j}\end{bmatrix}}\qquad 0\leq j\leq 3}$$

La multiplicación de matrices se compone de la multiplicación y la suma de las entradas. Las entradas son bytes tratados como coeficientes de un polinomio de orden x ⁷ . La suma es simplemente XOR. La multiplicación es módulo el polinomio irreducible x ⁸ + x ⁴ + x ³ + x + 1 . Si se procesa bit a bit, entonces, después del desplazamiento, se debe realizar un XOR condicional con 1B ₁₆ si el valor desplazado es mayor que FF ₁₆ (el desbordamiento debe corregirse restando el polinomio generador). Estos son casos especiales de la multiplicación usual en GF(2 ⁸ ) .

En un sentido más general, cada columna se trata como un polinomio sobre GF(2 ⁸ ) y luego se multiplica módulo${\displaystyle {01}_{16}\cdot z^{4}+{01}_{16}}$con un polinomio fijo${\displaystyle c(z)={03}_{16}\cdot z^{3}+{01}_{16}\cdot z^{2}+{01}_{16}\cdot z+{02}_{16}}$Los coeficientes se muestran en su equivalente hexadecimal de la representación binaria de los polinomios de bits de GF(2 ⁸ )[ x ] . El paso MixColumns también puede verse como una multiplicación por la matriz MDS particular mostrada en el campo finito GF(2 ⁸ ) . Este proceso se describe con más detalle en el artículo Rijndael MixColumns .

En el paso AddRoundKey , la subclave se combina con el estado. Para cada ronda, se deriva una subclave de la clave principal utilizando el esquema de claves de Rijndael ; cada subclave tiene el mismo tamaño que el estado. La subclave se agrega combinando el estado con el byte correspondiente de la subclave mediante una operación XOR bit a bit .

En sistemas con palabras de 32 bits o más, es posible acelerar la ejecución de este cifrado combinando los pasos SubBytes y ShiftRows con el paso MixColumns , transformándolos en una secuencia de búsquedas en tablas. Esto requiere cuatro tablas de 32 bits con 256 entradas (que ocupan 4096 bytes en total). Una ronda se puede realizar con 16 operaciones de búsqueda en tablas y 12 operaciones OR exclusivas de 32 bits, seguidas de cuatro operaciones OR exclusivas de 32 bits en el paso AddRoundKey . ^{[ 12 ]} Alternativamente, la operación de búsqueda en tablas se puede realizar con una sola tabla de 32 bits con 256 entradas (que ocupa 1024 bytes) seguida de operaciones de rotación circular.

Utilizando un enfoque orientado a bytes, es posible combinar los pasos SubBytes , ShiftRows y MixColumns en una única operación de ronda. ^{[ 13 ]}

Para los criptógrafos, una "ruptura" criptográfica es cualquier método más rápido que un ataque de fuerza bruta , es decir, realizar un único intento de descifrado para cada clave posible en secuencia . Por lo tanto, una ruptura puede incluir resultados inviables con la tecnología actual. A pesar de su impracticabilidad, las rupturas teóricas a veces pueden revelar patrones de vulnerabilidad. El mayor ataque de fuerza bruta conocido públicamente contra un algoritmo de cifrado por bloques ampliamente implementado fue contra una clave RC5 de 64 bits por distributed.net en 2006. ^{[ 16 ]} 

El espacio de claves aumenta en un factor de 2 por cada bit adicional de longitud de clave, y si todos los valores posibles de la clave son equiprobables, esto se traduce en que el tiempo promedio de búsqueda por fuerza bruta se duplica con cada bit adicional de longitud de clave. Esto implica que el esfuerzo de una búsqueda por fuerza bruta aumenta exponencialmente con la longitud de la clave. La longitud de la clave en sí misma no implica seguridad contra ataques, ya que se ha descubierto que existen cifrados con claves muy largas que son vulnerables.

AES tiene un marco algebraico bastante simple. ^{[ 17 ]} En 2002, Nicolas Courtois y Josef Pieprzyk anunciaron un ataque teórico, denominado " ataque XSL " , que pretendía demostrar una debilidad en el algoritmo AES, debido en parte a la baja complejidad de sus componentes no lineales. ^{[ 18 ]} Desde entonces, otros artículos han demostrado que el ataque, tal como se presentó originalmente, es inviable; véase Ataque XSL a cifrados de bloques .

Durante el proceso de selección de AES, los desarrolladores de algoritmos competidores escribieron sobre el algoritmo de Rijndael: "Nos preocupa su uso  ... en aplicaciones críticas para la seguridad". ^{[ 19 ]} Sin embargo, en octubre de 2000, al final del proceso de selección de AES, Bruce Schneier , desarrollador del algoritmo competidor Twofish , escribió que, si bien pensaba que algún día se desarrollarían ataques académicos exitosos contra Rijndael, "no creía que nadie fuera a descubrir jamás un ataque que permitiera leer el tráfico de Rijndael". ^{[ 20 ]}

Para 2006, los ataques más conocidos eran de 7 rondas para claves de 128 bits, 8 rondas para claves de 192 bits y 9 rondas para claves de 256 bits. ^{[ 21 ]}

Hasta mayo de 2009, los únicos ataques publicados exitosos contra el AES completo fueron ataques de canal lateral en algunas implementaciones específicas. En 2009, se descubrió un nuevo ataque de clave relacionada que explota la simplicidad del esquema de claves de AES y tiene una complejidad de 2 ¹¹⁹ . En diciembre de 2009 se mejoró a 2 ^99,5 . ^{[ 2 ]} Este es un seguimiento de un ataque descubierto anteriormente en 2009 por Alex Biryukov , Dmitry Khovratovich e Ivica Nikolić, con una complejidad de 2 ⁹⁶ para una de cada 2 ³⁵ claves. ^{[ 22 ]} Sin embargo, los ataques de clave relacionada no son una preocupación en ningún protocolo criptográfico bien diseñado, ya que un protocolo bien diseñado (es decir, el software de implementación) se asegurará de no permitir claves relacionadas, esencialmente restringiendo los medios de un atacante para seleccionar claves por relación.

Otro ataque fue publicado en el blog de Bruce Schneier ^{[ 3 ]} el 30 de julio de 2009 y lanzado como preimpresión ^{[ 23 ]} el 3 de agosto de 2009. Este nuevo ataque, de Alex Biryukov, Orr Dunkelman , Nathan Keller , Dmitry Khovratovich y Adi Shamir , está dirigido contra AES-256 que utiliza solo dos claves relacionadas y ^2³⁹ veces para recuperar la clave completa de 256 bits de una versión de 9 rondas, o ^2⁴⁵ veces para una versión de 10 rondas con un tipo más fuerte de ataque de subclave relacionada, o 2⁷⁰ ^veces para una versión de 11 rondas. AES de 256 bits utiliza 14 rondas, por lo que estos ataques no son efectivos contra AES completo.

La practicidad de estos ataques con claves relacionadas más fuertes ha sido criticada, ^{[ 24 ]} por ejemplo, por el artículo sobre ataques de relaciones de clave elegidas en el medio en AES-128 escrito por Vincent Rijmen en 2010. ^{[ 25 ]}

En noviembre de 2009, se publicó como preimpresión el primer ataque de distinción de clave conocida contra una versión reducida de 8 rondas de AES-128. ^{[ 26 ]} Este ataque de distinción de clave conocida es una mejora del ataque de rebote, o de inicio desde el medio, contra permutaciones tipo AES, que consideran dos rondas consecutivas de permutación como la aplicación de una llamada Super-S-box. Funciona en la versión de 8 rondas de AES-128, con una complejidad temporal de 2 ⁴⁸ , y una complejidad de memoria de 2 ³² . AES de 128 bits utiliza 10 rondas, por lo que este ataque no es efectivo contra AES-128 completo.

Los primeros ataques de recuperación de claves en AES completo fueron realizados por Andrey Bogdanov, Dmitry Khovratovich y Christian Rechberger, y se publicaron en 2011. ^{[ 27 ]} El ataque es un ataque biclique y es aproximadamente cuatro veces más rápido que la fuerza bruta. Requiere 2 ^126,2 operaciones para recuperar una clave AES-128. Para AES-192 y AES-256, se necesitan 2 ^190,2 y 2 ^254,6 operaciones, respectivamente. Este resultado ha sido mejorado aún más a 2 ^126,0 para AES-128, 2 ^189,9 para AES-192 y 2 ^254,3 para AES-256 por Biaoshuai Tao y Hongjun Wu en un artículo de 2015, ^{[ 28 ]} que son los mejores resultados actuales en ataques de recuperación de claves contra AES.

Esta es una ganancia muy pequeña, ya que una clave de 126 bits (en lugar de 128 bits) aún tardaría miles de millones de años en ser descifrada por fuerza bruta en el hardware actual y previsible. Además, los autores calculan que el mejor ataque utilizando su técnica en AES con una clave de 128 bits requiere almacenar 2 ⁸⁸ bits de datos. Eso equivale a unos 38 billones de terabytes de datos, que era más que todos los datos almacenados en todas las computadoras del planeta en 2016. ^{[ 29 ]} Un artículo de 2015 mejoró posteriormente la complejidad espacial a 2 ⁵⁶ bits, ^{[ 28 ]} que son 9007 terabytes (manteniendo aún una complejidad temporal de aproximadamente 2 ¹²⁶ ).

Según los documentos de Snowden , la NSA está investigando si un ataque criptográfico basado en la estadística tau puede ayudar a romper AES. ^{[ 30 ]}

Actualmente, no se conoce ningún ataque práctico que permita a alguien sin conocimiento de la clave leer datos cifrados con AES cuando este se implementa correctamente.

Los ataques de canal lateral no atacan el cifrado como una caja negra y, por lo tanto, no están relacionados con la seguridad del cifrado tal como se define en el contexto clásico, pero son importantes en la práctica. Atacan las implementaciones del cifrado en sistemas de hardware o software que filtran datos de forma inadvertida. Existen varios ataques conocidos de este tipo contra diversas implementaciones de AES.

En abril de 2005, D.  J. Bernstein anunció un ataque de temporización de caché que utilizó para vulnerar un servidor personalizado que empleaba el cifrado AES de OpenSSL . ^{[ 31 ]} El ataque requirió más de 200 millones de textos planos seleccionados. ^{[ 32 ]} El servidor personalizado fue diseñado para proporcionar la mayor cantidad posible de información de temporización (el servidor informa el número de ciclos de máquina que tarda la operación de cifrado). Sin embargo, como señaló Bernstein, «reducir la precisión de las marcas de tiempo del servidor, o eliminarlas de sus respuestas, no detiene el ataque: el cliente simplemente utiliza tiempos de ida y vuelta basados ​​en su reloj local y compensa el aumento del ruido promediando un mayor número de muestras». ^{[ 31 ]}

En octubre de 2005, Dag Arne Osvik, Adi Shamir y Eran Tromer presentaron un artículo que demostraba varios ataques de temporización de caché contra las implementaciones de AES presentes en OpenSSL y dm-cryptla función de cifrado de particiones de Linux. ^{[ 33 ]} Un ataque logró obtener una clave AES completa tras solo 800 operaciones de cifrado, en un total de 65 milisegundos. Este ataque requiere que el atacante pueda ejecutar programas en el mismo sistema o plataforma que realiza el cifrado AES.

En diciembre de 2009 se publicó un ataque a algunas implementaciones de hardware que utilizaba análisis diferencial de fallos y permitía la recuperación de una clave con una complejidad de 2 ³² . ^{[ 34 ]}

En noviembre de 2010, Endre Bangerter, David Gullasch y Stephan Krenn publicaron un artículo que describía un método práctico para la recuperación "casi en tiempo real" de claves secretas de AES-128 sin necesidad de texto cifrado ni texto plano. Este método también funciona en implementaciones de AES-128 que utilizan tablas de compresión, como OpenSSL. ^{[ 35 ]} Al igual que algunos ataques anteriores, este requiere la capacidad de ejecutar código sin privilegios en el sistema que realiza el cifrado AES, lo cual puede lograrse mediante una infección de malware mucho más fácilmente que tomando el control de la cuenta de root. ^{[ 36 ]}

En marzo de 2016, C. Ashokkumar, Ravi Prakash Giri y Bernard Menezes presentaron un ataque de canal lateral contra implementaciones de AES que permite recuperar la clave AES completa de 128 bits en tan solo 6 o 7 bloques de texto plano/cifrado, lo que supone una mejora sustancial respecto a trabajos anteriores que requerían entre 100 y un millón de cifrados. ^{[ 37 ]} El ataque propuesto requiere privilegios de usuario estándar y los algoritmos de recuperación de claves se ejecutan en menos de un minuto.

Muchas CPU modernas tienen instrucciones de hardware integradas para AES , que protegen contra ataques de canal lateral relacionados con el tiempo. ^{[ 38 ] [ 39 ]}

AES-256 se considera resistente a la computación cuántica , ya que tiene una resistencia cuántica similar a la de AES-128 frente a ataques tradicionales no cuánticos con 128 bits de seguridad . AES-192 y AES-128 no se consideran resistentes a la computación cuántica debido a sus tamaños de clave más pequeños. AES-192 tiene una resistencia de 96 bits frente a ataques cuánticos y AES-128 tiene una resistencia de 64 bits frente a ataques cuánticos, lo que los hace inseguros. ^{[ 40 ] [ 41 ]}