Расширенный стандарт шифрования - Advanced Encryption Standard

Расширенный стандарт шифрования
(Rijndael)

В SubBytes step, один из четырех этапов раунда AES
Общий
Дизайнеров	Винсент Реймен, Джоан Дэмен
Впервые опубликовано	1998
Происходит от	Квадрат
Преемники	Анубис, Гран Крю, Калина
Сертификация	AES победитель CRYPTREC, НЕССИ, АНБ
Деталь шифра
Ключевые размеры	128, 192 или 256 бит[примечание 1]
Размеры блоков	128 бит[заметка 2]
Структура	Сеть подстановки-перестановки
Раундов	10, 12 или 14 (в зависимости от размера ключа)
Лучшая публика криптоанализ
Были опубликованы атаки, которые в вычислительном отношении быстрее, чем полная атака грубой силой, хотя по состоянию на 2013 год ни один из них не является вычислительно выполнимым.[1]Для AES-128 ключ может быть восстановлен с вычислительной сложностью 2126.1 с использованием бикликовая атака. Для biclique-атак на AES-192 и AES-256 вычислительная сложность 2189.7 и 2254.4 соответственно применяются. Связанные ключевые атаки может сломать AES-192 и AES-256 со сложностями 299.5 и 2176 как по времени, так и по данным соответственно.[2]

В Расширенный стандарт шифрования (AES), также известный под своим первоначальным названием Rijndael (Голландское произношение: [Rɛindaːl]),^[3] это спецификация для шифрование электронных данных, установленных США Национальный институт стандартов и технологий (NIST) в 2001 году.^[4]

AES - это подмножество Rijndael блочный шифр^[3] разработан двумя бельгийский криптографы, Винсент Реймен и Джоан Дэмен, подавший предложение^[5] в NIST во время Процесс выбора AES.^[6] Rijndael - это семейство шифров с разными размерами ключей и блоков. Для AES NIST выбрал трех членов семейства Rijndael, каждый с размером блока 128 бит, но с тремя разными длинами ключей: 128, 192 и 256 бит.

AES был принят правительство США и теперь используется во всем мире. Он заменяет Стандарт шифрования данных (DES),^[7] который был опубликован в 1977 году. Алгоритм, описанный AES, представляет собой алгоритм с симметричным ключом, то есть один и тот же ключ используется как для шифрования, так и для дешифрования данных.

В США AES был объявлен NIST как U.S. FIPS PUB 197 (FIPS 197) 26 ноября 2001 г.^[4] Это объявление последовало за пятилетним процессом стандартизации, в ходе которого были представлены и оценены пятнадцать конкурирующих разработок, прежде чем шифр Rijndael был выбран как наиболее подходящий (см. Стандартный процесс расширенного шифрования Больше подробностей).

AES включен в ISO /IEC 18033-3 стандарт. AES вступил в силу в качестве стандарта федерального правительства США 26 мая 2002 г. после утверждения в США. Министр торговли. AES доступен во многих различных пакетах шифрования и является первым (и единственным) общедоступным шифр одобрено США Национальное Агенство Безопасности (NSA) для совершенно секретно информация при использовании в одобренном NSA криптографическом модуле (см. Безопасность AES, ниже).

Окончательные стандарты

Расширенный стандарт шифрования (AES) определяется в каждом из:

• FIPS PUB 197: Расширенный стандарт шифрования (AES)^[4]
• ISO / IEC 18033-3: Блочные шифры^[8]

Описание шифров

AES основан на принципе проектирования, известном как сеть замещения-перестановки, эффективен как в программном, так и в аппаратном отношении.^[9] В отличие от своего предшественника DES, AES не использует Сеть Фейстеля. AES - это вариант Rijndael с фиксированным размер блока из 128 биты, а размер ключа 128, 192 или 256 бит. Напротив, Rijndael как таковой задается с размерами блока и ключа, которые могут быть кратными 32 битам, минимум 128 и максимум 256 бит.

AES работает на 4 × 4 порядок столбцов массив байтов, называемый государственный.^{[заметка 3]} Большинство вычислений AES выполняется в конкретном конечное поле.

Например, 16 байт, ${displaystyle b_ {0}, b_ {1}, ..., b_ {15}}$ представлены как этот двумерный массив:

${displaystyle {egin {bmatrix} b_ {0} & b_ {4} & b_ {8} & b_ {12} b_ {1} & b_ {5} & b_ {9} & b_ {13} b_ {2} & b_ {6} & b_ {10} & b_ {14} b_ {3} & b_ {7} & b_ {11} & b_ {15} конец {bmatrix}}}$

Размер ключа, используемый для шифра AES, определяет количество раундов преобразования, которые преобразуют входные данные, называемые простой текст, в окончательный результат, называемый зашифрованный текст. Количество раундов следующее:

• 10 раундов для 128-битных ключей.
• 12 раундов для 192-битных ключей.
• 14 раундов для 256-битных ключей.

Каждый раунд состоит из нескольких этапов обработки, включая один, который зависит от самого ключа шифрования. Набор обратных циклов применяется для преобразования зашифрованного текста обратно в исходный открытый текст с использованием того же ключа шифрования.

Общее описание алгоритма

1. KeyExpansion - круглые ключи получаются из ключа шифрования с использованием Ключевой график AES. AES требует отдельного 128-битного блока ключей раунда для каждого раунда плюс еще один.
2. Добавление начального раунда:
   1. AddRoundKey - каждый байт состояния комбинируется с байтом ключа раунда, используя побитовый xor.
3. 9, 11 или 13 патронов:
   1. SubBytes - а нелинейный шаг замещения, на котором каждый байт заменяется другим в соответствии с Справочная таблица.
   2. ShiftRows - шаг транспонирования, при котором последние три строки состояния циклически сдвигаются на определенное количество шагов.
   3. MixColumns - операция линейного смешивания, которая работает со столбцами состояния, комбинируя четыре байта в каждом столбце.
   4. AddRoundKey
4. Финальный раунд (всего 10, 12 или 14 раундов):
   1. SubBytes
   2. ShiftRows
   3. AddRoundKey

В SubBytes шаг

в SubBytes шаг, каждый байт в состоянии заменяется его записью в фиксированной 8-битной таблице поиска, S; б_ij = S (а_ij).

в SubBytes шаг, каждый байт ${displaystyle a_ {i, j}}$ в государственный массив заменяется на SubByte ${displaystyle S (a_ {i, j})}$ используя 8-битный коробка замены. Эта операция обеспечивает нелинейность шифр. Используемый S-блок является производным от мультипликативный обратный над GF (2⁸), как известно, обладают хорошими свойствами нелинейности. Чтобы избежать атак, основанных на простых алгебраических свойствах, S-блок строится путем объединения обратной функции с обратимым. аффинное преобразование. S-блок также выбран, чтобы избежать каких-либо неподвижных точек (как и психическое расстройство ), т.е. ${displaystyle S (a_ {i, j}) eq a_ {i, j}}$, а также любые противоположные неподвижные точки, т. е. ${displaystyle S (a_ {i, j}) oplus a_ {i, j} eq {ext {FF}} _ {16}}$. При расшифровке InvSubBytes шаг (обратный SubBytes), что требует сначала взять обратное к аффинному преобразованию, а затем найти мультипликативное обратное.

В ShiftRows шаг

в ShiftRows step байты в каждой строке состояния циклически сдвигаются влево. Число мест, на которые смещается каждый байт, для каждой строки различается постепенно.

В ShiftRows step действует на строки состояния; он циклически сдвигает байты в каждой строке на определенный компенсировать. Для AES первая строка оставлена ​​без изменений. Каждый байт второй строки сдвигается на единицу влево. Аналогичным образом третья и четвертая строки сдвигаются на два и три смещения соответственно.^{[примечание 4]} Таким образом, каждый столбец состояния вывода ShiftRows step состоит из байтов из каждого столбца входного состояния. Важность этого шага состоит в том, чтобы избежать независимого шифрования столбцов, и в этом случае AES выродится в четыре независимых блочных шифра.

В MixColumns шаг

в MixColumns шаг, каждый столбец состояния умножается на фиксированный многочлен ${displaystyle c (x)}$.

в MixColumns шаг, четыре байта каждого столбца состояния объединяются с помощью обратимого линейное преобразование. В MixColumns Функция принимает четыре байта в качестве входных и выводит четыре байта, причем каждый входной байт влияет на все четыре выходных байта. Вместе с ShiftRows, MixColumns обеспечивает распространение в шифре.

Во время этой операции каждый столбец преобразуется с использованием фиксированной матрицы (матрица, умноженная слева на столбец, дает новое значение столбца в состоянии):

${displaystyle {egin {bmatrix} b_ {0, j} b_ {1, j} b_ {2, j} b_ {3, j} end {bmatrix}} = {egin {bmatrix} 2 & 3 & 1 & 1 & 1 1 & 2 & 3 & 3 & 1 1 & 1 & 2 & 3 3 & 1 & 1 & 2end {bmatrix}} {egin {bmatrix} a_ {0, j} a_ {1, j} a_ {2, j} a_ {3, j} end {bmatrix}} qquad 0leq jleq 3}$

Умножение матриц состоит из умножения и сложения записей. Записи рассматриваются как байты как коэффициенты полинома порядка ${displaystyle x ^ {7}}$. Сложение - это просто XOR. Умножение производится по модулю неприводимого многочлена ${displaystyle x ^ {8} + x ^ {4} + x ^ {3} + x + 1}$. Если обрабатывается побитно, то после сдвига условное XOR с 1B₁₆ должно выполняться, если смещенное значение больше FF₁₆ (переполнение необходимо исправить вычитанием порождающего полинома). Это частные случаи обычного умножения в ${displaystyle operatorname {GF} (2 ^ {8})}$.

В более общем смысле каждый столбец рассматривается как многочлен от ${displaystyle operatorname {GF} (2 ^ {8})}$ а затем умножается по модулю ${displaystyle {01} _ {16} cdot z ^ {4} + {01} _ {16}}$ с фиксированным полиномом ${displaystyle c (z) = {03} _ {16} cdot z ^ {3} + {01} _ {16} cdot z ^ {2} + {01} _ {16} cdot z + {02} _ {16 }}$. Коэффициенты отображаются в их шестнадцатеричный эквивалент двоичного представления битовых многочленов из ${displaystyle operatorname {GF} (2) [x]}$. В MixColumns шаг также можно рассматривать как умножение на показанный конкретный Матрица МДС в конечное поле ${displaystyle operatorname {GF} (2 ^ {8})}$. Этот процесс описан далее в статье Rijndael MixКолонны.

В AddRoundKey шаг

в AddRoundKey шаг, каждый байт состояния объединяется с байтом подключа раунда, используя XOR операция (⊕).

в AddRoundKey На шаге подключ объединяется с состоянием. Для каждого раунда подключ получается из основного ключ с помощью Ключевой график Rijndael; каждый подключ имеет тот же размер, что и состояние. Подключ добавляется путем объединения каждого байта состояния с соответствующим байтом подраздела с помощью побитового XOR.

Оптимизация шифра

В системах с 32-битными или большими словами можно ускорить выполнение этого шифра, объединив SubBytes и ShiftRows шаги с MixColumns шаг за счет преобразования их в последовательность поиска по таблице. Для этого требуются четыре 32-битные таблицы с 256 записями (вместе занимающие 4096 байт). Затем можно выполнить раунд с 16 операциями поиска в таблице и 12 32-битными операциями исключающего ИЛИ, за которыми следуют четыре 32-битных операции исключающего ИЛИ в AddRoundKey шаг.^[10] В качестве альтернативы, операция поиска в таблице может выполняться с одной 32-битной таблицей с 256 записями (занимающей 1024 байта) с последующими операциями кругового вращения.

Используя байтовый подход, можно комбинировать SubBytes, ShiftRows, и MixColumns шаги в одну операцию раунда.^[11]

Безопасность

В Национальное Агенство Безопасности (NSA) проверило всех финалистов AES, включая Rijndael, и заявило, что все они были достаточно безопасными для несекретных данных правительства США. В июне 2003 года правительство США объявило, что AES может использоваться для защиты классифицированная информация:

Дизайн и надежность всех длин ключей алгоритма AES (т. Е. 128, 192 и 256) достаточны для защиты секретной информации до уровня СЕКРЕТНОСТИ. СОВЕРШЕННО СЕКРЕТНАЯ информация потребует использования ключей длиной 192 или 256. Внедрение AES в продукты, предназначенные для защиты систем национальной безопасности и / или информации, должно быть проверено и сертифицировано NSA до их приобретения и использования.^[12]

AES имеет 10 раундов для 128-битных ключей, 12 раундов для 192-битных ключей и 14 раундов для 256-битных ключей.

К 2006 году самые известные атаки были на 7 раундов для 128-битных ключей, 8 раундов для 192-битных ключей и 9 раундов для 256-битных ключей.^[13]

Известные атаки

Для криптографов криптографический "перерыв" - это что-нибудь быстрее, чем атака грубой силой - т.е. выполнение одной пробной расшифровки для каждого возможного ключа в последовательности (см. Криптоанализ ). Таким образом, перерыв может включать результаты, которые недостижимы с использованием современных технологий. Несмотря на то, что теоретические исследования непрактичны, иногда они могут дать представление о моделях уязвимости. Самая крупная успешная публично известная атака методом перебора широко распространенного алгоритма блочного шифрования была направлена ​​против 64-битного RC5 ключ от распределенный.net в 2006 году.^[14]

Ключевое пространство увеличивается в 2 раза на каждый дополнительный бит длины ключа, и если каждое возможное значение ключа равновероятно, это приводит к удвоению среднего времени поиска ключа методом перебора. Это означает, что усилие перебора увеличивается экспоненциально с увеличением длины ключа. Длина ключа сама по себе не означает защиты от атак, поскольку существуют шифры с очень длинными ключами, которые оказались уязвимыми.

AES имеет довольно простую алгебраическую основу.^[15] В 2002 году теоретическая атака "XSL атака ", было объявлено Николя Куртуа и Йозеф Пиепшик, якобы показать слабость в алгоритме AES, частично из-за низкой сложности его нелинейных компонентов.^[16] С тех пор другие документы показали, что атака в том виде, в котором она была представлена ​​изначально, неосуществима; видеть XSL-атака на блочные шифры.

В процессе выбора AES разработчики конкурирующих алгоритмов писали об алгоритме Рийндала: «Мы обеспокоены его использованием ... в критически важных для безопасности приложениях».^[17] Однако в октябре 2000 г., по окончании процесса отбора AES, Брюс Шнайер, разработчик конкурирующего алгоритма Twofish, написал, что, хотя он думал, что когда-нибудь будут разработаны успешные академические атаки на Rijndael, он «не верил, что кто-либо когда-либо обнаружит атаку, которая позволит кому-то читать трафик Rijndael».^[18]

До мая 2009 г. единственными успешными опубликованными атаками на полную версию AES были: атаки по побочным каналам на некоторых конкретных реализациях. В 2009 году новый атака по связанным ключам было обнаружено, что использует простоту ключевого расписания AES и имеет сложность 2¹¹⁹. В декабре 2009 года он был улучшен до 2^99.5.^[2] Это продолжение атаки, обнаруженной ранее в 2009 г. Алексей Бирюков, Дмитрий Ховратович и Ивица Николич со сложностью 2⁹⁶ на одного из каждых 2³⁵ ключи.^[19] Тем не менее, атаки с использованием связанных ключей не являются проблемой для любого правильно разработанного криптографического протокола, поскольку правильно разработанный протокол (то есть программное обеспечение для реализации) позаботится о том, чтобы не допускать использование связанных ключей, по сути сдерживающий средства злоумышленника для выбора ключей для определения родства.

Еще одна атака была опубликована в блоге Брюса Шнайера.^[20]30 июля 2009 г. и выпущен в виде препринта^[21]3 августа 2009 г. Это новое нападение со стороны Алекса Бирюкова, Орра Дункельмана, Натана Келлера, Дмитрия Ховратовича и Ади Шамир, против AES-256, который использует только два связанных ключа и 2³⁹ время восстановить полный 256-битный ключ 9-раундовой версии, или 2⁴⁵ время для 10-раундовой версии с более сильным типом атаки связанных подключей, или 2⁷⁰ время для 11-раундового варианта. 256-битный AES использует 14 раундов, поэтому эти атаки не эффективны против полного AES.

Была подвергнута критике практичность этих атак с более сильными связанными ключами,^[22] Например, в статье об атаках с выбранным ключом в середине на AES-128, написанной Винсентом Рейменом в 2010 году.^[23]

В ноябре 2009 г. состоялся первый атака с распознаванием ключа против уменьшенной 8-раундовой версии AES-128 была выпущена в виде препринта.^[24]Эта атака с распознаванием известного ключа является улучшением отскока или атаки начала с середины против AES-подобных перестановок, которые рассматривают два последовательных раунда перестановки как применение так называемого Super-S-блока. . Он работает на 8-раундовой версии AES-128 с временной сложностью 2⁴⁸, и сложность памяти 2³². 128-битный AES использует 10 раундов, поэтому эта атака не эффективна против полного AES-128.

Первый атаки с восстановлением ключа на полном AES были опубликованы в 2011 году Андреем Богдановым, Дмитрием Ховратовичем и Кристианом Рехбергером.^[25] Атака - это бикликовая атака и быстрее грубой силы примерно в четыре раза. Требуется 2^126.2 операции по восстановлению ключа AES-128. Для AES-192 и AES-256, 2^190.2 и 2^254.6 операции нужны соответственно. Этот результат был улучшен до 2^126.0 для AES-128, 2^189.9 для AES-192 и 2^254.3 для AES-256,^[26] которые на данный момент являются лучшими результатами атаки восстановления ключа против AES.

Это очень небольшой выигрыш, так как 126-битный ключ (вместо 128-битного) все равно потребует миллиарды лет, чтобы перебрать текущее и ожидаемое оборудование. Кроме того, авторы вычисляют лучшую атаку, используя свою технику на AES со 128-битным ключом, требующим хранения 2⁸⁸ биты данных. Это составляет около 38 триллионов терабайт данных, что больше, чем все данные, хранящиеся на всех компьютерах на планете в 2016 году. Таким образом, нет никаких практических последствий для безопасности AES.^[27] Позднее сложность пространства была увеличена до 2⁵⁶ биты^[26] что составляет 9007 терабайт.

Согласно Документы Сноудена, АНБ изучает возможность криптографической атаки, основанной на статистика тау может помочь сломать AES.^[28]

В настоящее время не существует известной практической атаки, которая позволила бы кому-либо, не зная ключа, прочитать данные, зашифрованные AES, при правильной реализации.

Атаки по побочным каналам

Атаки по побочным каналам не атакуйте шифр как черный ящик, и, таким образом, не связаны с безопасностью шифров, как определено в классическом контексте, но важны на практике. Они атакуют реализации шифра на аппаратном или программном обеспечении, в результате чего происходит непреднамеренная утечка данных. Известно несколько таких известных атак на различные реализации AES.

В апреле 2005 г. Д.Дж. Бернштейн объявил об атаке тайминга, которую он использовал для взлома настраиваемого сервера, который использовал OpenSSL шифрование AES.^[29] Для атаки потребовалось более 200 миллионов выбранных открытых текстов.^[30] Пользовательский сервер был разработан так, чтобы выдавать как можно больше информации о времени (сервер сообщает количество машинных циклов, затраченных на операцию шифрования). Однако, как указал Бернштейн, «уменьшение точности временных меток сервера или их исключение из ответов сервера не останавливает атаку: клиент просто использует время приема-передачи, основанное на своих локальных часах, и компенсирует повышенный шум. путем усреднения по большему количеству образцов ".^[29]

В октябре 2005 года Даг Арне Освик, Ади Шамир и Эран Тромер представили документ, демонстрирующий несколько атак с синхронизацией кэша против реализаций AES, найденных в OpenSSL и Linux. dm-crypt функция шифрования раздела.^[31] Одна атака смогла получить весь ключ AES всего после 800 операций, запускающих шифрование, в общей сложности за 65 миллисекунд. Эта атака требует, чтобы злоумышленник имел возможность запускать программы в той же системе или платформе, на которой выполняется AES.

В декабре 2009 года была опубликована атака на некоторые аппаратные реализации, использующие дифференциальный анализ неисправностей и позволяет восстановить ключ со сложностью 2³².^[32]

В ноябре 2010 года Эндре Бангертер, Дэвид Гуллаш и Стефан Кренн опубликовали статью, в которой описал практический подход к восстановлению секретных ключей из AES-128 «почти в реальном времени» без необходимости в зашифрованном или открытом тексте. Этот подход также работает с реализациями AES-128, которые используют таблицы сжатия, такие как OpenSSL.^[33] Как и некоторые предыдущие атаки, для этой атаки требуется возможность запускать непривилегированный код в системе, выполняющей шифрование AES, что может быть достигнуто путем заражения вредоносным ПО гораздо проще, чем реквизиции учетной записи root.^[34]

В марте 2016 года Ашоккумар С., Рави Пракаш Гири и Бернард Менезеш представили атаку по побочному каналу на реализации AES, которая может восстановить полный 128-битный ключ AES всего за 6-7 блоков открытого текста / зашифрованного текста, что является существенным улучшением по сравнению с предыдущие работы, требующие от 100 до миллиона шифрований.^[35] Предлагаемая атака требует стандартных прав пользователя, а алгоритмы извлечения ключей выполняются менее чем за минуту.

Многие современные процессоры имеют встроенные аппаратные инструкции для AES, которые защищают от атак по побочным каналам, связанным с синхронизацией.^[36][37]

Проверка NIST / CSEC

В Программа проверки криптографических модулей (CMVP) управляется совместно Правительством США Национальный институт стандартов и технологий (NIST) Отдел компьютерной безопасности и Организация безопасности связи (CSE) правительства Канады. Использование криптографических модулей, утвержденных NIST FIPS 140-2 Требуется правительством США для шифрования всех данных, имеющих классификацию «Чувствительные, но несекретные» (SBU) или выше. Из NSTISSP № 11, Национальная политика, регулирующая получение информации: «Продукты шифрования для защиты секретной информации будут сертифицированы NSA, а продукты шифрования, предназначенные для защиты конфиденциальной информации, будут сертифицированы в соответствии с NIST FIPS 140-2».^[38]

Правительство Канады также рекомендует использовать FIPS 140 проверенные криптографические модули в несекретных приложениях своих отделов.

Хотя публикация 197 NIST («FIPS 197») является уникальным документом, который охватывает алгоритм AES, поставщики обычно обращаются к CMVP в соответствии с FIPS 140 и просят иметь несколько алгоритмов (например, Тройной DES или же SHA1 ) подтверждены одновременно. Следовательно, редко можно найти криптографические модули, которые однозначно проверены FIPS 197, а сам NIST обычно не тратит время на то, чтобы перечислить проверенные модули FIPS 197 отдельно на своем общедоступном веб-сайте. Вместо этого проверка FIPS 197 обычно просто указывается как нотация «Утверждено FIPS: AES» (с конкретным номером сертификата FIPS 197) в текущем списке проверенных FIPS 140 криптографических модулей.

Программа проверки криптографических алгоритмов (CAVP)^[39] позволяет проводить независимую проверку правильности реализации алгоритма AES. Успешная проверка приводит к появлению в списке на странице проверок NIST.^[40] Это тестирование является предварительным условием для проверки модуля FIPS 140-2, описанной ниже. Однако успешная проверка CAVP никоим образом не означает, что криптографический модуль, реализующий алгоритм, безопасен. Криптографический модуль без проверки FIPS 140-2 или специального одобрения NSA не считается безопасным правительством США и не может использоваться для защиты государственных данных.^[38]

Проверка FIPS 140-2 является сложной задачей как с технической, так и с финансовой точки зрения.^[41] Существует стандартная батарея тестов, а также элемент проверки исходного кода, который необходимо пройти в течение нескольких недель. Стоимость проведения этих тестов в утвержденной лаборатории может быть значительной (например, более 30 000 долларов США).^[41] и не включает время, необходимое для написания, тестирования, документирования и подготовки модуля для проверки. После проверки модули должны быть повторно представлены и повторно оценены, если они каким-либо образом изменены. Это может варьироваться от простых обновлений документов, если функциональные возможности безопасности не изменились, до более существенного набора повторных проверок, если на функциональные возможности безопасности это изменение повлияло.

Тестовые векторы

Тестовые векторы - это набор известных шифров для данного ввода и ключа. NIST распределяет эталоны тестовых векторов AES как векторы теста с известными ответами AES (KAT).^{[примечание 5]}

Спектакль

Критериями выбора AES были высокая скорость и низкие требования к оперативной памяти. В качестве выбранного алгоритма AES хорошо работает на широком спектре оборудования, начиная с 8-битного смарт-карты к высокопроизводительным компьютерам.

На Pentium Pro, Шифрование AES требует 18 тактов на байт,^[42] эквивалентно пропускной способности около 11 МБ / с для процессора 200 МГц.

На Intel Core i3 /i5 /i7 и AMD Ryzen Процессоры, поддерживающие Набор инструкций AES-NI расширений пропускная способность может составлять несколько ГБ / с (даже более 10 ГБ / с).^[43]

Реализации

Смотрите также

• Режимы работы AES
• Шифрование диска
• Сетевое шифрование
• Водоворот - хеш-функция, созданная Винсентом Рейменом и Пауло С. Л. М. Баррето
• Список пакетов бесплатного и открытого программного обеспечения

Примечания

Рекомендации

внешняя ссылка

• «256-битный ключ - 128-битный блок - AES». Криптография - 256-битные шифры: справочный исходный код и заявки на участие в международных конкурсах криптографических разработок. EmbeddedSW.
• «Расширенный стандарт шифрования (AES)» (PDF). Федеральные стандарты обработки информации. 26 ноября 2001 г. Дои:10.6028 / NIST.FIPS.197. 197.
• Архивная информация алгоритма AES - (старая, неподдерживаемая)
• «Часть 3: Блочные шифры» (PDF). Информационные технологии. Методы безопасности. Алгоритмы шифрования. (2-е изд.). ISO. 2010-12-15. ИСО / МЭК 18033-3: 2010 (E).
• Анимация Rijndael - AES подробно объяснен и анимирован с использованием Flash (Энрике Забала / Университет ОРТ / Монтевидео / Уругвай). Эта анимация (на английском, испанском и немецком языках) также является частью Криптоул 1 (меню Индив. процедуры → Визуализация алгоритмов → AES).

• HTML5-анимация Rijndael - Та же анимация, что и выше, сделанная в HTML5.