AES (Advanced Encryption Standard).

AES — симметричный блочный шифр, стандартизированный NIST в FIPS 197 после того, как алгоритм Rijndael Винсента Раймена и Йоана Дамена обошёл четырнадцать соперников (включая Twofish, Serpent, RC6 и MARS) в открытом пятилетнем конкурсе на замену DES. NIST объявил Rijndael победителем 2 октября 2000 года и опубликовал FIPS 197 26 ноября 2001 года. Он шифрует блоки по 128 бит ключами длиной 128, 192 или 256 бит, выполняя 10, 12 или 14 раундов — каждый из которых состоит из операций SubBytes (нелинейный S-box), ShiftRows, MixColumns и AddRoundKey, работающих над состоянием размером 4×4 байта.

Режимы работы важнее самого шифра: ECB раскрывает закономерности блоков и не должен применяться никогда, CBC и CTR обеспечивают только конфиденциальность, а аутентифицированные режимы — AES-GCM, AES-CCM, AES-GCM-SIV — также выявляют подделку. GCM уязвим к повторному использованию nonce: повторение одного и того же IV под одним ключом может раскрыть подключ аутентификации GHASH и позволить подделывать сообщения.

Самой сильной опубликованной атакой по-прежнему остаётся biclique-криптоанализ 2011 года, выполненный Богдановым, Ховратовичем и Рехбергером, который восстанавливает ключ AES-128 примерно за 2¹²⁶·¹ операций — лишь в четыре раза быстрее полного перебора, поэтому на практике AES остаётся невзломанным. Реальный риск кроется в реализации: атаки по сторонним каналам через тайминги кэша на программные T-tables подтолкнули внедрение аппаратных решений с постоянным временем выполнения (Intel AES-NI с 2010 года, криптографические расширения ARMv8). Квантовый алгоритм Гровера лишь вдвое снижает эффективную стойкость ключа, поэтому AES-256 считается консервативным выбором для постквантовой эпохи.

flowchart LR
  PT[Blok otkrytogo teksta 128 bit] --> AK0[AddRoundKey]
  K[Klyuch shifrovaniya 128 192 256] --> KE[Rasshirenie klyucha v raundovye klyuchi]
  KE --> AK0
  AK0 --> R{Raundy 1 do n-1}
  R --> SB[SubBytes S-box]
  SB --> SR[ShiftRows]
  SR --> MC[MixColumns]
  MC --> AKn[AddRoundKey]
  AKn --> R
  R --> FR[Finalnyy raund bez MixColumns]
  FR --> CT[Blok shifroteksta]