沿革
Rijndael是由Daemen和Rijmen早期所設計的Square改良而來(lái)；而Square則是由SHARK發(fā)展而來(lái)。
不同于它的前任標準DES，Rijndael使用的是置換-組合架構，而非Feistel架構。AES在軟件及硬件上都能快速地加解密，相對來(lái)說(shuō)較易于實(shí)現，且只需要很少的存儲器。作為一個(gè)新的加密標準，目前正被部署應用到更廣大的范圍。
密碼說(shuō)明
嚴格地說(shuō)，AES和Rijndael加密法并不完全一樣（雖然在實(shí)際應用中二者可以互換），因為Rijndael加密法可以支持更大范圍的區塊和密鑰長(cháng)度：AES的區塊長(cháng)度固定為128 位，密鑰長(cháng)度則可以是128，192或256位；而Rijndael使用的密鑰和區塊長(cháng)度可以是32位的整數倍，以128位為下限，256位為上限。加密過(guò)程中使用的密鑰是由Rijndael密鑰生成方案產(chǎn)生。
大多數AES計算是在一個(gè)特別的有限域完成的。
AES加密過(guò)程是在一個(gè)4×4的字節矩陣上運作，這個(gè)矩陣又稱(chēng)為“體（state）”，其初值就是一個(gè)明文區塊（矩陣中一個(gè)元素大小就是明文區塊中的一個(gè)Byte）。（Rijndael加密法因支持更大的區塊，其矩陣行數可視情況增加）加密時(shí)，各輪AES加密循環(huán)（除最后一輪外）均包含4個(gè)步驟：
AddRoundKey — 矩陣中的每一個(gè)字節都與該次回合金鑰（round key）做XOR運算；每個(gè)子密鑰由密鑰生成方案產(chǎn)生。
SubBytes — 通過(guò)一個(gè)非線(xiàn)性的替換函數，用查找表的方式把每個(gè)字節替換成對應的字節。
ShiftRows — 將矩陣中的每個(gè)橫列進(jìn)行循環(huán)式移位。
MixColumns — 為了充分混合矩陣中各個(gè)直行的操作。這個(gè)步驟使用線(xiàn)性轉換來(lái)混合每?jì)嚷?lián)的四個(gè)字節。
最后一個(gè)加密循環(huán)中省略MixColumns步驟，而以另一個(gè)AddRoundKey取代。
AddRoundKey 步驟
在A(yíng)ddRoundKey 步驟中，將每個(gè)狀態(tài)中的字節與該回合金鑰做異或(⊕)。
AddRoundKey步驟，回合金鑰將會(huì )與原矩陣合并。在每次的加密循環(huán)中，都會(huì )由主密鑰產(chǎn)生一把回合金鑰（通過(guò)Rijndael密鑰生成方案產(chǎn)生），這把金鑰大小會(huì )跟原矩陣一樣，以與原矩陣中每個(gè)對應的字節作異或（⊕）加法。
SubBytes 步驟
在SubBytes步驟中，矩陣中各字節被固定的8位查找表中對應的特定字節所替換,S; bij = S(aij).
在SubBytes步驟中，矩陣中的各字節通過(guò)一個(gè)8位的S-box進(jìn)行轉換。這個(gè)步驟提供了加密法非線(xiàn)性的變換能力。S-box與GF(28)上的乘法反元素有關(guān)，已知具有良好的非線(xiàn)性特性。為了避免簡(jiǎn)單代數性質(zhì)的攻擊，S-box結合了乘法反元素及一個(gè)可逆的仿射變換矩陣建構而成。 此外在建構S-box時(shí)，刻意避開(kāi)了固定點(diǎn)與反固定點(diǎn)，即以S-box替換字節的結果會(huì )相當于錯排的結果。 此條目有針對S-box的詳細描述：Rijndael S-box
ShiftRows 步驟
在ShiftRows 步驟中,矩陣中每一行的各個(gè)字節循環(huán)向左方位移。位移量則隨著(zhù)行數遞增而遞增。
ShiftRows是針對矩陣的每一個(gè)橫列操作的步驟。 在此步驟中，每一行都向左循環(huán)位移某個(gè)偏移量。在A(yíng)ES中（區塊大小128位），第一行維持不變，第二行里的每個(gè)字節都向左循環(huán)移動(dòng)一格。同理，第三行及第四行向左循環(huán)位移的偏移量就分別是2和3。128位和192位的區塊在此步驟的循環(huán)位移的模式相同。經(jīng)過(guò)ShiftRows之后，矩陣中每一豎列，都是由輸入矩陣中的每個(gè)不同列中的元素組成。Rijndael算法的版本中，偏移量和AES有少許不同；對于長(cháng)度256位的區塊，第一行仍然維持不變，第二行、第三行、第四行的偏移量分別是1字節、3字節、4字節。除此之外，ShiftRows操作步驟在Rijndael和AES中完全相同。
MixColumns 步驟
在 MixColumns 步驟中，每個(gè)直行都在modulo x4 + 1之下，和一個(gè)固定多項式 c(x) 作乘法。
在MixColumns步驟，每一直行的四個(gè)字節通過(guò)線(xiàn)性變換互相結合。每一直行的四個(gè)元素分別當作1,x,x2,x3的系數，合并即為GF(28)中的一個(gè)多項式，接著(zhù)將此多項式和一個(gè)固定的多項式c(x) = 3x3 + x2 + x + 2在modulo x4 + 1下相乘。此步驟亦可視為 Rijndael有限域之下的矩陣乘法。MixColumns函數接受4個(gè)字節的輸入，輸出4個(gè)字節，每一個(gè)輸入的字節都會(huì )對輸出的四個(gè)字節造成影響。因此ShiftRows和MixColumns兩步驟為這個(gè)密碼系統提供了擴散性。
以下條目有對MixColumns更加詳細的描述：Rijndael mix columns
加密算法優(yōu)化
使用32或更多位尋址的系統，可以事先對所有可能的輸入建立對應表，利用查表來(lái)實(shí)現SubBytes，ShiftRows 和 MixColumns步驟以達到加速的效果。 這么作需要產(chǎn)生4個(gè)表，每個(gè)表都有256個(gè)格子，一個(gè)格子記載32位的輸出；約占去4KB( 4096 字節 )存儲器空間，即每個(gè)表占去 1KB 的存儲器空間。如此一來(lái)，在每個(gè)加密循環(huán)中，只需要查16次表，作12次32位的XOR運算，以及AddRoundKey步驟中4次32位XOR運算。
若使用的平臺存儲器空間不足4KB，也可以利用循環(huán)交換的方式一次查一個(gè)256格32位的表。
安全性
截至2006年，針對AES唯一的成功攻擊是旁道攻擊。美國國家安全局審核了所有的參與競選AES的最終入圍者（包括Rijndael），認為他們均能夠滿(mǎn)足美國政府傳遞非機密文件的安全需要。2003年6月，美國政府宣布AES可以用于加密機密文件：
The design and strength of all key lengths of the AES algorithm (i.e., 128, 192 and 256) are sufficient to protect classified information up to the SECRET level. TOP SECRET information will require use of either the 192 or 256 key lengths. The implementation of AES in products intended to protect national security systems and/or information must be reviewed and certified by NSA prior to their acquisition and use.
（譯：AES加密算法（使用128，192，和256位密鑰的版本）的安全性，在設計結構及密鑰的長(cháng)度上俱已到達保護機密信息的標準。最高機密信息的傳遞，則至少需要192或256位的密鑰長(cháng)度。用以傳遞國家安全信息的AES實(shí)現產(chǎn)品，必須先由國家安全局審核認證，方能被發(fā)放使用。）
這標志著(zhù)，由美國國家安全局NSA批準在最高機密信息上使用的加密系統首次可以被公開(kāi)使用。許多大眾化產(chǎn)品只使用128位密鑰當作默認值；由于最高機密文件的加密系統必須保證數十年以上的安全性，故推測NSA可能認為128位太短，才以更長(cháng)的密鑰長(cháng)度為最高機密的加密保留了安全空間。
通常破解一個(gè)區塊加密系統最常見(jiàn)的方式，是先對其較弱版本（加密循環(huán)次數較少）嘗試各種攻擊。AES中128位密鑰版本有10個(gè)加密循環(huán)，192位密鑰版本有12個(gè)加密循環(huán)，256位密鑰版本則有14個(gè)加密循環(huán)。至2006年為止，最著(zhù)名的攻擊是針對AES 7次加密循環(huán)的128位密鑰版本，8次加密循環(huán)的192位密鑰版本，和9次加密循環(huán)的256位密鑰版本所作的攻擊。
由于已遭破解的弱版的AES，其加密循環(huán)數和原本的加密循環(huán)數相差無(wú)幾，有些密碼學(xué)家開(kāi)始擔心AES的安全性：要是有人能將該著(zhù)名的攻擊加以改進(jìn)，這個(gè)區塊加密系統就會(huì )被破解。在密碼學(xué)的意義上，只要存在一個(gè)方法，比暴力搜索密鑰還要更有效率，就能被視為一種“破解”。故一個(gè)針對AES 128位密鑰的攻擊若“只”需要2120計算復雜度（少于暴力搜索法 2128），128位密鑰的AES就算被破解了；即便該方法在目前還不實(shí)用。從應用的角度來(lái)看，這種程度的破解依然太不切實(shí)際。最著(zhù)名的暴力攻擊法是distributed.net針對64位密鑰RC5所作的攻擊。（該攻擊在2002年完成。根據摩爾定律，到2005年12月，同樣的攻擊應該可以破解66位密鑰的RC5。）
其他的爭議則著(zhù)重于A(yíng)ES的數學(xué)結構。不像其他區塊加密系統，AES具有相當井然有序的代數結構。[3]雖然相關(guān)的代數攻擊尚未出現，但有許多學(xué)者認為，把安全性建立于未經(jīng)透徹研究過(guò)的結構上是有風(fēng)險的。Ferguson，Schroeppel 和 Whiting 因此寫(xiě)道：“...我們很擔心 Rijndael [AES] 算法應用在機密系統上的安全性?！?br>
2002年，Nicolas Courtois 和 Josef Pieprzyk發(fā)表名為XSL 攻擊的理論性攻擊，試圖展示AES一個(gè)潛在的弱點(diǎn)。但幾位密碼學(xué)專(zhuān)家發(fā)現該攻擊的數學(xué)分析有點(diǎn)問(wèn)題，推測應是作者的計算有誤。因此，這種攻擊法是否對AES奏效，仍是未解之謎。就現階段而言，XSL攻擊AES的效果不十分顯著(zhù)，故將之應用于實(shí)際情況的可能性并不高。
旁道攻擊
旁道攻擊不攻擊密碼本身，而是攻擊那些實(shí)現于不安全系統（會(huì )在不經(jīng)意間泄漏信息）上的加密系統。
2005年4月，D.J. Bernstein公布了一種緩存時(shí)序攻擊法，他以此破解了一個(gè)裝載OpenSSL AES加密系統的客戶(hù)服務(wù)器。為了設計使該服務(wù)器公布所有的時(shí)序信息，攻擊算法使用了2億多條篩選過(guò)的明碼。有人認為，對于需要多個(gè)跳躍的國際互聯(lián)網(wǎng)而言，這樣的攻擊方法并不實(shí)用。 [4]Bruce Schneier稱(chēng)此攻擊為“好的時(shí)序攻擊法”。[5]
2005年10月，Eran Tromer和另外兩個(gè)研究員發(fā)表了一篇論文，展示了數種針對AES的緩存時(shí)序攻擊法(PDF)。其中一種攻擊法只需要800個(gè)寫(xiě)入動(dòng)作，費時(shí)65毫秒，就能得到一把完整的AES密鑰。但攻擊者必須在運行加密的系統上擁有運行程序的權限，方能以此法破解該密碼系統。
以上文章來(lái)源
http://en.wikipedia.org/wiki/Advanced_Encryption_Standard
http://zh.wikipedia.org/zh-cn/高級加密標準
延伸閱讀
Federal Information
Processing Standards Publication 197
聯(lián)邦信息處理標準 197#
http://csrc.nist.gov/publications/fips/fips197/fips-197.pdf
對于PC用戶(hù)
2003年 位于臺北新店的威盛電子（VIA）在x86系統上實(shí)現了 快速的“高級加密標準”安全引擎——VIA PadLock Security Engine
http://www.via.com.tw/en/initiatives/padlock/hardware.jsp#aes
使得桌面用戶(hù)也可以體驗到這種現代的先進(jìn)的加密方案 只可惜 因為市場(chǎng)占有率的緣故 大多數民眾都沒(méi)有這個(gè)機會(huì )……
在隨后的幾年 intel 和 AMD 也都在做著(zhù)快速打開(kāi)AES的努力 豐富了指令 外加革新編譯器之后 安裝在伺服器上的至強和皓龍都已經(jīng)大跨步的提升了 AES加密/解密 的效能
不過(guò)直到前一年 intel 才在部分桌面產(chǎn)品（看這里 http://www.intel.com/cd/channel/reseller/apac/zht/444120.htm）中增加全新的AES-NI指令集
所以我們看到了一顆core i7 8/9系列處理器在整數/浮點(diǎn)運算效能上2倍于core i5 6系列處理器 卻在A(yíng)ES加密/解密效能上落后100%～300%（比如殺軟 bitdefender）
當然 在更多的 辦公 多媒體娛樂(lè )和游戲中 AES-NI指令集還不能參與到其中
更詳細的資訊 intel 官方白皮書(shū)
http://www.intel.com/Assets/en_US/PDF/whitepaper/Intel_AES-NI_White_Paper.pdf
AMD的新指令集會(huì )出現在 bulldozer 中
是的 就是那個(gè)在收購ATi之前就發(fā)布概念 一路跳票到今天的bulldozer
"IBM前工程師Chuck Moore 領(lǐng)導的團隊 還要忍受幾多沒(méi)有工廠(chǎng)來(lái)試產(chǎn)晶圓的尷尬局面 才能等到全新的“AMD POWER”架構
這真是個(gè)很不錯的餐后談資 對于一個(gè)為 AMD-ATi 敲opengl指令的工程師來(lái)說(shuō) 沒(méi)有比這更好的消化劑了 8-)
『AMD收購ATi后 德累斯頓就沒(méi)有主動(dòng)更新過(guò)制造工藝 反倒是臺積電不斷帶來(lái)驚喜 AMD的CFO用100個(gè)數（AMD的市值只有40億美刀）的算盤(pán)清楚的告訴全體董事會(huì )成員：“晶圓廠(chǎng)沒(méi)有為股東們作出貢獻 我們覺(jué)得是否到了該改變的時(shí)候了（其實(shí)他們早已經(jīng)決定了）只有C.M.被蒙在鼓里 $』"
聯(lián)系客服
