Mostrar código-fonte de Advanced Encryption Standard

{{Ver desambig|prefixo=Se procura|pela empresa multinacional AES|AES Corporation}}
{{Revisão|data=Fevereiro de 2008}}

{{Descrição curta|Padrão para a criptografia de dados eletrônicos}}

{{infobox
|title=Padrão de criptografia avançada<br><br>(AES)<br><br>(Rijndael)
|image={{#invoke:InfoboxImage|InfoboxImage|image=[[File:AES (Rijndael) Round Function.png|250px]]}}
|caption=Visualização da função de rodada AES

|header1=Geral

|label2=Designers
|data2=[[Vincent Rijmen]] e <!-- [[Joan Daemen]] -->Joan Daemen
|label3=Publicado pela primeira vez
|data3=1998
|label5=Derivado de
|data5=<!-- [[:en:Square_(cipher)]] -->Square
|label6=Sucessores
|data6=<!-- [[Anubis (cipher)]] -->Anubis, <!-- [[:en:Grand_Cru_(cipher)]] -->Grand Cru, <!-- [[:en:Kalyna_(cipher)]] -->Kalyna
|label8=Certificações
|data8=<!-- [[Advanced Encryption Standard process]] -->Vencedor AES, <!-- [[:en:CRYPTREC]] -->CRYPTREC, <!-- [[:en:NESSIE]]-->NESSIE, [[National Security Agency|NSA]]

|header9= Detalhe de cifra

|label11=Tamanhos das chaves
|data11=128, 192 ou 256 bits{{nota de rodapé|Chaves de 128, 160, 192, 224 e 256 bits são suportadas pelo algoritmo Rijndael, mas apenas as chaves de 128, 192 e 256 bits são especificadas no padrão AES.}}
|label13=<!-- [[:en:Block_size_(cryptography)]] -->Tamanho dos blocos
|data13=128 bits{{nota de rodapé|Blocos de 128, 160, 192, 224 e 256 bits para cada chave são suportados pelo algoritmo Rijndael, mas apenas o bloco de 128 bits é especificado no padrão AES.}}
|label15=Estrutura
|data15=<!-- [[:en:Substitution–permutation network]] -->Rede de substituição-permutação
|label16=Rodadas
|data16=10, 12 ou 14 (dependendo do tamanho da chave)
|header18=Melhor [[criptoanálise]] pública
|below=Foram publicados ataques que são computacionalmente mais rápidos do que um [[ataque de força bruta]] completo, embora nenhum deles, em 2013, seja computacionalmente viável.<ref name="aesbc">{{citar web
|url=http://research.microsoft.com/en-us/projects/cryptanalysis/aesbc.pdf
|arquivo-url=https://web.archive.org/web/20160306104007/http://research.microsoft.com/en-us/projects/cryptanalysis/aesbc.pdf
|arquivo-data=06-03-2016
|título=Biclique cryptanalysis of the full AES
|língua=en
|títulotrad=Criptoanálise biclique do ''AES'' completo
|acessodata=03-05-2021
|urlmorta=Sim}}</ref> Para o ''AES''-128, a chave pode ser recuperada com uma complexidade computacional de 2<sup>126,1</sup> usando o <!-- [[:en:Biclique_attack]] --> ataque biclique. Para ataques biclique em ''AES''-192 e ''AES''-256, as complexidades computacionais são, respectivamente, de 2<sup>189,7</sup> e 2<sup>254,4</sup>. [[Ataque de chave relacionada|Ataques de chaves relacionadas]] podem, respectivamente, "quebrar" o ''AES''-256 e o ''AES''-192 com complexidades de 2<sup>99,5</sup> e 2<sup>176</sup> em tempo e dados.<ref name=relkey>
{{citar web
|primeiro1=Alex
|último1=Biryukov
|primeiro2=Dmitry
|último2=Khovratovich
|url=http://eprint.iacr.org/2009/317
|título=Related-key cryptanalysis of the full AES-192 and AES-256
|títulotrad=Criptoanálise de chaves relacionadas do ''AES''-192 e ''AES''-256 completo
|língua=en
|acessodata=03-05-2021
|arquivo-url=https://web.archive.org/web/20090928014006/http://eprint.iacr.org/2009/317
|arquivo-data=28-09-2009
|at=Table 1}}
</ref>
| belowstyle = line-height: 1.25em; text-align: left
}}

O '''padrão de criptografia avançada - advanced encryption standard (AES)''', também conhecido por seu nome original '''Rijndael''',<ref name="Rijndael-ammended.pdf" /> é uma especificação para a criptografia de dados eletrônicos estabelecida pelo instituto nacional de padrões e tecnologia dos E.U.A. (''NIST'') em 2001.<ref name="fips-197">
{{citar web
|url=http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf
|título=Announcing the advanced encryption standard (AES)
|data=26-11-2001
|acessodata=03-05-2021
|obra=Federal information processing standards publication 197
|publicado=[[Instituto Nacional de Padrões e Tecnologia|Instituto nacional de padrões e tecnologia dos E.U.A. (''NIST'')]]
|língua=en
|títulotrad=Anunciando o padrão de criptografia avançada (''AES'')
|arquivo-url=https://web.archive.org/web/20170312045558/http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf
|arquivo-data=12-03-2017}}
</ref>

O ''AES'' é um [[subconjunto]] da [[cifra de bloco]] ''Rijndael''<ref name="Rijndael-ammended.pdf">
{{citar web
|primeiro2=Vincent
|url=http://csrc.nist.gov/archive/aes/rijndael/Rijndael-ammended.pdf#page=1
|título=AES Proposal: Rijndael |data=09-03-2003
|acessodata=02-05-2021
|publicado=[[Instituto Nacional de Padrões e Tecnologia|Instituto nacional de padrões e tecnologia dos E.U.A. (''NIST'')]]
|página=1
|língua=en
|titulotrad=Proposta ''AES'': ''Rijndael''
|último1=Daemen
|primeiro1=Joan
|último2=Rijmen
|arquivo-url=https://web.archive.org/web/20130305143117/http://csrc.nist.gov/archive/aes/rijndael/Rijndael-ammended.pdf#page=1
|arquivo-data=05-03-2013}}
</ref> desenvolvida por dois criptógrafos [[belgas]], [[Vincent Rijmen]] e Joan Daemen, que submeteram uma proposta<ref name="Rijndaelv2">
{{citar web
|primeiro2=Joan
|url=http://csrc.nist.gov/CryptoToolkit/aes/rijndael/Rijndael.pdf
|título=AES Proposal: Rijndael |data=03-09-1999
|língua=en
|títulotrad=Proposta ''AES'': ''Rijndael''
|urlmorta=sim
|arquivo-url=https://web.archive.org/web/20070203204845/https://csrc.nist.gov/CryptoToolkit/aes/rijndael/Rijndael.pdf
|arquivo-data=03-02-2007
|último2=Daemen
|primeiro1=Vincent
|último1=Rijmen
|acessodata=03-05-2021}}
</ref> ao ''NIST'' durante o <!-- [[:en:Advanced Encryption Standard process]] -->processo de seleção do ''AES''.<ref>
{{Cite news
|url=https://www.nytimes.com/2000/10/03/business/technology-us-selects-a-new-encryption-technique.html
|título=U.S.A. selects a new encryption technique
|data=03-10-2000
|autor=John Schwartz
|língua=en
|títulotrad=E.U.A. seleciona uma nova técnica de criptografia
|newspaper=New York Times
|arquivo-url=https://web.archive.org/web/20170328215407/http://www.nytimes.com/2000/10/03/business/technology-us-selects-a-new-encryption-technique.html
|arquivo-data=28-03-2017
|acessodata=03-05-2021}}
</ref> A ''Rijndael'' é uma família de cifras com diferentes tamanhos de chave e bloco. Para o ''AES'', o ''NIST'' selecionou três membros da família ''Rijndael'', cada um com um tamanho de bloco de 128 ''bits'', mas três comprimentos de chave diferentes: 128, 192 e 256 ''bits''.

O ''AES'' foi adotado pelo [[Governo dos Estados Unidos|governo dos Estados Unidos da América]]. Ele substitui o [[Data Encryption Standard|padrão de criptografia de dados]] (''DES''),<ref>
{{cite news
|último=Westlund
|primeiro=Harold B.
|url=http://www.findarticles.com/p/articles/mi_m0IKZ/is_3_107?pnum=2&opg=90984479
|título=NIST reports measurable success of advanced encryption standard
|obra=Journal of Research of the National Institute of Standards and Technology
|ano=2002
|língua=en
|títulotrad=''NIST'' relata sucesso mensurável de padrão de criptografia avançado
|urlmorta=sim
|arquivo-url=https://web.archive.org/web/20071103105501/http://findarticles.com/p/articles/mi_m0IKZ/is_3_107?pnum=2&opg=90984479
|arquivo-data=03-11-2007
|acessodata=03-05-2021}}
</ref> que foi publicado em 1977. O algoritmo descrito pelo ''AES'' é um [[algoritmo de chave simétrica]], o que significa que a mesma chave é usada para criptografar e descriptografar os dados.

Nos Estados Unidos da América, o ''AES'' foi anunciado pelo ''NIST'' como ''U.S. [[Federal Information Processing Standards|FIPS]] PUB'' 197 (''FIPS'' 197) em 26 de novembro de 2001.<ref name="fips-197" /> Este anúncio seguiu um processo de padronização de cinco anos no qual quinze ''designs'' concorrentes foram apresentados e avaliados, antes que a cifra de ''Rijndael'' fosse selecionada como a mais adequada (consulte o <!-- [[:en:Advanced Encryption Standard process]] -->processo de padrão de criptografia avançada para obter mais detalhes).

O ''AES'' está incluído no padrão ''[[Organização Internacional de Normalização|ISO]]''/''[[Comissão Eletrotécnica Internacional|IEC]]'' <!-- [[:en:List_of_International_Organization_for_Standardization_standards,_18000-19999]] -->18033-3. O ''AES'' tornou-se efetivo como um padrão do governo federal dos E.U.A. em 26 de maio de 2002, após a aprovação do [[Secretário do Comércio dos Estados Unidos|secretário de comércio dos E.U.A]]. O ''AES'' está disponível em muitos pacotes de criptografia diferentes e é a primeira (e única) [[cifra]] acessível publicamente aprovada pela [[Agência de Segurança Nacional|agência de segurança nacional dos E.U.A]]. (''NSA'') para informações ultrassecretas quando usada em um módulo criptográfico aprovado pela ''NSA'' (consulte [[Advanced Encryption Standard#Segurança|Segurança do ''AES'']], abaixo)

== Padrões definitivos ==

O ''advanced encryption standard'' (AES) é definido em cada um dos seguintes:

* ''FIPS PUB'' 197: Padrão de criptografia avançado (''advanced encryption standard'' - ''AES'')<ref name="fips-197" />
* ISO/IEC 18033-3: Cifras de bloco<ref name="ISO_IEC_AES">
{{citar web
|url=http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?csnumber=54531
|título=ISO/IEC 18033-3: Information technology – Security techniques – Encryption algorithms – Part 3: Block ciphers
|acessodata=01-05-2021
|publicado=International organization for standardization
|língua=en
|títulotrad=ISO/IEC 18033-3: Tecnologia da informação - Técnicas de segurança - Algoritmos de criptografia - Parte 3: Cifras de bloco
|arquivo-url=https://web.archive.org/web/20131203003348/http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?csnumber=54531
|arquivo-data=03-12-2013}}</ref>

== Descrição das cifras ==

O ''AES'' é baseado em um princípio de ''design'' conhecido como <!-- [[:en:Substitution%E2%80%93permutation_network]] -->rede de substituição-permutação, e é eficiente tanto em ''software'' quanto em ''hardware''.<ref>
{{citar web
|url=http://www.schneier.com/paper-twofish-final.pdf
|título=The twofish team's final comments on AES selection
|display-authors=7
|autor=Bruce Schneier
|autor2=John Kelsey
|autor3=Doug Whiting
|autor4=David Wagner
|autor5=Chris Hall
|autor6=Niels Ferguson
|autor7=Tadayoshi Kohno
|autor8=Mike Stay
|data=05-2000
|arquivo-url=https://web.archive.org/web/20100102041117/http://schneier.com/paper-twofish-final.pdf
|arquivo-data=02-01-2010
|acessodata=03-05-2021}}
</ref> Ao contrário de seu predecessor, o ''DES'', o ''AES'' não usa uma [[cifra Feistel]]. O ''AES'' é uma variante do Rijndael, com um <!-- [[:en:Block_size_(cryptography)]] --> tamanho de bloco fixo de 128 ''[[bit]]s'' e um <!-- [[:en:Key_size]]--> tamanho de chave de 128, 192 ou 256 ''bits''. Em contraste, Rijndael "''per se''" é especificado com tamanhos de bloco e chave que podem ser qualquer múltiplo de 32 ''bits'', com um mínimo de 128 e um máximo de 256 ''bits''. 

O ''AES'' opera em um arranjo de ''bytes'' de [[ordem principal de linha e de coluna]] 4 × 4, denominada ''estado''.{{nota de rodapé|As variantes Rijndael de bloco grande usam um arranjo com colunas adicionais, mas sempre com quatro linhas.}} A maioria dos cálculos ''AES'' são feitos em um determinado <!--[[:en:Finite field arithmetic]]-->campo finito.

Por exemplo, 16 bytes, <math>b_0, b_1, ..., b_ {15}</math> são representados como este arranjo bidimensional:
::<math>
\begin{bmatrix}
b_0 & b_4 & b_8 & b_{12} \\
b_1 & b_5 & b_9 & b_{13} \\
b_2 & b_6 & b_{10} & b_{14} \\
b_3 & b_7 & b_{11} & b_{15}
\end{bmatrix}
</math>

O tamanho de chave usado para uma cifra ''AES'' especifica o número de rodadas de transformação que convertem a entrada, chamada de [[texto simples]], na saída final, chamada de <!-- [[:en:Ciphertext]] -->texto cifrado. O número de rodadas é o seguinte:

* 10 rodadas para chaves de 128 bits.
* 12 rodadas para chaves de 192 bits.
* 14 rodadas para chaves de 256 bits.

Cada rodada consiste em várias etapas de processamento, incluindo uma que depende da própria chave <!-- criptográfica -->de criptografia. Um conjunto de rodadas reversas é aplicado para transformar o texto cifrado de volta ao texto plano original usando a mesma chave <!-- criptográfica -->de criptografia.

=== Descrição de alto nível do algoritmo ===

# {{mono|KeyExpansion}} {{snd}} as chaves das rodadas são derivadas da chave de cifragem usando o <!-- [[:en:AES_key_schedule]] -->planejamento de chave ''AES''. O ''AES'' requer uma rodada, de bloco, de chave de 128 ''bits'' separada para cada rodada mais um.
# Adição da chave da rodada inicial:
## {{mono|AddRoundKey}} {{snd}} cada ''byte'' do estado é combinado com um ''byte'' da chave da rodada usando <!-- [[:en:Bitwise_xor]] -->[[Lógica binária#XOR|operações ''bit'' a ''bit xor'']].
# 9, 11 ou 13 rodadas:
## {{mono|SubBytes}} {{snd}} uma etapa de substituição não [[Transformação linear|linear]] onde cada ''byte'' é substituído por outro de acordo com <!-- [[:en:Rijndael_S-box]] -->uma <!-- [[:en:Lookup_table]] -->tabela de pesquisa.
## {{mono|ShiftRows}} {{snd}}uma etapa de transposição em que as três últimas linhas do estado são deslocadas ciclicamente em um certo número de etapas.
## {{mono|MixColumns}} {{snd}}uma operação <!-- linear de mistura -->de mistura linear que opera nas colunas do estado, combinando os quatro ''bytes'' em cada coluna.
## {{mono|AddRoundKey}}
# Rodada final (fazendo 10, 12 ou 14 rodadas no total):
## {{mono|SubBytes}}
## {{mono|ShiftRows}}
## {{mono|AddRoundKey}}

=== A etapa {{mono|SubBytes}} ===

<!-- {{Main|Rijndael S-box}} -->

[[Image:AES-SubBytes.svg|right|320px|thumbnail|Na fase {{mono|SubBytes}}, cada ''byte'' no estado é substituído por sua entrada em uma tabela de pesquisa fixa de 8 ''bits'', ''S''; ''b<sub>ij</sub>'' = ''S(a<sub>ij</sub>)''.]]
Na etapa {{mono|SubBytes}}, cada ''byte'' <math>a_ {i, j}</math> no arranjo de ''estado'' é substituído por um {{mono|SubByte}} <math>S (a_ {i, j})</math> usando uma <!-- [[:en:Substitution_box]] -->caixa de substituição de 8 ''bits''. Esta operação fornece a não linearidade na [[cifra]]. A caixa de substituição  usada é derivada do [[inverso multiplicativo]] sobre {{math|[[Corpo finito|''GF'']](2<sup>8</sup>)}}, conhecido por ter boas propriedades de não linearidade. Para evitar ataques baseados em propriedades algébricas simples, a caixa de substituição é construída combinando a [[função inversa]] com uma [[transformação afim]] invertível. A caixa de substituição também é escolhida para evitar quaisquer pontos fixos (e assim é um [[desarranjo]]), ou seja, <math> S(a_{i,j}) \neq a_{i,j} </math>, e também quaisquer pontos fixos opostos, ou seja, <math> S(a_{i,j}) \oplus a_{i,j} \neq \text{FF}_{16} </math>. Ao realizar a descriptografia, a etapa {{mono|InvSubBytes}} (o inverso de {{mono|SubBytes}}) é usada, o que requer primeiro pegar o inverso da transformação afim e então encontrar o inverso multiplicativo.

=== A etapa {{mono|ShiftRows}} ===

[[Image:AES-ShiftRows.svg|right|320px|thumbnail|Na etapa {{mono|ShiftRows}},  ''bytes'' em cada linha de estado são deslocados ciclicamente para a esquerda. O número de casas em que cada ''byte'' é deslocado difere incrementalmente para cada linha.]]

A etapa {{mono|ShiftRows}} opera nas filas de estado. Ela desloca ciclicamente os ''bytes'' em cada linha por um certo [[Offset (ciência da computação)|offset]]. Para o ''AES'', a primeira linha permanece inalterada. Cada ''byte'' da segunda linha é deslocado um para a esquerda. Da mesma forma, a terceira e a quarta linha são deslocadas por deslocamentos de duas e três, respectivamente.{{nota de rodapé|As variantes de Rijndael com um tamanho de bloco maior têm deslocamentos ligeiramente diferentes. Para blocos de tamanhos 128 e 192 ''bits'', o padrão de deslocamento é o mesmo. A linha <math>n</math> é deslocada para a esquerda circular em <math>n-1</math> ''bytes''. Para um bloco de 256 ''bits'', a primeira linha permanece inalterada e o deslocamento para a segunda, terceira e quarta linha é de 1, 3 e 4 ''bytes'', respectivamente (esta alteração só se aplica à cifra de Rijndael quando usada com um bloco de 256 ''bits'', já que o ''AES'' não usa blocos de 256 ''bits''}} Desta forma, cada coluna de saída de estado da etapa {{mono|ShiftRows}} é composta de ''bytes'' de cada coluna de entrada de estado. A importância desta etapa é evitar que as colunas sejam criptografadas de forma independente, caso em que o ''AES'' degeneraria em quatro cifras de bloco independentes.

=== A etapa {{mono|MixColumns}} ===

<!-- {{main|Rijndael MixColumns}} -->

[[Image:AES-MixColumns.svg|right|320px|thumbnail|Na etapa {{mono|MixColumns}}, cada coluna de estado é multiplicada por um polinômio fixo <math>c(x)</math>.]]

Na etapa {{mono|MixColumns}}, os quatro ''bytes'' de cada coluna de estado são combinados usando uma [[transformação linear]] invertível. A função {{mono|MixColumns}} leva quatro ''bytes'' como entrada e produz quatro ''bytes'', onde cada ''byte'' de entrada afeta todos os quatro ''bytes'' de saída. Junto com o {{mono|ShiftRows}}, o {{mono | MixColumns}} fornece <!-- [[:en:Confusion_and_diffusion]] -->difusão na cifra.

Durante esta operação, cada coluna é transformada usando uma matriz fixa (a matriz multiplicada à esquerda pela coluna fornece o novo valor da coluna no estado):

::<math>
\begin{bmatrix}
b_{0,j} \\ b_{1,j} \\ b_{2,j} \\ b_{3,j}
\end{bmatrix} = \begin{bmatrix}
2 & 3 & 1 & 1 \\
1 & 2 & 3 & 1 \\
1 & 1 & 2 & 3 \\
3 & 1 & 1 & 2
\end{bmatrix} \begin{bmatrix}
a_{0,j} \\ a_{1,j} \\ a_{2,j} \\ a_{3,j}
\end{bmatrix}
\qquad 0 \le j \le 3
</math>

A multiplicação da matriz é composta pela multiplicação e adição das entradas. As entradas são ''bytes'' tratados como coeficientes de polinômio de ordem <math>x^7</math>. A adição é simplesmente ''XOR''. A multiplicação é um polinômio modulo irredutível <math>x^8+x^4+x^3+x+1</math>. Se processado ''bit'' a ''bit'', então, após o deslocamento, um condicional ''[[Ou exclusivo|XOR]]'' com 1B<sub>16</sub> deve ser executado se o valor deslocado for maior que FF<sub>16</sub> (o estouro deve ser corrigido pela subtração do polinômio gerador). Estes são casos especiais da multiplicação usual em <math>\operatorname{GF}(2 ^ 8)</math>. 

Em um sentido mais geral, cada coluna é tratada como um polinômio sobre <math>\operatorname{GF}(2^8)</math> e é então o módulo multiplicado <math>{01}_{16} \cdot z^4+{01}_{16}</math> com um polinômio fixo <math>c(z) = {03}_{16} \cdot z^3 + {01}_{16} \cdot z^2 +{01}_{16} \cdot z + {02}_{16}</math>. Os coeficientes são exibidos em seus [[Sistema de numeração hexadecimal|hexadecimais]] equivalentes da representação binária de polinômios de bits de <math>\operatorname{GF}(2)[x]</math>. A etape {{mono|MixColumns}} também pode ser vista como uma multiplicação pela matriz ''MDS'' particular mostrada no [[Corpo finito|campo finito]] <math>\operatorname{GF}(2^8)</math>. Este processo é descrito mais detalhadamente no artigo <!-- [[:en:Rijndael MixColumns]] -->''Rijndael MixColumns''.

=== A etapa {{mono|AddRoundKey}}  ===

[[Image:AES-AddRoundKey.svg|right|320px|thumbnail|Na etapa {{mono|AddRoundKey}}, cada ''byte'' de estado é combinado com um ''byte'' da subchave da rodada usando a operação [[Ou exclusivo|''XOR'']] (⊕).]]
Na etapa {{mono|AddRoundKey}}, a subchave é combinada com o estado. Para cada rodada, uma subchave é derivada da [[chave (criptografia)|chave]] principal usando o <!-- [[:en:AES key schedule]] -->planejamento de chave AES e cada subchave tem o mesmo tamanho que o estado. A subchave é adicionada combinando cada ''byte'' de estado com o ''byte'' correspondente da subchave usando o [[Ou exclusivo|''XOR'']] ''bit'' a ''bit''.

=== Otimização da cifra ===

Em sistemas com palavras de 32 ''bits'' ou mais, é possível acelerar a execução desta cifra combinando as etapas {{mono|SubBytes}} e {{mono | ShiftRows}} com a etapa {{mono|MixColumns}}, transformando-as em uma sequência de pesquisas de tabela. Isso requer quatro tabelas de 32 ''bits'' de 256 entradas (ocupando, juntas, 4096 ''bytes''). Uma rodada pode então ser realizada com 16 operações de pesquisa de tabela e 12 operações ''XOR'' de 32 ''bits'', seguidas por quatro operações ''XOR'' de 32 ''bits'' na etapa {{mono|AddRoundKey}}.<ref>
{{citar web
|url=https://doi.org/10.1007%2F3-540-36400-5_13
|título=Efficient software implementation of AES on 32-bit platforms
|acessodata=01-05-2021
|língua=en
|títulotrad=Implementação de ''software AES'' eficiente  em plataformas de 32 ''bits''
|obra=Lecture notes in computer science: 2523
|ano=2003}}
</ref> Como alternativa, a operação de pesquisa de tabela pode ser realizada com uma única tabela de 32 ''bits'' de 256 entradas (ocupando 1024 ''bytes'') seguida por operações de rotação circular.

Usando uma abordagem orientada a ''bytes'', é possível combinar as etapas {{mono|SubBytes}}, {{mono|ShiftRows}} e {{mono|MixColumns}} em uma operação de rodada única.<ref>
{{citar web
|url=https://code.google.com/p/byte-oriented-aes
|título=byte-oriented-aes – A public domain byte-oriented implementation of AES in C – Google Project Hosting
|língua=en
|títulotrad=''AES'' orientado a ''bytes'' - Uma implementação ''AES'' em ''C'' orientada a ''bytes'' de domínio público - Google Project Hosting
|acessodata=01-05-2021
|arquivo-url=https://web.archive.org/web/20130720155538/http://code.google.com/p/byte-oriented-aes/
|arquivo-data=20-07-2013}}
</ref>

== Segurança ==

A [[Agência de Segurança Nacional]] (''National Security Agency'' - ''NSA'') analisou todos os finalistas do ''AES'', incluindo ''Rijndael'', e afirmou que todos eles eram seguros o suficiente para dados não classificados do governo dos Estados Unidos da América. Em junho de 2003, o governo dos EUA anunciou que o ''AES'' poderia ser usado para proteger [[Informação confidencial|informações classificadas]]:
<blockquote>O projeto e a força de todos os comprimentos de chave do algoritmo ''AES'' (ou seja, 128, 192 e 256) são suficientes para proteger as informações classificadas até o nível '''secreto'''. As informações '''ultrassecretas''' exigirão o uso 
de chaves de comprimento 192 ou 256. A implementação de ''AES'' em produtos destinados à proteção de sistemas e/ou informações de segurança nacional deve ser revisada e certificada pela ''NSA'' antes de sua aquisição e uso.<ref>
{{citar web
|url=http://csrc.nist.gov/groups/ST/toolkit/documents/aes/CNSS15FS.pdf
|título=National policy on the use of the advanced encryption standard (AES) to protect national security systems and national security information
|data=06-2003
|acessodata=01-05-2021
|website=[https://csrc.nist.gov/ Computer security resource center (CSRC) ]
|publicado=[[Instituto Nacional de Padrões e Tecnologia|Instituto nacional de padrões e tecnologia (''NIST'')]]
|autor=Lynn Hathaway
|língua=en
|títulotrad=Política nacional sobre o uso do padrão de criptografia avançado (''AES'') para proteger os sistemas de segurança nacional e as informações de segurança nacional
|arquivo-url=https://web.archive.org/web/20101106122007/http://csrc.nist.gov/groups/ST/toolkit/documents/aes/CNSS15FS.pdf
|arquivo-data=06-11-2010}}
</ref></blockquote>

O ''AES'' tem 10 rodadas para chaves de 128 ''bits'', 12 rodadas para chaves de 192 ''bits'' e 14 rodadas para chaves de 256 ''bits''.

Em 2006, os ataques mais conhecidos foram em 7 rodadas para chaves de 128 ''bits'', 8 rodadas para chaves de 192 ''bits'' e 9 rodadas para chaves de 256 ''bits''.<ref name="improved"><!-- [[:en:John_Kelsey_(cryptanalyst)]] -->John Kelsey, <!-- [[:en:Stefan_Lucks]] -->Stefan Lucks, [[Bruce Schneier]], Mike Stay, <!-- [[:en:David_A._Wagner]] -->David Wagner e Doug Whiting, ''Improved cryptanalysis of Rijndael'', <!-- [[:en:International_Association_for_Cryptologic_Research#Fast_Software_Encryption]] -->Fast software encryption, 2000 páginas 213 à 230 {{citar web
|url=http://www.schneier.com/paper-rijndael.html
|título=Academic: Improved cryptanalysis of Rijndael - Schneier on security
|títulotrad=Acadêmico: criptanálise aprimorada de Rijndael - Schneier sobre segurança
|acessodata=01-05-2021
|língua=en
|arquivo-url=https://web.archive.org/web/20070223215007/http://www.schneier.com/paper-rijndael.html
|arquivo-data=23-02-2007}}
</ref>

== Validação NIST/CSEC ==

O <!-- [[Cryptographic_Module_Validation_Program]]--> programa de validação de módulo criptográfico (''CMVP'') é operado, em conjunto, pela divisão de segurança informática do governo dos Estados Unidos [[Instituto Nacional de Padrões e Tecnologia|instituto nacional de padrões e tecnologia]] (''NIST'') e o [[CSE|estabelecimento de segurança de comunicações]] (''CSE'') do governo do Canadá. O uso de módulos criptográficos validados para ''NIST <!-- [[:en:FIPS_140-2]] --> FIPS 140-2'' é exigido pelo governo dos Estados Unidos para a criptografia de todos os dados que tenham uma classificação de "sensível, mas não classificado (''SBU'') ou superior". Do ''NSTISSP'' #11, política nacional que rege a aquisição de garantia de informações: “Os produtos de criptografia para proteção de informações classificadas serão certificados pela ''NSA'' e os produtos de criptografia destinados à proteção de informações confidenciais serão certificados de acordo com o ''NIST FIPS'' 140-2.”<ref name="cnss.gov">
{{citar web
|url=http://www.cnss.gov/Assets/pdf/nstissp_11_fs.pdf
|título=Archived copy
|títulotrad=Cópia arquivada
|acessodata=03-05-2021
|arquivo-url=https://web.archive.org/web/20120421103818/http://www.cnss.gov/Assets/pdf/nstissp_11_fs.pdf
|arquivo-data=21-04-2012}}
</ref>

O governo do Canadá também recomenda o uso de módulos criptográficos validados <!--[[:en:FIPS_140]] -->''FIPS 140'' em aplicações não classificadas de seus departamentos.

Embora a publicação ''NIST'' 197 ("''FIPS'' 197") seja o documento único que cobre o algoritmo ''AES'', os fornecedores normalmente abordam o ''CMVP'' sob o ''FIPS'' 140 e pedem para ter vários algoritmos (como o [[3DES|''DES'' triplo]] ou o ''[[ SHA-1]]'') validados ao mesmo tempo. Portanto, é raro encontrar módulos criptográficos que sejam validados exclusivamente pelo ''FIPS 197'' e o próprio ''NIST'', geralmente, não se preocupa em listar os módulos validados pelo ''FIPS 197'' separadamente em seu site público. Em vez disso, a validação ''FIPS 197'' é, normalmente, listada apenas como uma notação "''FIPS'' aprovado: ''AES''" (com um número de certificado ''FIPS'' 197 específico) na lista atual de módulos criptográficos validados ''FIPS'' 140.

O programa de validação de algoritmo criptográfico (''CAVP'')<ref>
{{citar web
|url=http://csrc.nist.gov/groups/STM/cavp/index.html
|título=NIST.gov – Computer security division – Computer security resource center
|títulotrad=NIST.gov - Divisão de segurança de computadores - Centro de recursos de segurança de computadores
|publicado=Csrc.nist.gov
|acessodata=03-05-2021
|arquivo-url=https://web.archive.org/web/20130102044410/http://csrc.nist.gov/groups/STM/cavp/index.html
|arquivo-data=02-01-2013}}
</ref> permite a validação independente da implementação correta do algoritmo ''AES''. A validação bem-sucedida resulta em ser listado na página de validações ''NIST''.<ref>
{{citar web
|url=http://csrc.nist.gov/groups/STM/cmvp/documents/140-1/140val-all.htm
|título=Validated FIPS 140-1 and FIPS 140-2 cryptographic modules
|língua=en
|títulotrad=Módulos criptográficos validados ''FIPS'' 140-1 e ''FIPS'' 140-2
|arquivo-url=https://web.archive.org/web/20141226152243/http://csrc.nist.gov/groups/STM/cmvp/documents/140-1/140val-all.htm
|arquivo-data=26-12-2014
|acessodata=03-05-2021}}
</ref> Este teste é um pré-requisito para a validação do módulo ''FIPS'' 140-2 descrito abaixo. No entanto, a validação ''CAVP'' bem-sucedida não implica de forma alguma que o módulo criptográfico que implementa o algoritmo seja seguro. Um módulo criptográfico sem validação ''FIPS'' 140-2 ou aprovação específica da ''NSA'' não é considerado seguro pelo governo dos ''EUA'' e não pode ser usado para proteger dados governamentais.<ref name="cnss.gov"/>

A validação do FIPS 140-2 é um desafio técnico e fiscal.<ref name="openssl">
{{citar web
|autor=OpenSSL, openssl@openssl.org
|url=http://openssl.org/docs/fips/fipsnotes.html
|título=OpenSSL's notes about FIPS certification
|língua=en
|títulotrad=Notas do ''OpenSSL'' sobre a certificação ''FIPS''
|publicado=Openssl.org
|arquivo-url=https://web.archive.org/web/20130102203126/http://www.openssl.org/docs/fips/fipsnotes.html
|arquivo-data=2013-01-02
|acessodata=03-05-2021}}
</ref> Existe uma bateria padronizada de testes, bem como um elemento de revisão do código-fonte que deve ser aprovado por um período de algumas semanas. O custo para realizar esses testes por meio de um laboratório aprovado pode ser significativo (por exemplo, bem mais de US $ 30.000)<ref name="openssl" /> e não inclui o tempo que leva para escrever, testar, documentar e preparar um módulo para validação. Após a validação, os módulos devem ser reenviados e reavaliados se forem alterados de alguma forma. Isso pode variar de simples atualizações de papelada, se a funcionalidade de segurança não foi alterada, à um conjunto mais substancial de novos testes, se a funcionalidade de segurança foi afetada pela alteração.

== Vetores de teste ==

Os vetores de teste são um conjunto de cifras conhecidas para uma determinada entrada e chave. O ''NIST'' distribui a referência de vetores de teste ''AES'' como vetores de teste de resposta conhecida (''known answer test'' - ''KAT'') ''AES''.{{nota de rodapé|Os vetores de teste de resposta conhecida (''KAT'') ''AES''
estão disponíveis em formato ''Zip'' na página do ''NIST'' [http://csrc.nist.gov/groups/STM/cavp/documents/aes/KAT_AES.zip aqui]}}<ref>
{{webarchive
|url=https://web.archive.org/web/20091023001419/http://csrc.nist.gov/groups/STM/cavp/documents/aes/KAT_AES.zip
|data=23-10-2009}}
</ref>

== Desempenho ==

Os requisitos alta velocidade e baixo ''RAM'' foram os critérios do processo de seleção do ''AES''. Como o algoritmo escolhido, o ''AES'' teve um bom desempenho em uma ampla variedade de ''hardware'', desde ''[[smart card]]s'' de 8 ''bits'' à computadores de alto desempenho.

Em um ''[[Pentium Pro]]'', a criptografia ''AES'' requer 18 ciclos de ''clock'' por ''byte'',<ref>{{citar web
|url=http://www.schneier.com/paper-aes-performance.pdf
|título=Performance comparisons of the AES submissions
|língua=en
|títulotrad=Comparações de desempenho das submissões do ''AES''
|último1=Schneier
|primeiro1=Bruce
|último2=Kelsey
|primeiro2=John
|último3=Whiting
|primeiro3=Doug
|último4=Wagner
|primeiro4=David
|último5=Hall
|primeiro5=Chris
|último6=Ferguson
|primeiro6=Niels
|data=01-02-1999
|acessodata=03-05-2021
|arquivo-url=https://web.archive.org/web/20110622084238/http://www.schneier.com/paper-aes-performance.pdf
|arquivo-data=22-06-2011}}</ref> equivalente à uma taxa de transferência de cerca de 11 MiB / s para um processador de 200 MHz.

Em ''CPUs'' ''[[Intel Core]]'' e ''[[Ryzen|AMD Ryzen]]'' que suportam extensões do <!-- [[:en:AES_instruction_set]] -->conjunto de instruções ''AES-NI'', a taxa de transferência pode ser de vários GB/s (mesmo acima de 10 GB/s).<ref>{{citar web
|url=https://www.vortez.net/articles_pages/amd_ryzen_7_1700x_review,7.html
|título=AMD Ryzen 7 1700X Review
|língua=en
|títulotrad=Análise do AMD Ryzen 7 1700X}}
</ref>

Onde o ''hardware'' da ''CPU'' não suporta aceleração ''AES'', [[Salsa20|''ChaCha'']] é uma cifra alternativa com melhor desempenho e sem sacrificar a segurança.<ref>
{{citar web
|título=So you want to use an alternative cipher...
|títulotrad=Então você deseja usar uma cifra alternativa...
|acessodata=03-05-2021
|url=https://blog.cryptographyengineering.com/2012/10/09/so-you-want-to-use-alternative-cipher/
|website=A few thoughts on cryptographic engineering
|língua=en
|data=09-10-2012}}</ref><ref>
{{citar web
|último1=Bernstein
|primeiro1=Daniel
|título=Why switch from AES to a new stream cipher?
|língua=en
|títulotrad=Por que mudar de AES para uma nova cifra de fluxo?
|url=https://cr.yp.to/streamciphers/why.html#:~:text=The%20answer%20is%20simple%3A%20Salsa20,speed%2Dsecurity%20profile%20than%20AES.
|website=cr.yp.to
|acessodata=03-05-2021}}
</ref>

== Ver também ==

*[[Modo de operação (criptografia)]]
*[[Criptografia de disco]]
*[[Encriptação]]
*[[Whirlpool (criptografia)]] – função hash criada por Vincent Rijmen e Paulo S. L. M. Barreto
<!-- *[[:en:List_of_free_and_open-source_software_packages]] -->

<!-- == Implementações ==

{{Main|:en:AES implementations}} -->

{{notas}}

{{referencias}}

[[Categoria:Criptografia]]
[[Categoria:Ciframento em blocos]]