科普 •

AES 加密算法详解：原理、模式、应用与安全性分析

深入解析 AES（高级加密标准）的工作原理、加密模式（ECB/CBC/CTR/GCM）、密钥长度选择、应用场景以及安全最佳实践。包含在线 AES 加密/解密工具推荐。

AES（Advanced Encryption Standard，高级加密标准）是当今世界上使用最广泛的对称加密算法。从保护你的 Wi-Fi 连接到加密银行交易数据，AES 无处不在。本文将全面深入地解析 AES 的工作原理、加密模式、应用场景及安全性考量。

如果你需要立即进行 AES 加密或解密操作，可以使用我们的 AES 在线加密/解密工具。

1. 什么是 AES？

AES 是一种对称加密算法（Symmetric Encryption Algorithm），由比利时密码学家 Joan Daemen 和 Vincent Rijmen 设计，原名 Rijndael（读音近似”Rain-doll”）。2001 年，美国国家标准与技术研究院（NIST）经过长达五年的公开征集和评选，最终选定 Rijndael 作为新的高级加密标准，替代已经老化的 DES（数据加密标准）。

1.1 对称加密 vs 非对称加密

在密码学中，加密算法可以分为两大类：

特征对称加密（如 AES）非对称加密（如 RSA）
密钥数量加密和解密使用同一个密钥使用公钥加密、私钥解密
运算速度快（通常比 RSA 快 100~1000 倍）慢
密钥分发需要安全通道传递密钥公钥可以公开分发
典型应用大量数据的加密密钥交换、数字签名

AES 属于对称加密，加密和解密使用同一个密钥。这意味着通信双方需要事先共享一个秘密密钥。

1.2 AES 的基本参数

  • 算法类型：对称分组密码（Symmetric Block Cipher）
  • 分组长度：固定 128 位（16 字节）
  • 密钥长度：128 位、192 位或 256 位
  • 加密轮数：10 轮（128 位密钥）、12 轮（192 位密钥）或 14 轮（256 位密钥）

1.3 AES 加密示例

明文:     "Hello, AES World!"
密钥:     "0123456789abcdef" (128 位)
模式:     CBC
IV:       "abcdef0123456789"
密文:     "U2FsdGVkX1+..." (Base64 编码)

通过 AES 加密后，明文被转换为看似随机的密文数据，只有拥有正确密钥的人才能将其还原。

2. AES 的工作原理

AES 是一种分组密码（Block Cipher），它将明文数据分割为固定大小的块（128 位），然后对每个块进行多轮加密变换。

2.1 状态矩阵（State Matrix）

AES 将 16 字节的输入数据排列成 4×4 的字节矩阵，称为”状态矩阵”：

| b0  b4  b8  b12 |
| b1  b5  b9  b13 |
| b2  b6  b10 b14 |
| b3  b7  b11 b15 |

所有的加密操作都在这个状态矩阵上进行。

2.2 密钥扩展（Key Expansion）

AES 首先通过密钥扩展算法将原始密钥扩展为一系列轮密钥（Round Keys）：

  • 128 位密钥：扩展为 11 组轮密钥（1 组初始 + 10 轮）
  • 192 位密钥：扩展为 13 组轮密钥（1 组初始 + 12 轮）
  • 256 位密钥：扩展为 15 组轮密钥（1 组初始 + 14 轮）

密钥扩展的核心步骤包括：

  1. RotWord（字节循环左移）：将 4 字节的字进行循环左移一个字节
  2. SubWord（S 盒替换）：使用 S 盒对每个字节进行替换
  3. 与轮常数异或：使用预定义的轮常数（Rcon）进行异或操作

2.3 加密的四个核心步骤

每一轮加密包含四个操作（最后一轮省略 MixColumns）：

2.3.1 字节替换（SubBytes）

使用一个预定义的 S 盒（Substitution Box）对状态矩阵中的每个字节进行非线性替换。S 盒的设计基于有限域 GF(2⁸) 上的乘法逆元运算和仿射变换，确保了高度的非线性特性。

S 盒示例（十六进制）:
输入 0x53 → 输出 0xED
输入 0x00 → 输出 0x63

S 盒是 AES 安全性的核心组件之一，它提供了”混淆”（Confusion），使密文和密钥之间的关系变得复杂。

2.3.2 行移位（ShiftRows）

对状态矩阵的每一行进行循环左移：

第 0 行：不移位
第 1 行：左移 1 字节
第 2 行：左移 2 字节
第 3 行：左移 3 字节

变换示意：

| b0  b4  b8  b12 |      | b0  b4  b8  b12 |
| b1  b5  b9  b13 |  →   | b5  b9  b13 b1  |
| b2  b6  b10 b14 |      | b10 b14 b2  b6  |
| b3  b7  b11 b15 |      | b15 b3  b7  b11 |

行移位实现了”扩散”（Diffusion），使得每一列的数据在加密后分散到不同的列。

2.3.3 列混合（MixColumns）

对状态矩阵的每一列进行混合运算。该操作在有限域 GF(2⁸) 上，将每一列视为一个多项式并与一个固定多项式相乘：

| 02 03 01 01 |   | s0 |
| 01 02 03 01 | × | s1 |
| 01 01 02 03 |   | s2 |
| 03 01 01 02 |   | s3 |

列混合进一步增强了扩散效果，使得单个字节的变化会影响到整列的所有字节。

2.3.4 轮密钥加（AddRoundKey）

将状态矩阵与当前轮的轮密钥进行按位异或（XOR）运算：

State = State ⊕ RoundKey

这一步将密钥信息融入到加密过程中。

2.4 完整的加密流程

1. 初始轮密钥加（AddRoundKey）

2. 重复 N-1 轮（N = 10/12/14）:
   a. 字节替换（SubBytes）
   b. 行移位（ShiftRows）
   c. 列混合（MixColumns）
   d. 轮密钥加（AddRoundKey）

3. 最终轮（省略 MixColumns）:
   a. 字节替换（SubBytes）
   b. 行移位（ShiftRows）
   c. 轮密钥加（AddRoundKey）

2.5 解密过程

AES 的解密过程是加密过程的逆操作，按照相反的顺序执行逆向变换：

  • 逆字节替换（InvSubBytes）：使用逆 S 盒
  • 逆行移位（InvShiftRows）：循环右移
  • 逆列混合（InvMixColumns）：使用逆混合矩阵
  • 轮密钥加（AddRoundKey）：异或操作是自逆的

3. AES 的加密模式

AES 本身只能加密固定大小（128 位）的数据块。要加密实际的、长度不固定的数据，需要使用加密模式（Block Cipher Mode of Operation）。不同模式有不同的安全性和性能特点。

3.1 ECB 模式（Electronic Codebook，电子密码本模式）

ECB 是最简单的加密模式：每个明文块独立加密。

明文块 1 → AES加密 → 密文块 1
明文块 2 → AES加密 → 密文块 2
明文块 3 → AES加密 → 密文块 3

优点：

  • 实现简单，可以并行加密
  • 加密和解密速度快

缺点：

  • 严重的安全缺陷：相同的明文块产生相同的密文块
  • 容易暴露数据的模式和结构
  • 经典例子：用 ECB 加密位图图像，图像轮廓依然清晰可辨

使用建议：不推荐使用。ECB 模式几乎在所有场景下都不安全。

3.2 CBC 模式（Cipher Block Chaining，密码块链接模式）

CBC 模式在加密前将每个明文块与前一个密文块进行异或操作：

密文块 1 = AES加密(明文块 1 ⊕ IV)
密文块 2 = AES加密(明文块 2 ⊕ 密文块 1)
密文块 3 = AES加密(明文块 3 ⊕ 密文块 2)

优点：

  • 相同明文在不同位置产生不同密文
  • 安全性显著优于 ECB

缺点：

  • 加密过程不能并行化（每一块依赖前一块）
  • 需要一个随机的初始化向量（IV）
  • 存在填充预言攻击（Padding Oracle Attack）的风险

使用建议：适用于一般的数据加密场景，但应注意 IV 的随机性和填充方式。

3.3 CTR 模式（Counter，计数器模式）

CTR 模式将分组密码转变为流密码，通过加密递增的计数器来生成密钥流：

密钥流 1 = AES加密(Nonce || Counter 1)
密钥流 2 = AES加密(Nonce || Counter 2)
密文块 i = 明文块 i ⊕ 密钥流 i

优点：

  • 加密和解密都可以完全并行化
  • 不需要填充（Padding），可以处理任意长度数据
  • 可以随机访问加密数据的任何部分

缺点：

  • Nonce 绝对不能重用（否则安全性完全崩溃）
  • 不提供完整性保护

使用建议：适用于需要高性能和并行处理的场景。

3.4 GCM 模式（Galois/Counter Mode，伽罗瓦计数器模式）

GCM 结合了 CTR 模式的加密和 GHASH 的认证功能，是一种 AEAD（Authenticated Encryption with Associated Data）模式：

密文 = AES-CTR加密(明文)
认证标签 = GHASH(附加数据, 密文)

优点：

  • 同时提供加密和完整性/认证保护
  • 支持附加认证数据（AAD），可以认证不需要加密的数据（如消息头）
  • 高性能，可以硬件加速（Intel AES-NI 指令集）
  • 可并行化

缺点：

  • 实现复杂度较高
  • Nonce 重用会同时破坏机密性和完整性
  • 通常建议 Nonce 长度为 96 位

使用建议：首选推荐。GCM 是目前最推荐的 AES 加密模式，广泛应用于 TLS 1.3、IPSec 等协议。

3.5 模式对比

特性ECBCBCCTRGCM
安全性❌ 不安全✅ 良好✅ 良好✅✅ 优秀
并行加密✅❌✅✅
并行解密✅✅✅✅
完整性保护❌❌❌✅
需要 IV/Nonce❌✅✅✅
需要填充✅✅❌❌
推荐使用❌⚠️ 有条件✅✅✅ 首选

4. 密钥长度选择

AES 支持三种密钥长度，每种都有不同的安全级别和性能特征：

4.1 AES-128

  • 密钥长度：128 位（16 字节）
  • 加密轮数：10 轮
  • 安全级别：128 位安全性
  • 性能：最快
  • 暴力破解难度：需要尝试 2¹²⁸ ≈ 3.4 × 10³⁸ 种可能的密钥

AES-128 在可预见的未来，即使是量子计算机出现之前，也被认为是安全的。目前没有已知的攻击方法能实质性地弱化 AES-128 的安全性。

4.2 AES-192

  • 密钥长度：192 位（24 字节）
  • 加密轮数：12 轮
  • 安全级别：192 位安全性
  • 性能：比 AES-128 稍慢约 20%

AES-192 在实践中使用较少，通常作为 AES-128 和 AES-256 之间的折中方案。

4.3 AES-256

  • 密钥长度：256 位（32 字节）
  • 加密轮数：14 轮
  • 安全级别：256 位安全性
  • 性能：比 AES-128 慢约 40%
  • 量子计算防护：即使面对量子计算（Grover 算法），仍有 128 位等效安全性

AES-256 是政府机密信息和高安全性需求场景的首选。

4.4 如何选择密钥长度

  • 一般商业应用：AES-128 已经足够安全
  • 高安全性需求：AES-256（如金融、政府、军事）
  • 未来量子安全考虑：AES-256（提供后量子时代的安全缓冲）

5. 填充方式（Padding）

由于 AES 以 128 位（16 字节）为单位处理数据，如果明文长度不是 16 字节的整数倍，就需要进行填充。

5.1 PKCS#7 填充

PKCS#7 是最常用的填充方式：

明文长度 = 13 字节，需要填充 3 字节
填充内容: 0x03 0x03 0x03

明文长度 = 16 字节（刚好是整数倍）
填充内容: 0x10 × 16 字节（额外添加一整块填充）

每个填充字节的值等于需要填充的字节数。

5.2 零填充（Zero Padding）

明文: "Hello" (5 字节)
填充: "Hello\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

用零字节填充到块大小。缺点是当原始数据以零字节结尾时，可能无法正确去除填充。

5.3 无填充

使用 CTR 或 GCM 模式时，不需要填充，因为它们将分组密码转换为流密码模式。

6. AES 的数学基础

6.1 有限域 GF(2⁸)

AES 的所有运算都在有限域 GF(2⁸)（也称为伽罗瓦域）上进行。在这个域中：

  • 每个元素是一个 8 位的字节（0x00 到 0xFF）
  • 加法：按位异或（XOR）
  • 乘法：多项式乘法后对不可约多项式 x⁸ + x⁴ + x³ + x + 1 取模
GF(2⁸) 上的加法：
0x57 ⊕ 0x83 = 0xD4

GF(2⁸) 上的乘法：
0x57 × 0x83 = 0xC1 (mod x⁸+x⁴+x³+x+1)

6.2 S 盒的构造

S 盒的构造分为两步：

  1. 求乘法逆元：在 GF(2⁸) 上计算每个非零元素的乘法逆元（0 映射到 0）
  2. 仿射变换：对逆元结果应用一个仿射变换

这种设计确保了 S 盒具有最大的非线性度，有效抵抗线性密码分析和差分密码分析。

6.3 MixColumns 的多项式运算

列混合操作将状态矩阵的每一列视为 GF(2⁸) 上的多项式，并与固定多项式 c(x) = 3x³ + x² + x + 2 相乘，然后对 x⁴ + 1 取模。

7. AES 的应用场景

7.1 网络通信安全

  • TLS/SSL：HTTPS 协议中使用 AES-GCM 加密网页传输数据
  • VPN：IPSec 使用 AES 保护 VPN 隧道
  • Wi-Fi：WPA2/WPA3 使用 AES-CCMP 加密无线网络数据

7.2 数据存储加密

  • 全盘加密：BitLocker（Windows）、FileVault（macOS）使用 AES-256 加密整个磁盘
  • 文件加密：7-Zip、WinRAR 等工具使用 AES 加密压缩文件
  • 数据库加密：透明数据加密（TDE）使用 AES 保护数据库中的敏感数据

7.3 金融与支付

  • 银行系统：银行间通信使用 AES 加密交易数据
  • 信用卡安全：EMV 芯片卡使用 AES 进行认证和交易加密
  • 移动支付：Apple Pay、Google Pay 使用 AES 保护支付令牌

7.4 政府与军事

  • 机密通信：美国 NSA 批准 AES-256 用于保护 TOP SECRET 级别的机密信息
  • 政府标准：FIPS 197 将 AES 列为联邦政府的加密标准

7.5 消息通信

  • 端到端加密：Signal Protocol（用于 Signal、WhatsApp）使用 AES-256
  • 电子邮件加密：S/MIME 和 PGP 使用 AES 加密邮件内容

8. AES 的安全性分析

8.1 已知攻击方法

虽然 AES 被认为是目前最安全的对称加密算法之一，但学术界仍在不断研究可能的攻击方法：

8.1.1 相关密钥攻击

  • Biryukov 和 Khovratovich 在 2009 年提出了针对 AES-256 的相关密钥攻击
  • 该攻击需要 2⁹⁹·⁵ 次操作（远少于暴力破解的 2²⁵⁶），但仍然不切实际
  • 该攻击假定攻击者可以使用相关的密钥加密数据，这在实际场景中很难实现

8.1.2 Biclique 攻击

  • 2011 年提出的 Biclique 攻击是目前已知的最有效的针对全轮 AES 的攻击
  • AES-128 的复杂度降至 2¹²⁶·¹（相比暴力破解的 2¹²⁸ 仅减少不到 4 倍）
  • AES-256 的复杂度降至 2²⁵⁴·⁴
  • 这些降低在实际上毫无意义，AES 仍然是安全的

8.1.3 侧信道攻击

侧信道攻击不直接破解算法，而是通过观察物理实现的”泄漏”信息来推断密钥：

  • 时序攻击（Timing Attack）：通过测量加密操作的时间差异来推断密钥
  • 功耗分析（Power Analysis）：通过分析处理器在加密过程中的功耗变化来推断密钥
  • 电磁辐射攻击：通过捕获设备加密时的电磁辐射来提取信息
  • 缓存攻击（Cache Attack）：利用 CPU 缓存的访问模式差异来推断密钥

防御措施：

  • 使用常数时间实现（Constant-time Implementation）
  • 硬件加密引擎（如 AES-NI）
  • 屏蔽（Masking）和混淆技术

8.2 量子计算的影响

  • Grover 算法：量子计算机可以使用 Grover 算法将暴力破解的复杂度从 2ⁿ 降低到 2ⁿ/²
  • AES-128：量子环境下等效安全性降至 64 位，可能不够安全
  • AES-256：量子环境下等效安全性降至 128 位，仍被认为足够安全
  • 当前状态：能够实际威胁 AES 的量子计算机目前尚未出现，预计还需要数十年

9. AES 的最佳实践

9.1 密钥管理

  1. **使用密码学安全的随机数生成器（CSPRNG）**生成密钥
  2. 绝不硬编码密钥到源代码中
  3. 使用专门的**密钥管理系统（KMS）**存储和分发密钥
  4. 定期轮换密钥
  5. 旧密钥的安全销毁

9.2 IV/Nonce 管理

  1. 每次加密必须使用不同的 IV/Nonce
  2. CBC 模式的 IV 必须是不可预测的随机数
  3. GCM 模式的 Nonce 可以使用计数器，但绝不能重用
  4. IV/Nonce 不需要保密，可以与密文一起传输

9.3 模式选择

  1. 首选 GCM 模式：提供加密和认证
  2. 需要流加密时使用 CTR 模式，但要额外添加 MAC
  3. 避免使用 ECB 模式
  4. 使用 CBC 模式时注意防范填充预言攻击

9.4 代码实现示例

使用 Python 进行 AES-GCM 加密：

from cryptography.hazmat.primitives.ciphers.aead import AESGCM
import os

# 生成 256 位随机密钥
key = AESGCM.generate_key(bit_length=256)

# 创建 AES-GCM 实例
aesgcm = AESGCM(key)

# 生成 96 位随机 Nonce
nonce = os.urandom(12)

# 加密（可选附加认证数据）
plaintext = b"Hello, AES-GCM!"
aad = b"additional authenticated data"
ciphertext = aesgcm.encrypt(nonce, plaintext, aad)

# 解密
decrypted = aesgcm.decrypt(nonce, ciphertext, aad)
print(decrypted)  # b"Hello, AES-GCM!"

使用 JavaScript（Web Crypto API）进行 AES-GCM 加密：

// 生成 256 位密钥
const key = await crypto.subtle.generateKey(
  { name: "AES-GCM", length: 256 },
  true,
  ["encrypt", "decrypt"]
);

// 生成随机 IV
const iv = crypto.getRandomValues(new Uint8Array(12));

// 加密
const plaintext = new TextEncoder().encode("Hello, AES-GCM!");
const ciphertext = await crypto.subtle.encrypt(
  { name: "AES-GCM", iv: iv },
  key,
  plaintext
);

// 解密
const decrypted = await crypto.subtle.decrypt(
  { name: "AES-GCM", iv: iv },
  key,
  ciphertext
);
console.log(new TextDecoder().decode(decrypted));

10. AES 与其他加密算法的比较

10.1 AES vs DES/3DES

特性DES3DESAES
密钥长度56 位112/168 位128/192/256 位
分组大小64 位64 位128 位
安全性❌ 已破解⚠️ 逐步淘汰✅ 安全
性能快很慢快
标准状态已废弃已废弃（2023年后）当前标准

10.2 AES vs ChaCha20

特性AES-256-GCMChaCha20-Poly1305
类型分组密码流密码
密钥长度256 位256 位
硬件加速✅ AES-NI❌ 无专用指令
软件性能有 AES-NI 时更快无硬件加速时更快
安全性✅ 优秀✅ 优秀
适用场景服务器端移动设备/嵌入式

ChaCha20-Poly1305 由 Daniel J. Bernstein 设计，是 AES-GCM 的主要替代方案，特别适用于没有 AES 硬件加速的设备。

11. 常见误区

11.1 “AES-256 总是比 AES-128 安全”

事实上，AES-128 和 AES-256 在已知的非量子攻击下都是安全的。AES-256 的主要优势在于提供更大的安全裕度和更好的量子计算防护。

11.2 “加密 = 安全”

加密只是安全体系的一部分。密钥管理不当、使用不安全的模式（如 ECB）、忽略认证等问题都可能导致加密形同虚设。

11.3 “IV 可以重复使用”

在 GCM 模式下，重复使用 Nonce 会导致：

  • 泄漏密钥流的异或结果
  • 完全破坏认证标签的安全性
  • 可能通过 GHASH 泄漏认证密钥

永远不要重用 IV/Nonce！

11.4 “自己实现 AES 更安全”

自行实现加密算法极易引入侧信道漏洞和其他缺陷。应始终使用经过充分审计的加密库（如 OpenSSL、libsodium、Web Crypto API）。

12. 总结

AES 是现代密码学的基石，其安全性经历了二十多年的考验。正确使用 AES 需要注意以下关键要素：

  • 选择正确的加密模式：优先使用 GCM 模式
  • 妥善管理密钥：使用 KMS，定期轮换
  • 确保 IV/Nonce 唯一性：每次加密使用不同的值
  • 使用成熟的加密库：不要自己实现加密算法
  • 同时提供加密和认证：使用 AEAD 模式（如 AES-GCM）

想要亲手体验 AES 加密与解密？立即试试我们的 AES 在线加密/解密工具，支持多种加密模式和密钥长度，方便快捷地进行数据加密操作。