AES: co to je, algoritmus symetrického šifrování a kde se používá

Velikosti klíčů AES a úrovně zabezpečení

AES podporuje tři velikosti klíče, z nichž každá odpovídá určité úrovni kryptografické odolnosti. Volba velikosti klíče ovlivňuje zabezpečení, výkon a požadavky na zdroje zařízení.

Praktické pravidlo: v mobilních aplikacích používejte standardně AES-256. Rozdíl ve výkonu mezi AES-128 a AES-256 na moderních zařízeních s podporou AES-NI nepřesahuje 10–15 %, ale úroveň zabezpečení se zdvojnásobuje. Podle kvantové analýzy (Grassl et al., 2016) je k prolomení AES-128 zapotřebí 2^77 kvantových operací pomocí Groverova algoritmu, a pro AES-256 — 2^149, což činí AES-256 odolným vůči kvantovým útokům na dalších 20–30 let. Dokonce i AES-128 poskytuje dostatečnou ochranu pro drtivou většinu komerčních scénářů: k úplnému prohledání 128bitového klíče je zapotřebí více energie, než existuje ve vesmíru podle odhadu Bruce Schneiera. Bezpečnostní standardy (GDPR, HIPAA, PCI DSS) však často výslovně vyžadují AES-256, proto se v produkčních projektech doporučuje používat maximální délku klíče.

Režimy práce AES

AES jako bloková šifra šifruje bloky pevné velikosti (128 bitů). Pro šifrování dat libovolné délky se používají režimy práce (modes of operation). Volba režimu kriticky ovlivňuje zabezpečení: nesprávný režim může anulovat odolnost AES.

• ECB (Electronic Codebook) — nejjednodušší a nejnebezpečnější režim. Každý blok je šifrován nezávisle stejným klíčem. Identické bloky otevřeného textu poskytují identické bloky šifrového textu, což umožňuje obnovit strukturu dat. Zakázán ve všech moderních bezpečnostních standardech. NIKDY nepoužívejte ECB v mobilních aplikacích.
• CBC (Cipher Block Chaining) — každý předchozí blok šifrového textu je použit jako inicializační vektor (IV) pro následující. Vyžaduje náhodný IV pro každou zprávu. Zranitelný vůči útokům padding oracle při nesprávné implementaci. Vhodný pro šifrování souborů, ale vyžaduje MAC (HMAC) pro zajištění integrity dat.
• GCM (Galois/Counter Mode) — doporučený režim pro mobilní aplikace. Poskytuje autentizované šifrování (AEAD): šifrování + kontrola integrity v jedné operaci. Používá čítač pro generování klíčového proudu a násobení v Galoisově poli pro autentizaci. GCM vyžaduje jedinečný nonce (12 bajtů) pro každou zprávu. Doporučen NIST, používán v TLS 1.2/1.3 a Android Keystore.
• CCM (Counter with CBC-MAC) — alternativní režim AEAD založený na CTR + CBC-MAC. Pomalejší než GCM a nepodporuje paralelní zpracování. Používán v protokolech ZigBee a 802.11 (Wi-Fi). Pro mobilní aplikace je preferován GCM.

Pro mobilní projekty používejte AES-256-GCM s nonce o délce 12 bajtů. GCM řeší dva problémy současně: šifrování dat a ověření pravosti, což brání útokům typu padding oracle a chosen ciphertext. Android Keystore a iOS CryptoKit podporují AES-GCM ihned po vybalení bez nutnosti implementace dalších kryptografických primitiv. Při práci s GCM je důležité nikdy neopakovat nonce se stejným klíčem — to zcela ničí bezpečnost šifrování. Generujte nový náhodný nonce pro každé šifrování a ukládejte jej spolu se šifrovým textem.

Implementace AES v mobilních aplikacích

Podívejme se na příklad bezpečné implementace AES-256-GCM na Androidu pomocí Jetpack Security. Níže uvedený kód demonstruje celý cyklus: vytvoření klíče AES-256 pomocí MasterKey, šifrování a dešifrování řetězce s dodatečnými autentizovanými daty (AAD).

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

Klíčovým rysem tohoto řešení je použití AES-256-GCM na dvou úrovních: pro šifrování párů klíč-hodnota (PrefValueEncryptionScheme) a pro ochranu samotných názvů klíčů (PrefKeyEncryptionScheme používá AES-256-SIV, odolný vůči opakování nonce). MasterKey je generován pomocí algoritmu AES-256-GCM a uložen v Android Keystore, který je hardwarově chráněn na zařízeních s Trusted Execution Environment. Na zařízeních bez hardwarové podpory (TEE) je klíč šifrován pomocí Bouncy Castle, což je stále bezpečnější než ukládání v SharedPreferences.

Pro přímé šifrování velkých objemů dat (např. obrázků nebo souborů) používejte AES-256-GCM pomocí EncryptedFile z AndroidX Security. Pro export klíčů (např. pro zálohu) použijte dodatečné šifrování uživatelským heslem pomocí PBKDF2 s 100000+ iteracemi.

AES na iOS přes CryptoKit

Na iOS je práce s AES organizována přes framework CryptoKit (Swift 5.0+). Klíč AES-256 je vytvářen pomocí SymmetricKey(size: .bits256) a uložen v Secure Enclave — hardwarovém kryptoprocesoru izolovaném od hlavního CPU a operačního systému. CryptoKit poskytuje dvě implementace AES: AES.GCM (doporučená) a AES.CBC (pro zpětnou kompatibilitu se zastaralými formáty). Šifrování se provádí pomocí metody seal(), která přijímá data, klíč a nonce (12 bajtů) a vrací AES.GCM.SealedBox — strukturu obsahující šifrový text a autentizační tag. Dešifrování — přes open(). Apple důrazně nedoporučuje přímé používání CommonCrypto: CryptoKit automaticky vybírá optimální parametry, chrání před útoky postranním kanálem a využívá hardwarové zrychlení AES-NI na procesorech Apple Silicon. Na zařízeních s Secure Enclave klíče nikdy neopouštějí hardwarový modul, což znemožňuje jejich krádež i při úplném kompromitování aplikace. Pro serializaci klíče se používá metoda withUnsafeBytes s následným uložením v Keychain přes SecItemAdd s atributem kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly.