AES: τι είναι, ο αλγόριθμος συμμετρικής κρυπτογράφησης και πού εφαρμόζεται

Μεγέθη κλειδιών AES και επίπεδα ασφαλείας

Το AES υποστηρίζει τρία μεγέθη κλειδιού, καθένα από τα οποία αντιστοιχεί σε ένα συγκεκριμένο επίπεδο κρυπτογραφικής αντοχής. Η επιλογή μεγέθους κλειδιού επηρεάζει την ασφάλεια, την απόδοση και τις απαιτήσεις πόρων της συσκευής.

Πρακτικός κανόνας: σε εφαρμογές για κινητά χρησιμοποιήστε AES-256 από προεπιλογή. Η διαφορά απόδοσης μεταξύ AES-128 και AES-256 σε σύγχρονες συσκευές με υποστήριξη AES-NI δεν υπερβαίνει το 10–15%, αλλά το επίπεδο ασφαλείας διπλασιάζεται. Σύμφωνα με κβαντική ανάλυση (Grassl et al., 2016), για το σπάσιμο του AES-128 απαιτούνται 2^77 κβαντικές πράξεις μέσω του αλγορίθμου Grover, και για το AES-256 — 2^149, καθιστώντας το AES-256 ανθεκτικό σε κβαντικές επιθέσεις για τα επόμενα 20–30 χρόνια. Ακόμη και το AES-128 παρέχει επαρκή προστασία για τη συντριπτική πλειοψηφία των εμπορικών σεναρίων: για πλήρη αναζήτηση ενός κλειδιού 128 bit απαιτείται περισσότερη ενέργεια από όση υπάρχει στο σύμπαν σύμφωνα με εκτίμηση του Bruce Schneier. Ωστόσο, τα πρότυπα ασφαλείας (GDPR, HIPAA, PCI DSS) συχνά απαιτούν ρητά AES-256, γι’ αυτό σε παραγωγικά έργα συνιστάται η χρήση του μέγιστου μήκους κλειδιού.

Λειτουργίες του AES

Το AES ως κρυπτογράφημα μπλοκ κρυπτογραφεί μπλοκ σταθερού μεγέθους (128 bit). Για την κρυπτογράφηση δεδομένων αυθαίρετου μήκους χρησιμοποιούνται λειτουργίες (modes of operation). Η επιλογή λειτουργίας επηρεάζει κρίσιμα την ασφάλεια: μια λανθασμένη λειτουργία μπορεί να ακυρώσει την αντοχή του AES.

• ECB (Electronic Codebook) — η απλούστερη και πιο ανασφαλής λειτουργία. Κάθε μπλοκ κρυπτογραφείται ανεξάρτητα με το ίδιο κλειδί. Τα ίδια μπλοκ απλού κειμένου δίνουν ίδια μπλοκ κρυπτοκειμένου, επιτρέποντας την ανάκτηση της δομής δεδομένων. Απαγορεύεται σε όλα τα σύγχρονα πρότυπα ασφαλείας. ΠΟΤΕ μη χρησιμοποιείτε ECB σε εφαρμογές για κινητά.
• CBC (Cipher Block Chaining) — κάθε προηγούμενο μπλοκ κρυπτοκειμένου χρησιμοποιείται ως διάνυσμα αρχικοποίησης (IV) για το επόμενο. Απαιτεί τυχαίο IV για κάθε μήνυμα. Ευάλωτο σε επιθέσεις padding oracle σε λανθασμένη υλοποίηση. Κατάλληλο για κρυπτογράφηση αρχείων, αλλά απαιτεί MAC (HMAC) για την εξασφάλιση ακεραιότητας δεδομένων.
• GCM (Galois/Counter Mode) — η συνιστώμενη λειτουργία για εφαρμογές κινητών. Παρέχει αυθεντικοποιημένη κρυπτογράφηση (AEAD): κρυπτογράφηση + έλεγχος ακεραιότητας σε μία πράξη. Χρησιμοποιεί μετρητή για τη δημιουργία ροής κλειδιού και πολλαπλασιασμό στο σώμα Galois για αυθεντικοποίηση. Το GCM απαιτεί μοναδικό nonce (12 byte) για κάθε μήνυμα. Συνιστάται από το NIST, χρησιμοποιείται σε TLS 1.2/1.3 και Android Keystore.
• CCM (Counter with CBC-MAC) — εναλλακτική λειτουργία AEAD βασισμένη σε CTR + CBC-MAC. Πιο αργή από το GCM και δεν υποστηρίζει παράλληλη επεξεργασία. Χρησιμοποιείται σε πρωτόκολλα ZigBee και 802.11 (Wi-Fi). Για εφαρμογές κινητών, προτιμάται το GCM.

Για έργα κινητών χρησιμοποιήστε AES-256-GCM με nonce 12 byte. Το GCM λύνει δύο προβλήματα ταυτόχρονα: κρυπτογράφηση δεδομένων και επαλήθευση αυθεντικότητας, αποτρέποντας επιθέσεις padding oracle και chosen ciphertext. Τα Android Keystore και iOS CryptoKit υποστηρίζουν AES-GCM out-of-the-box χωρίς ανάγκη υλοποίησης πρόσθετων κρυπτογραφικών πρωτογενών στοιχείων. Κατά την εργασία με GCM, είναι σημαντικό να μην επαναλαμβάνετε ποτέ το nonce με το ίδιο κλειδί — αυτό καταστρέφει εντελώς την ασφάλεια κρυπτογράφησης. Δημιουργήστε νέο τυχαίο nonce για κάθε κρυπτογράφηση και αποθηκεύστε το μαζί με το κρυπτοκείμενο.

Υλοποίηση του AES σε εφαρμογές για κινητά

Ας εξετάσουμε ένα παράδειγμα ασφαλούς υλοποίησης του AES-256-GCM σε Android χρησιμοποιώντας Jetpack Security. Ο παρακάτω κώδικας δείχνει τον πλήρη κύκλο: δημιουργία κλειδιού AES-256 μέσω MasterKey, κρυπτογράφηση και αποκρυπτογράφηση μιας συμβολοσειράς με πρόσθετα αυθεντικοποιημένα δεδομένα (AAD).

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

Το βασικό χαρακτηριστικό αυτής της λύσης είναι η χρήση του AES-256-GCM σε δύο επίπεδα: για την κρυπτογράφηση ζευγών κλειδιού-τιμής (PrefValueEncryptionScheme) και για την προστασία των ίδιων των ονομάτων κλειδιών (το PrefKeyEncryptionScheme χρησιμοποιεί AES-256-SIV, ανθεκτικό σε επανάληψη nonce). Το MasterKey δημιουργείται με τον αλγόριθμο AES-256-GCM και αποθηκεύεται στο Android Keystore, το οποίο προστατεύεται υλικοτεχνικά σε συσκευές με Trusted Execution Environment. Σε συσκευές χωρίς υποστήριξη υλικού (TEE), το κλειδί κρυπτογραφείται μέσω Bouncy Castle, που είναι ακόμα πιο ασφαλές από την αποθήκευση σε SharedPreferences.

Για άμεση κρυπτογράφηση μεγάλου όγκου δεδομένων (π.χ. εικόνες ή αρχεία) χρησιμοποιήστε AES-256-GCM μέσω EncryptedFile από το AndroidX Security. Για εξαγωγή κλειδιών (π.χ. για αντίγραφα ασφαλείας) χρησιμοποιήστε πρόσθετη κρυπτογράφηση με κωδικό πρόσβασης χρήστη μέσω PBKDF2 με 100000+ επαναλήψεις.

AES σε iOS μέσω CryptoKit

Στο iOS, η εργασία με AES οργανώνεται μέσω του πλαισίου CryptoKit (Swift 5.0+). Το κλειδί AES-256 δημιουργείται μέσω SymmetricKey(size: .bits256) και αποθηκεύεται στο Secure Enclave — έναν κρυπτοεπεξεργαστή υλικού απομονωμένο από την κύρια CPU και το λειτουργικό σύστημα. Το CryptoKit παρέχει δύο υλοποιήσεις AES: AES.GCM (συνιστάται) και AES.CBC (για συμβατότητα προς τα πίσω με παλαιές μορφές). Η κρυπτογράφηση γίνεται μέσω της μεθόδου seal(), η οποία λαμβάνει δεδομένα, κλειδί και nonce (12 byte) και επιστρέφει ένα AES.GCM.SealedBox — μια δομή που περιέχει το κρυπτοκείμενο και την ετικέτα αυθεντικοποίησης. Αποκρυπτογράφηση — μέσω open(). Η Apple δεν συνιστά τη χρήση CommonCrypto: το CryptoKit επιλέγει αυτόματα τις βέλτιστες παραμέτρους, προστατεύει από επιθέσεις side-channel και χρησιμοποιεί επιτάχυνση υλικού AES-NI σε επεξεργαστές Apple Silicon. Σε συσκευές με Secure Enclave, τα κλειδιά δεν εγκαταλείπουν ποτέ τη μονάδα υλικού, καθιστώντας την κλοπή τους αδύνατη ακόμα και με πλήρη παραβίαση της εφαρμογής. Για σειριοποίηση του κλειδιού χρησιμοποιείται η μέθοδος withUnsafeBytes με επακόλουθη αποθήκευση στο Keychain μέσω SecItemAdd με το χαρακτηριστικό kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly.