AES: mi ez, a szimmetrikus titkosítási algoritmus és hol alkalmazzák

Az AES kulcsméretei és biztonsági szintjei

Az AES három kulcsméretet támogat, amelyek mindegyike egy adott kriptográfiai ellenállási szintnek felel meg. A kulcsméret kiválasztása befolyásolja a biztonságot, a teljesítményt és az eszköz erőforrásigényét.

Gyakorlati szabály: a mobilalkalmazásokban alapértelmezetten használjon AES-256-ot. Az AES-128 és AES-256 közötti teljesítménykülönbség a modern AES-NI-t támogató eszközökön nem haladja meg a 10–15%-ot, de a biztonsági szint megduplázódik. A kvantumelemzés (Grassl et al., 2016) szerint az AES-128 feltöréséhez 2^77 kvantumművelet szükséges Grover algoritmusával, az AES-256-hoz pedig 2^149, ami az AES-256-ot ellenállóvá teszi a kvantumtámadásokkal szemben a következő 20–30 évben. Még az AES-128 is elegendő védelmet nyújt a kereskedelmi forgatókönyvek túlnyomó többségéhez: egy 128 bites kulcs teljes kereséséhez Bruce Schneier becslése szerint több energiára van szükség, mint amennyi az univerzumban létezik. A biztonsági szabványok (GDPR, HIPAA, PCI DSS) azonban gyakran kifejezetten megkövetelik az AES-256-ot, ezért termelési projektekben ajánlott a maximális kulcshossz használata.

Az AES üzemmódjai

Az AES blokk-rejtjelként rögzített méretű (128 bites) blokkokat titkosít. Tetszőleges hosszúságú adatok titkosításához üzemmódokat (modes of operation) használnak. Az üzemmód kiválasztása kritikusan befolyásolja a biztonságot: a rossz üzemmód semmissé teheti az AES ellenállását.

• ECB (Electronic Codebook) — a legegyszerűbb és legbiztonságosabb üzemmód. Minden blokk függetlenül van titkosítva ugyanazzal a kulccsal. A nyílt szöveg azonos blokkjai azonos titkosított szövegblokkokat eredményeznek, lehetővé téve az adatstruktúra visszanyerését. Minden modern biztonsági szabványban tilos. SOHA ne használja az ECB-t mobilalkalmazásokban.
• CBC (Cipher Block Chaining) — minden előző titkosított szövegblokk inicializációs vektorként (IV) szolgál a következőhöz. Véletlenszerű IV-t igényel minden üzenethez. Sebezhető a padding oracle támadásokkal szemben helytelen implementáció esetén. Alkalmas fájlok titkosítására, de az adatok integritásának biztosításához MAC-re (HMAC) van szükség.
• GCM (Galois/Counter Mode) — a mobilalkalmazásokhoz ajánlott üzemmód. Hitelesített titkosítást (AEAD) biztosít: titkosítás + integritásellenőrzés egy műveletben. Számlálót használ a kulcsfolyam előállításához és szorzást a Galois-testben a hitelesítéshez. A GCM egyedi nonce-t (12 bájt) igényel minden üzenethez. A NIST ajánlja, a TLS 1.2/1.3-ban és az Android Keystore-ban használják.
• CCM (Counter with CBC-MAC) — egy alternatív AEAD üzemmód CTR + CBC-MAC alapján. Lassabb, mint a GCM, és nem támogatja a párhuzamos feldolgozást. A ZigBee és 802.11 (Wi-Fi) protokollokban használják. Mobilalkalmazásokhoz a GCM előnyösebb.

A mobil projektekhez használjon AES-256-GCM-et 12 bájtos nonce-val. A GCM két problémát old meg egyszerre: az adatok titkosítását és a hitelesség ellenőrzését, ami megakadályozza a padding oracle és a chosen ciphertext támadásokat. Az Android Keystore és az iOS CryptoKit out-of-the-box támogatja az AES-GCM-et anélkül, hogy további kriptográfiai primitívek implementálására lenne szükség. GCM-mel dolgozva fontos, hogy soha ne ismételje meg a nonce-t ugyanazzal a kulccsal — ez teljesen tönkreteszi a titkosítás biztonságát. Minden titkosításhoz generáljon új véletlenszerű nonce-t, és tárolja azt a titkosított szöveggel együtt.

Az AES megvalósítása mobilalkalmazásokban

Nézzünk egy példát az AES-256-GCM biztonságos megvalósítására Androidon a Jetpack Security használatával. Az alábbi kód a teljes ciklust mutatja be: az AES-256 kulcs létrehozása MasterKey segítségével, egy karakterlánc titkosítása és visszafejtése további hitelesített adatokkal (AAD).

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

A megoldás kulcsjellemzője az AES-256-GCM két szinten történő használata: a kulcs-érték párok titkosítására (PrefValueEncryptionScheme) és maguknak a kulcsneveknek a védelmére (a PrefKeyEncryptionScheme AES-256-SIV-et használ, amely ellenáll a nonce ismétlődésének). A MasterKey az AES-256-GCM algoritmussal jön létre, és az Android Keystore-ban tárolódik, amely hardveresen védett a Trusted Execution Environment-nel rendelkező eszközökön. A hardvertámogatás (TEE) nélküli eszközökön a kulcs a Bouncy Castle segítségével titkosítva van, ami még mindig biztonságosabb, mint a SharedPreferences-ban való tárolás.

Nagy mennyiségű adat (például képek vagy fájlok) közvetlen titkosításához használja az AES-256-GCM-et az AndroidX Security EncryptedFile segítségével. Kulcsok exportálásához (például biztonsági mentéshez) használjon további titkosítást a felhasználói jelszóval PBKDF2 segítségével 100000+ iterációval.

AES iOS-en a CryptoKit segítségével

iOS-en az AES-sel való munka a CryptoKit keretrendszeren (Swift 5.0+) keresztül szerveződik. Az AES-256 kulcs a SymmetricKey(size: .bits256) segítségével jön létre, és a Secure Enclave-ban — egy hardveres kriptoprocesszorban, amely el van szigetelve a fő CPU-tól és az operációs rendszertől — tárolódik. A CryptoKit két AES implementációt kínál: AES.GCM (ajánlott) és AES.CBC (a régi formátumokkal való visszafelé kompatibilitás érdekében). A titkosítás a seal() metódussal történik, amely fogadja az adatokat, a kulcsot és a nonce-t (12 bájt), és visszaad egy AES.GCM.SealedBox-ot — egy szerkezetet, amely a titkosított szöveget és a hitelesítési címkét tartalmazza. Visszafejtés — az open() segítségével. Az Apple erősen nem ajánlja a CommonCrypto közvetlen használatát: a CryptoKit automatikusan kiválasztja az optimális paramétereket, véd a side-channel támadások ellen, és hardveres AES-NI gyorsítást használ az Apple Silicon processzorokon. A Secure Enclave-val rendelkező eszközökön a kulcsok soha nem hagyják el a hardvermodult, ami lehetetlenné teszi azok ellopását még az alkalmazás teljes kompromittálása esetén sem. A kulcs sorosításához a withUnsafeBytes metódust használják, majd a Keychain-ben való tárolást a SecItemAdd segítségével a kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly attribútummal.