AES：とは何か、対称暗号アルゴリズムとその応用

AES鍵サイズとセキュリティレベル

AESは3つの鍵サイズをサポートし、それぞれが特定の暗号強度レベルに対応します。鍵サイズの選択は、セキュリティ、パフォーマンス、デバイスリソース要件に影響します。

実用的なルール：モバイルアプリケーションではデフォルトでAES-256を使用します。AES-NI対応の最新デバイスでのAES-128とAES-256のパフォーマンス差は10～15％以下ですが、セキュリティレベルは2倍になります。量子分析（Grassl et al.、2016）によると、AES-128を破るにはグローバーのアルゴリズムで2^77の量子操作が必要ですが、AES-256には2^149が必要で、AES-256は今後20～30年間の量子攻撃に耐性があります。AES-128でさえ、大多数の商用シナリオに十分な保護を提供します：ブルース・シュナイアーの推定によると、128ビット鍵のブルートフォースには宇宙に存在するエネルギー以上のエネルギーが必要です。ただし、セキュリティ標準（GDPR、HIPAA、PCI DSS）はしばしば明示的にAES-256を要求するため、本番プロジェクトでは最大鍵長を使用する必要があります。

AES動作モード

AESはブロック暗号として固定サイズ（128ビット）のブロックを暗号化します。任意長のデータを暗号化するには動作モードを使用します。モードの選択はセキュリティに重大な影響を与えます：間違ったモードはAESの強度を無効にする可能性があります。

• ECB（Electronic Codebook） — 最も単純で最も安全でないモード。各ブロックは同じ鍵で独立して暗号化されます。同一の平文ブロックは同一の暗号文ブロックを生成し、データ構造の復元を可能にします。すべての最新セキュリティ標準で禁止されています。モバイルアプリケーションではECBを決して使用しないでください。
• CBC（Cipher Block Chaining） — 前の暗号文ブロックが次のブロックの初期化ベクトル（IV）として使用されます。メッセージごとにランダムなIVが必要です。不適切な実装ではパディングオラクル攻撃に対して脆弱です。ファイル暗号化に適していますが、データ整合性にはMAC（HMAC）が必要です。
• GCM（Galois/Counter Mode） — モバイルアプリケーションに推奨されるモード。認証付き暗号化（AEAD）を提供：単一操作で暗号化＋整合性検証。鍵ストリーム生成にカウンター、認証にガロア体乗算を使用します。GCMはメッセージごとに一意のnonce（12バイト）が必要です。NIST推奨、TLS 1.2/1.3とAndroid Keystoreで使用されています。
• CCM（Counter with CBC-MAC） — CTR＋CBC-MACに基づく代替AEADモード。GCMより遅く、並列処理をサポートしません。ZigBeeおよび802.11（Wi-Fi）プロトコルで使用されます。モバイルアプリケーションではGCMが推奨されます。

モバイルプロジェクトでは、12バイトのnonceでAES-256-GCMを使用します。GCMはデータ暗号化と認証の2つの問題を同時に解決し、パディングオラクルや選択暗号文攻撃を防ぎます。Android KeystoreとiOS CryptoKitは追加の暗号プリミティブなしでAES-GCMをネイティブサポートします。GCMを使用する際は、同じ鍵でnonceを決して再利用しないことが重要です — これにより暗号化セキュリティが完全に破壊されます。暗号化ごとに新しいランダムなnonceを生成し、暗号文と一緒に保存します。

モバイルアプリケーションでのAES実装

Jetpack Securityを使用したAndroidでの安全なAES-256-GCM実装の例を見てみましょう。以下のコードは完全なサイクルを示しています：MasterKeyによるAES-256鍵の作成、追加認証データ（AAD）を使用した文字列の暗号化と復号。

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

このソリューションの重要な特徴は、AES-256-GCMが2つのレベルで使用されることです：鍵-値ペア（PrefValueEncryptionScheme）の暗号化と、鍵名自体の保護（PrefKeyEncryptionSchemeはnonce再利用に耐性のあるAES-256-SIVを使用）。MasterKeyはAES-256-GCMアルゴリズムを使用して生成され、Trusted Execution Environmentを備えたデバイスではハードウェア保護されたAndroid Keystoreに保存されます。ハードウェアサポート（TEE）のないデバイスでは、鍵はBouncy Castleを介して暗号化され、SharedPreferencesに保存するよりも安全です。

大量のデータ（画像やファイルなど）を直接暗号化するには、AndroidX SecurityのEncryptedFileを介してAES-256-GCMを使用します。鍵のエクスポート（バックアップなど）には、PBKDF2と100000回以上の反復を使用したユーザーパスワードによる追加暗号化を使用します。

CryptoKitによるiOSでのAES

iOSでは、AES操作はCryptoKitフレームワーク（Swift 5.0+）を通じて編成されます。AES-256鍵はSymmetricKey(size: .bits256)を介して作成され、Secure Enclaveに保存されます — メインCPUとオペレーティングシステムから隔離されたハードウェア暗号プロセッサです。CryptoKitは2つのAES実装を提供します：AES.GCM（推奨）とAES.CBC（レガシーフォーマットとの後方互換性用）。暗号化はseal()メソッドを介して実行され、データ、鍵、nonce（12バイト）を受け取り、暗号文と認証タグを含む構造体AES.GCM.SealedBoxを返します。復号はopen()を介して行われます。AppleはCommonCryptoを直接使用しないことを強く推奨しています：CryptoKitは自動的に最適なパラメータを選択し、サイドチャネル攻撃から保護し、Apple SiliconプロセッサでAES-NIハードウェアアクセラレーションを使用します。Secure Enclaveを備えたデバイスでは、鍵はハードウェアモジュールから決して出ず、アプリケーションが完全に侵害されても盗難を防ぎます。鍵のシリアル化には、withUnsafeBytesメソッドを使用し、その後kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly属性でSecItemAddを介してKeychainに保存します。