AES: шта је то, алгоритам симетричног шифровања и где се примењује

Величине кључева AES-а и нивои безбедности

AES подржава три величине кључа, од којих свака одговара одређеном нивоу криптоотпорности. Избор величине кључа утиче на безбедност, перформансе и захтеве за ресурсима уређаја.

Практично правило: у мобилним апликацијама подразумевано користите AES-256. Разлика у перформансама између AES-128 и AES-256 на савременим уређајима са подршком за AES-NI не прелази 10–15%, али ниво безбедности се удвостручује. Према квантној анализи (Grassl et al., 2016), за разбијање AES-128 потребно је 2^77 квантних операција кроз Гроверов алгоритам, а за AES-256 — 2^149, што чини AES-256 отпорним на квантне нападе у наредних 20–30 година. Чак и AES-128 пружа довољну заштиту за огромну већину комерцијалних сценарија: за потпуно претраживање 128-битног кључа потребно је више енергије него што постоји у Универзуму према процени Бруса Шнајера. Међутим, безбедносни стандарди (GDPR, HIPAA, PCI DSS) често изричито захтевају AES-256, зато се у продукционим пројектима препоручује коришћење максималне дужине кључа.

Режими рада AES-а

AES као блоковска шифра шифрује блокове фиксне величине (128 бита). За шифровање података произвољне дужине користе се режими рада (modes of operation). Избор режима критично утиче на безбедност: неправилан режим може поништити отпорност AES-а.

• ECB (Electronic Codebook) — најједноставнији и најнебезбеднији режим. Сваки блок се шифрује независно истим кључем. Идентични блокови отвореног текста дају идентичне блокове шифрата, што омогућава обнављање структуре података. Забрањен за употребу у свим савременим безбедносним стандардима. НИКАДА не користите ECB у мобилним апликацијама.
• CBC (Cipher Block Chaining) — сваки претходни блок шифрата се користи као иницијализациони вектор (IV) за следећи. Захтева случајни IV за сваку поруку. Рањив на padding oracle нападе при неправилној имплементацији. Погодан за шифровање датотека, али захтева MAC (HMAC) за обезбеђивање интегритета података.
• GCM (Galois/Counter Mode) — препоручени режим за мобилне апликације. Обезбеђује аутентификовано шифровање (AEAD): шифровање + провера интегритета у једној операцији. Користи бројач за генерисање кључног тока и множење у Галоасовом пољу за аутентификацију. GCM захтева јединствени nonce (12 бајтова) за сваку поруку. Препоручен од стране NIST-а, користи се у TLS 1.2/1.3 и Android Keystore.
• CCM (Counter with CBC-MAC) — алтернативни AEAD режим заснован на CTR + CBC-MAC. Спорији од GCM-а и не подржава паралелну обраду. Користи се у протоколима ZigBee и 802.11 (Wi-Fi). За мобилне апликације GCM је пожељнији.

За мобилне пројекте користите AES-256-GCM са nonce дужине 12 бајтова. GCM решава два проблема истовремено: шифровање података и проверу аутентичности, што спречава нападе типа padding oracle и chosen ciphertext. Android Keystore и iOS CryptoKit подржавају AES-GCM из кутије без потребе за имплементацијом додатних криптографских примитива. При раду са GCM-ом важно је да никада не понављате nonce са истим кључем — то потпуно уништава безбедност шифровања. Генеришите нови случајни nonce за свако шифровање и чувајте га заједно са шифратом.

Имплементација AES-а у мобилним апликацијама

Размотримо пример безбедне имплементације AES-256-GCM на Android-у коришћењем Jetpack Security. Код испод демонстрира пуни циклус: креирање AES-256 кључа кроз MasterKey, шифровање и дешифровање низа са додатним аутентификованим подацима (AAD).

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

Кључна карактеристика овог решења је коришћење AES-256-GCM на два нивоа: за шифровање парова кључ-вредност (PrefValueEncryptionScheme) и за заштиту самих назива кључева (PrefKeyEncryptionScheme користи AES-256-SIV, отпоран на понављање nonce-а). MasterKey се генерише коришћењем алгоритма AES-256-GCM и чува се у Android Keystore, заштићеном хардверски на уређајима са Trusted Execution Environment. На уређајима без хардверске подршке (TEE), кључ се шифрује кроз Bouncy Castle, што је и даље безбедније од чувања у SharedPreferences.

За директно шифровање великих количина података (нпр. слика или датотека) користите AES-256-GCM кроз EncryptedFile из AndroidX Security. За извоз кључева (нпр. за прављење резервне копије) користите додатно шифровање корисничком лозинком кроз PBKDF2 са 100000+ итерација.

AES на iOS-у кроз CryptoKit

На iOS-у рад са AES-ом је организован кроз оквир CryptoKit (Swift 5.0+). AES-256 кључ се креира кроз SymmetricKey(size: .bits256) и чува у Secure Enclave — хардверском криптопроцесору изолованом од главног CPU-а и оперативног система. CryptoKit пружа две имплементације AES-а: AES.GCM (препоручени) и AES.CBC (за уназадну компатибилност са застарелим форматима). Шифровање се врши кроз метод seal(), који прима податке, кључ и nonce (12 бајтова), а враћа AES.GCM.SealedBox — структуру која садржи шифрат и аутентификациони tag. Дешифровање — кроз open(). Apple снажно не препоручује директно коришћење CommonCrypto: CryptoKit аутоматски бира оптималне параметре, штити од side-channel напада и користи хардверско убрзање AES-NI на Apple Silicon процесорима. На уређајима са Secure Enclave, кључеви никада не напуштају хардверски модул, што искључује њихову крађу чак и при потпуној компромитацији апликације. За серијализацију кључа користи се метод withUnsafeBytes са накнадним чувањем у Keychain кроз SecItemAdd са атрибутом kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly.