AES: що це, алгоритм симетричного шифрування та де застосовується

Розміри ключів AES та рівні безпеки

AES підтримує три розміри ключа, кожен з яких відповідає певному рівню криптостійкості. Вибір розміру ключа впливає на безпеку, продуктивність та вимоги до ресурсів пристрою.

Практичне правило: для мобільних додатків використовуйте AES-256 за замовчуванням. Різниця в продуктивності між AES-128 та AES-256 на сучасних пристроях з підтримкою AES-NI становить не більше 10–15%, але рівень безпеки подвоюється. Згідно з квантовим аналізом (Grassl et al., 2016), для зламу AES-128 знадобиться 2^77 квантових операцій через алгоритм Гровера, а для AES-256 — 2^149, що робить AES-256 стійким до квантових атак на найближчі 20–30 років. Навіть AES-128 забезпечує достатній захист для переважної більшості комерційних сценаріїв: для повного перебору 128-бітного ключа знадобиться більше енергії, ніж існує у Всесвіті за оцінкою Брюса Шнайєра. Однак стандарти безпеки (GDPR, HIPAA, PCI DSS) часто явно вимагають AES-256, тому в продакшен-проектах рекомендується використовувати максимальну довжину ключа.

Режими роботи AES

AES як блоковий шифр шифрує блоки фіксованого розміру (128 біт). Для шифрування даних довільної довжини використовуються режими роботи. Вибір режиму критично впливає на безпеку: неправильний режим може звести нанівець стійкість AES.

• ECB (Electronic Codebook) — найпростіший і найнебезпечніший режим. Кожен блок шифрується незалежно однаковим ключем. Однакові блоки відкритого тексту дають однакові блоки шифротексту, що дозволяє відновлювати структуру даних. Заборонений до використання у всіх сучасних стандартах безпеки. НІКОЛИ не використовуйте ECB у мобільних додатках.
• CBC (Cipher Block Chaining) — кожен попередній блок шифротексту використовується як вектор ініціалізації (IV) для наступного. Вимагає випадковий IV для кожного повідомлення. Вразливий до padding oracle атак при неправильній реалізації. Підходить для шифрування файлів, але вимагає MAC (HMAC) для забезпечення цілісності даних.
• GCM (Galois/Counter Mode) — рекомендований режим для мобільних додатків. Забезпечує автентифіковане шифрування (AEAD): шифрування + перевірка цілісності в одній операції. Використовує лічильник для генерації ключового потоку та множення в полі Галуа для автентифікації. GCM вимагає унікальний nonce (12 байт) для кожного повідомлення. Рекомендований NIST, використовується в TLS 1.2/1.3 та Android Keystore.
• CCM (Counter with CBC-MAC) — альтернативний AEAD-режим на основі CTR + CBC-MAC. Повільніший за GCM і не підтримує паралельну обробку. Використовується в протоколах ZigBee та 802.11 (Wi-Fi). Для мобільних додатків кращий GCM.

Для мобільних проектів використовуйте AES-256-GCM з nonce довжиною 12 байт. GCM вирішує дві проблеми одночасно: шифрування даних та перевірка справжності, що запобігає атакам типу padding oracle та chosen ciphertext. Android Keystore та iOS CryptoKit підтримують AES-GCM з коробки без необхідності реалізації додаткових криптографічних примітивів. При роботі з GCM важливо ніколи не повторювати nonce з одним і тим же ключем — це повністю руйнує безпеку шифрування. Генеруйте новий випадковий nonce для кожного шифрування та зберігайте його разом з шифротекстом.

Реалізація AES у мобільних додатках

Розглянемо приклад безпечної реалізації AES-256-GCM на Android з використанням Jetpack Security. Код нижче демонструє повний цикл: створення ключа AES-256 через MasterKey, шифрування та розшифрування рядка з додатковими автентифікованими даними (AAD).

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

Ключова особливість цього рішення — AES-256-GCM використовується на двох рівнях: для шифрування ключів-значень (PrefValueEncryptionScheme) та для захисту самих назв ключів (PrefKeyEncryptionScheme використовує AES-256-SIV, стійкий до повторення nonce). MasterKey генерується з використанням алгоритму AES-256-GCM та зберігається в Android Keystore, захищеному апаратно на пристроях з Trusted Execution Environment. На пристроях без апаратної підтримки (TEE) ключ шифрується через Bouncy Castle, що все одно безпечніше зберігання в SharedPreferences.

Для прямого шифрування великих обсягів даних (наприклад, зображень або файлів) використовуйте AES-256-GCM через EncryptedFile з AndroidX Security. Для експорту ключів (наприклад, для бекапу) використовуйте додаткове шифрування з використанням пароля користувача через PBKDF2 з 100000+ ітерацій.

AES на iOS через CryptoKit

На iOS робота з AES організована через фреймворк CryptoKit (Swift 5.0+). Ключ AES-256 створюється через SymmetricKey(size: .bits256) та зберігається в Secure Enclave — апаратному криптопроцесорі, ізольованому від основного CPU та операційної системи. CryptoKit надає дві реалізації AES: AES.GCM (рекомендований) та AES.CBC (для зворотної сумісності з застарілими форматами). Шифрування виконується через метод seal(), який приймає дані, ключ та nonce (12 байт), а повертає AES.GCM.SealedBox — структуру, що містить шифротекст та тег автентифікації. Розшифрування — через open(). Apple наполегливо не рекомендує використовувати CommonCrypto безпосередньо: CryptoKit автоматично вибирає оптимальні параметри, захищає від side-channel атак та використовує апаратне прискорення AES-NI на процесорах Apple Silicon. На пристроях з Secure Enclave ключі ніколи не покидають апаратний модуль, що виключає їх крадіжку навіть при повній компрометації додатку. Для серіалізації ключа використовується метод withUnsafeBytes з подальшим збереженням в Keychain через SecItemAdd з атрибутом kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly.