AES：是什么，对称加密算法及其用途

AES密钥大小与安全级别

AES支持三种密钥大小，每种对应特定的密码强度级别。密钥大小的选择影响安全性、性能以及对设备资源的要求。

实用规则：在移动应用中默认使用AES-256。在支持AES-NI的现代设备上，AES-128和AES-256之间的性能差异不超过10–15%，但安全级别翻倍。根据量子分析（Grassl等，2016），通过Grover算法破解AES-128需要2^77次量子操作，而AES-256需要2^149次，这使AES-256能够在未来20–30年内抵抗量子攻击。即使是AES-128也为绝大多数商业场景提供足够的保护：根据Bruce Schneier的估计，完全搜索128位密钥所需的能量比宇宙中存在的还要多。然而，安全标准（GDPR、HIPAA、PCI DSS）通常明确要求AES-256，因此在生产项目中建议使用最大密钥长度。

AES工作模式

AES作为分组密码加密固定大小（128位）的块。对于任意长度数据的加密，使用工作模式（modes of operation）。模式的选择对安全有至关重要的影响：错误的模式可能完全破坏AES的强度。

• ECB（电子密码本）——最简单且最不安全的模式。每个块用相同密钥独立加密。相同的明文块产生相同的密文块，使数据结构可被恢复。在所有现代安全标准中被禁止使用。切勿在移动应用中使用ECB。
• CBC（密码块链接）——每个前一个密文块被用作下一个的初始化向量（IV）。每条消息需要随机IV。在错误实现时容易受到填充预言机攻击。适用于文件加密，但需要MAC（HMAC）确保数据完整性。
• GCM（伽罗瓦/计数器模式）——移动应用的推荐模式。提供认证加密（AEAD）：一步完成加密+完整性检查。使用计数器生成密钥流和伽罗瓦域乘法进行认证。GCM要求每条消息有唯一的nonce（12字节）。由NIST推荐，用于TLS 1.2/1.3和Android Keystore。
• CCM（带CBC-MAC的计数器）——基于CTR+CBC-MAC的替代AEAD模式。比GCM慢且不支持并行处理。用于ZigBee和802.11（Wi-Fi）协议。对于移动应用，GCM更优。

对于移动项目，使用带12字节nonce的AES-256-GCM。GCM同时解决两个问题：数据加密和真实性验证，可防止填充预言机和选择密文攻击。Android Keystore和iOS CryptoKit开箱即用地支持AES-GCM，无需实现额外的加密原语。使用GCM时，切勿用相同密钥重复使用nonce——这会完全破坏加密安全。每次加密生成新的随机nonce，并与密文一起存储。

AES在移动应用中的实现

让我们看看在Android上使用Jetpack Security安全实现AES-256-GCM的示例。以下代码演示了完整流程：通过MasterKey创建AES-256密钥，加密和解密带附加认证数据（AAD）的字符串。

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

fun storeSecureData(key: String, value: String) {
    securePrefs.edit().putString(key, value).apply()
}

fun readSecureData(key: String): String? {
    return securePrefs.getString(key, null)
}

此解决方案的关键特性是在两个层面使用AES-256-GCM：用于加密键值对（PrefValueEncryptionScheme）和保护密钥名称本身（PrefKeyEncryptionScheme使用对nonce重复具有抵抗力的AES-256-SIV）。MasterKey使用AES-256-GCM算法生成，并存储在Android Keystore中，在具有可信执行环境的设备上受硬件保护。在无硬件支持（TEE）的设备上，密钥通过Bouncy Castle加密，这仍然比存储在SharedPreferences中更安全。

对于大量数据（如图像或文件）的直接加密，使用AndroidX Security的EncryptedFile通过AES-256-GCM进行。对于密钥的导出（如备份），使用PBKDF2通过用户密码进行额外加密，迭代次数为100000+。

通过CryptoKit在iOS上使用AES

在iOS上，AES的使用通过CryptoKit框架（Swift 5.0+）组织。AES-256密钥通过SymmetricKey(size: .bits256)创建，并存储在Secure Enclave中——一个与主CPU和操作系统隔离的硬件加密处理器。CryptoKit提供两种AES实现：AES.GCM（推荐）和AES.CBC（用于向后兼容旧格式）。加密通过seal()方法进行，该方法接收数据、密钥和nonce（12字节），并返回AES.GCM.SealedBox——一个包含密文和认证标签的结构。解密通过open()进行。Apple强烈不建议直接使用CommonCrypto：CryptoKit自动选择最优参数，防止侧信道攻击，并在Apple Silicon处理器上使用AES-NI硬件加速。在具有Secure Enclave的设备上，密钥永远不会离开硬件模块，即使在应用完全被攻陷的情况下也无法被盗取。密钥序列化使用withUnsafeBytes方法，随后通过SecItemAdd将密钥存储在Keychain中，属性为kSecAttrAccessible = kSecAttrAccessibleWhenUnlockedThisDeviceOnly。