AES
AES（Advanced Encryption Standard，高级加密标准）是一种对称加密算法，由美国国家标准与技术研究院（NIST）于2001年确立为联邦信息处理标准。本词条介绍的是密码学领域的AES加密算法，它是当今世界应用最广泛的数据加密技术之一。
发展历史
背景与征集
20世纪90年代末期，原有的数据加密标准（DES）由于密钥长度仅为56位，已无法抵御日益强大的计算能力攻击。1997年1月，美国国家标准与技术研究院正式发起征集新一代加密标准的活动，要求新算法必须是分组密码，支持128位数据块，并支持128位、192位和256位三种密钥长度。
这次征集活动吸引了全球密码学界的广泛参与，共收到来自多个国家的15个候选算法。经过三轮严格评审，包括安全性分析、性能测试和实现效率评估，最终在2000年10月选定了由比利时密码学家Joan Daemen和Vincent Rijmen设计的Rijndael算法。
正式确立
2001年11月26日，AES正式成为美国联邦政府的加密标准，并于2002年5月26日成为有效标准。这标志着AES取代DES成为新一代的官方加密算法。由于其卓越的性能和安全性，AES迅速被全球各国政府、金融机构和科技企业采纳。
技术原理
基本结构
AES采用替代-置换网络（SPN）结构，对128位的数据块进行加密。算法将输入数据排列成4×4的字节矩阵，称为状态矩阵（State），然后通过多轮变换操作实现加密。根据密钥长度不同，AES分别执行10轮（128位密钥）、12轮（192位密钥）或14轮（256位密钥）的加密操作。
核心操作
每一轮加密包含四个基本操作：
字节替代（SubBytes）：使用预定义的S盒对状态矩阵中的每个字节进行非线性替换，这是算法中唯一的非线性变换，提供了混淆特性。
行移位（ShiftRows）：将状态矩阵的每一行进行循环左移，第一行不移位，第二行左移1字节，第三行左移2字节，第四行左移3字节。
列混合（MixColumns）：对状态矩阵的每一列进行线性变换，通过伽罗瓦域上的矩阵乘法实现扩散效果，使输入的微小变化影响到整个输出。
轮密钥加（AddRoundKey）：将当前轮的子密钥与状态矩阵进行异或运算，这是密钥参与加密的关键步骤。
密钥扩展
AES使用密钥扩展算法将初始密钥扩展为多个轮密钥。对于128位密钥，需要生成11个128位的轮密钥（初始轮加1个，10个加密轮各1个）。密钥扩展过程涉及字节替换、循环移位和轮常数异或等操作，确保每轮使用的密钥都具有良好的随机性。
算法特点
安全性
AES的安全性建立在坚实的数学基础之上。截至目前，尚未发现针对完整轮数AES的有效攻击方法。最好的理论攻击也仅能攻破简化版本的AES，对实际应用构不成威胁。AES-128的安全强度约为2^128次运算，即使使用当今最强大的超级计算机，破解一个AES-128密钥也需要数十亿年时间。
性能优势
AES在设计时充分考虑了实现效率。算法结构简洁，适合硬件加速实现。现代处理器普遍集成了AES专用指令集（如Intel的AES-NI），使得加密和解密速度大幅提升。在软件实现中，AES也表现出色，加密速度通常可达每秒数百兆字节。
灵活性
AES支持三种密钥长度，用户可根据安全需求和性能要求选择合适的配置。128位密钥适用于大多数商业应用，256位密钥则用于对安全性要求极高的场景，如政府机密信息和军事通信。
应用领域
网络通信
AES是互联网安全协议的核心组件。HTTPS协议中的TLS和SSL广泛使用AES进行数据传输加密。VPN（虚拟专用网络）、SSH（安全外壳协议）等网络安全工具也普遍采用AES保护通信内容。
数据存储
在数据存储领域，AES被用于全盘加密、数据库加密和文件加密。主流操作系统如Windows的BitLocker、macOS的FileVault和Linux的dm-crypt都使用AES作为默认加密算法。云存储服务也普遍采用AES保护用户数据。
移动设备
智能手机和平板电脑使用AES加密存储的敏感信息，包括用户密码、支付信息和个人文件。iOS和Android系统都内置了基于AES的加密机制，确保设备丢失时数据不会泄露。
金融行业
银行和金融机构使用AES保护交易数据和客户信息。ATM机、POS机和网上银行系统都依赖AES确保资金安全。区块链和加密货币领域也广泛应用AES技术。
物联网
随着物联网的发展，AES被应用于智能家居、工业控制和车联网等场景。由于AES的轻量级实现方案，即使是资源受限的嵌入式设备也能高效运行AES加密。
工作模式
AES作为分组密码，需要配合特定的工作模式处理长于128位的数据。常见的工作模式包括：
ECB模式（电子密码本模式）：最简单的模式，将数据分块独立加密，但安全性较低，不推荐使用。
CBC模式（密码块链接模式）：每个明文块先与前一个密文块进行异或后再加密，提供了更好的安全性。
CTR模式（计数器模式）：将AES转换为流密码，支持并行处理，性能优异。
GCM模式（伽罗瓦计数器模式）：结合了加密和消息认证码功能，是目前最推荐的模式，被TLS 1.3等现代协议采用。
安全性评估
自AES发布以来，全球密码学家持续对其进行安全性分析。虽然发现了一些理论上的攻击方法，如相关密钥攻击和双向中间相遇攻击，但这些攻击都需要不现实的前提条件，对实际应用不构成威胁。
2011年，研究人员提出了针对AES-128的改进攻击，将破解复杂度从2^128降低到2^126，但这仍然远超可行范围。AES-256由于轮数更多，安全边际更大，被认为即使在量子计算时代也能提供足够的安全性（需配合更长的密钥）。
标准化与认证
AES不仅是美国联邦标准，也被国际标准化组织（ISO）采纳为国际标准ISO/IEC 18033-3。许多国家将AES纳入本国的密码标准体系。实现AES的产品可以通过FIPS 140等认证，确保符合安全要求。
相关算法
与AES相关的加密算法包括其前身DES和3DES，以及其他AES候选算法如Twofish、Serpent和RC6。在非对称加密领域，AES常与RSA、ECC等算法配合使用，构成混合加密体系。中国的SM4算法在设计上也借鉴了AES的思想。
未来展望
尽管量子计算的发展对传统密码学构成潜在威胁，但AES凭借其较大的密钥空间，预计在未来相当长时间内仍将保持安全。后量子密码学研究正在探索如何增强AES抵御量子攻击的能力。同时，针对新兴应用场景如同态加密和安全多方计算，研究人员也在开发基于AES的新型密码协议。
