AES: шифр без секретов?

Если AES так открыт, почему не все им пользуются?

Полное описание AES опубликовано и доступно любому: оно записано в открытом стандарте, встроено в каждый браузер и телефон, разобрано в учебниках. Его публично пытаются сломать больше двадцати лет — и не могут. Казалось бы, идеальный общий стандарт для всех. Но нет: Россия приняла свой шифр — «Кузнечик», Китай — SM4, собственные стандарты есть и у других стран.

Если алгоритм открыт и за двадцать лет в нём не нашли ни одной практической дыры, что заставляет целые государства годами разрабатывать свой шифр вместо готового? Может, «прозрачность» AES не такая уж и полная?

Как устроен AES

Сначала разберёмся, почему к математике AES почти нет претензий, — а потом вернёмся к тому, почему это убеждает не всех. AES — это подстановочно-перестановочная сеть (SP-сеть): он не делит блок пополам, как сеть Фейстеля, а держит его в матрице байт и каждый раунд меняет её целиком четырьмя слоями операций. Поэтому каждая операция обязана быть обратимой.

Сами понятия confusion и diffusion ввёл Клод Шеннон ещё в 1949 году: он предложил собирать стойкий шифр из многократно повторённых простых замен и перестановок. По этому рецепту в начале 1970-х был устроен и ранний вариант шифра Lucifer в IBM; поздний Lucifer стал сетью Фейстеля и превратился в DES, а AES вернулся к исходной идее.

Открытый — но чей?

Выбирали AES невиданно открыто: в 1997–2000 годах институт стандартов США (NIST) провёл международный конкурс — 15 шифров со всего мира и три года публичного анализа, где слабости искал кто угодно. Победил Rijndael бельгийцев Йоана Дамена и Винсента Рэймена, и в 2001 году он стал стандартом. Это честный процесс и реальная сила AES. И всё же открытость алгоритма — не то же самое, что доверие к тому, кто его выбрал и кто держит стандарт в руках.

У недоверия есть причины в истории. Когда-то АНБ тайно переправило S-блоки шифра DES — позже выяснилось, что ради защиты от атаки, но секретность на двадцать лет породила подозрения. А в 2013 году всплыла история Dual_EC_DRBG — стандартного генератора случайных чисел NIST, в который, судя по всему, АНБ заложило лазейку. В самом AES ничего подобного не нашли — больше того, его S-блок построен по открытому алгебраическому правилу, а не на «магических» числах. Но для государства «скорее всего, чисто» — недостаточное основание, чтобы доверить шифру свои тайны.

Отсюда — криптографический суверенитет: свой шифр, свой регулятор, аудит силами своих экспертов и независимость от чужого стандарта. Это не обязательно значит, что в AES есть закладка, — это значит, что национальную безопасность не строят на доверии к чужому ведомству.

И это не всё: почти у каждой крупной державы есть свой блочный шифр, а общая у них — сама схема SP-сети, на которой построено большинство современных алгоритмов:

Соберите AES своими руками

В интерактивной демонстрации Ludus Lab работают те же операции, что и в настоящем AES, но на крошечном блоке 16 бит (матрица 2×2, 2 раунда) — чтобы каждый шаг был виден целиком. Вы сможете:

• 🔤
  Превратить текст в биты и уложить блок в матрицу 2×2 — ровно так, как AES раскладывает байты по столбцам
• 🔑
  Построить расписание ключей — увидеть, как из одного ключа по цепочке XOR и S-блока получаются K0, K1 и K2 с константами Rcon
• 🔀
  Пройти S-блок — убедиться, что это единственная нелинейная операция, и именно она даёт «запутывание»
• 🌊
  Проверить лавинный эффект — перевернуть один бит входа и увидеть, как после перемешивания меняется около половины бит шифротекста
• 🔄
  Пройти оба раунда и расшифровать результат обратными операциями — и убедиться, что сообщение восстановилось
• 📡
  Передать шифротекст Бобу по открытому каналу — и увидеть, почему Ева, перехватив его, без ключа ничего не получает