Der Advanced Encryption Standard (AES) ist ein symmetrisches Kryptosystem, welches als Nachfolger für DES bzw. 3DES im Oktober 2000 vom National Institute of Standards and Technology (NIST) als Standard bekannt gegeben wurde. Nach seinen Entwicklern Joan Daemen und Vincent Rijmen wird er auch Rijndael-Algorithmus genannt (gesprochen wie dt. "Rheindahl"). Der Name Rijndael ist eine Zusammensetzung aus den ersten beiden Teilen der Nachnamen der Autoren (RIJ + DAE).
Der Algorithmus besitzt eine variable Blockgröße von 128, 192 oder 256 Bit und eine variable Schlüssellänge von 128, 192 oder 256 Bit. Rijndael bietet ein sehr hohes Maß an Sicherheit. Das Verfahren wurde eingehenden kryptoanalytischen Prüfungen unterzogen. Bei Wahl eines entsprechend komplexen Passwortes ist es auch mit größtem Aufwand ohne den jeweiligen Schlüssel nicht möglich die damit codierten Daten zu dechiffrieren. Der Algorithmus ist frei verfügbar und darf ohne Lizenzgebühren eingesetzt oder in Soft- bzw. Hardware implementiert werden. AES ist in den USA für staatliche Dokumente mit höchster Geheimhaltungsstufe zugelassen.
Arbeitsweise
AES (im Folgenden ist mit "AES" der Algorithmus Rijndael gemeint) ist, wie bereits erwähnt, eine Blockchiffre, dessen Blocklänge und Schlüssellänge unabhängig voneinander die Werte 128, 192 oder 256 Bits erhalten kann. Jeder Block wird zunächst in eine zweidimensionale Tabelle mit vier Zeilen geschrieben, dessen Zellen ein Byte groß sind. Die Anzahl der Spalten variiert somit je nach Blockgröße von 4 (128 Bits) bis 8 (256 Bits). Jeder Block wird nun nacheinander bestimmten Transformationen unterzogen. Aber anstatt jeden Block einmal mit dem Schlüssel zu verschlüsseln, wendet AES verschiedene Teile des Schlüssels nacheinander auf den Klartext-Block an. Die Anzahl r dieser Runden variiert und ist von der Schlüssellänge k und Blockgröße b abhängig:
| r | b=128 | b=192 | b=256 |
|---|---|---|---|
| k=128 | 10 | 12 | 14 |
| k=192 | 12 | 12 | 14 |
| k=256 | 14 | 14 | 14 |
S-Box
Eine Substitutionsbox (S-Box) dient als Basis für eine monoalphabetische Verschlüsselung. Sie ist meist als Array implementiert und gibt an, welches Byte wie getauscht wird. Die S-Box in AES basiert auf einem mathematischen Zusammenhang und ist somit fest im Algorithmus implementiert. Doch dies ist kein Schwachpunkt, da die S-Box lediglich zur Vermischung der Bytes in Kombination mit weiteren Operationen und dem Schlüssel genutzt wird.
Ablauf
- Schlüsselexpansion
- Vorrunde
- KeyAddition ()
- Verschlüsselungsrunden (wiederhole solange runde<r)
- Substitution()
- ShiftRow()
- MixColumn()
- KeyAddition()
- Schlussrunde
- Substitution()
- ShiftRow()
- KeyAddition()
Schlüsselexpansion
Zunächst muss der Schlüssel in Teilschlüssel (auch Rundenschlüssel genannt) aufgeteilt werden. Die Rundenschlüssel müssen die gleiche Länge wie die Blöcke erhalten. Somit muss der Benutzerschlüssel auf die Länge expandiert werden. Die Schlüssel werden wieder in zweidimensionalen Tabellen mit vier Zeilen und Zellen der Größe 1 Byte gebildet. Der erste Rundenschlüssel ist identisch mit dem Benutzerschlüssel. Die weiteren Schlüssel werden wie folgt berechnet: Um die Werte für die Zellen in der ersten Spalte eines Rundenschlüssels zu erhalten, wird zunächst das Byte, welches sich in der letzten (je nach Blockgröße: vierten, sechsten oder achten) Spalte befindet und drei Zeilen zurückliegt, durch die S-Box verschlüsselt und anschließend mit dem um eine Schlüssellänge zurückliegendem Byte XOR verknüpft. Befindet sich das zu berechnende Byte an einer Position, die ein ganzzahliger Teiler der Schlüssellänge ist, so wird das berechnete Byte zusätzlich mit einem Eintrag aus der rcon-Tabelle XOR verknüpft. Hierfür wird als Index eine fortlaufende Nummer verwendet. Die rcon-Tabelle ist ähnlich wie die S-Box eine Tabelle in Form eines Arrays, das konstante Werte enthält die auf einem mathematischen Zusammenhang beruhen. Jedes weitere Byte (das sich nicht in der ersten Spalte befindet) wird aus einer XOR-Verknüpfung des vorherigen Bytes ( ) mit dem Byte einer Schlüssellänge vorher ( ) gebildet.
KeyAddition
In der Vorrunde und nach jeder weiteren Verschlüsselungsrunde wird die KeyAddition ausgeführt. Hierbei wird eine bitweise XOR-Verknüpfung zwischen dem Block und dem aktuellen Rundenschlüssel vorgenommen. Dies ist die einzige Funktion in AES, die den Algorithmus vom Benutzerschlüssel abhängig macht.
Substitution
Im ersten Schritt jeder Runde wird für jedes Byte im Block ein Äquivalent in der S-Box gesucht. Somit werden die Daten monoalphabetisch verschlüsselt.
ShiftRow
Wie oben erwähnt, liegt ein Block in Form einer zweidimensionalen Tabelle mit vier Zeilen vor. In diesem Schritt werden die Zeilen um eine bestimmte Anzahl von Spalten nach links verschoben. Überlaufende Zellen werden von rechts fortgesetzt. Die Anzahl der Verschiebungen ist zeilen- und blocklängenabhängig:
| r | b=128 | b=192 | b=256 |
|---|---|---|---|
| Zeile 0 | 0 | 0 | 0 |
| Zeile 1 | 1 | 1 | 1 |
| Zeile 2 | 2 | 2 | 3 |
| Zeile 3 | 3 | 3 | 4 |
MixColumn
Schließlich werden die Spalten vermischt. Es wird zunächst jede Zelle einer Spalte mit einer Konstanten multipliziert und anschließend die Ergebnisse XOR verknüpft. Hinter dieser Vorgehensweise steckt ein komplizierter mathematischer Zusammenhang, der hier nicht näher erläutert wird. Die Konstante wird folgendermaßen bestimmt:
Zeile 1: 2
Zeile 2: 3
Zeile 3: 1
Zeile 4: 1
Entschlüsselung
Bei der Entschlüsselung von Daten wird genau rückwärts vorgegangen. Die Daten werden zunächst wieder in zweidimensionale Tabellen gelesen und die Rundenschlüssel generiert. Allerdings wird nun mit der Schlussrunde angefangen und alle Funktionen in jeder Runde in der umgekehrten Reihenfolge aufgerufen. Durch die vielen XOR-Verknüpfungen unterscheiden sich die meisten Funktionen zum Entschlüsseln nicht von denen zum Verschlüsseln. Jedoch muss eine andere S-Box genutzt werden (die sich aus der original S-Box berechnen lässt) und die Zeilenverschiebungen erfolgen in die andere Richtung.
Anwendung
Literatur
- Joan Daemen, Vincent Rijmen: The Design of Rijndael. The Wide Trail Strategy. ISBN 3540425802 (Englisch)
LEcka Schnecka
Weblinks
- http://csrc.nist.gov/CryptoToolkit/aes/ - Offizielle AES-Website des NIST
- http://www.esat.kuleuven.ac.be/~rijmen/rijndael/ - Website vom Rijndael-Autor Vincent Rijmen
- http://www.realtec.de/privat/arbeiten.shtml - Ausführlichere deutsche Erklärung des Algorithmus (PDF)
- http://www.cryptosystem.net/aes/ - Angriffe auf die Sicherheit von AES
- http://www-cse.ucsd.edu/~fritz/rijndael.html - freie JavaScript Implementierung (für die API noch gut zu wissen: CBC ist besser als ECB und [hier] gibt es eine bessere random()-Funktion)
Siehe auch: Kryptographie