FIPS 197 · Усовершенствованный стандарт шифрования (AES)

FIPS 197

Публикация федеральных стандартов обработки информации

Усовершенствованный стандарт шифрования (AES)

Категория: компьютерная безопасность Подкатегория: криптография

Лаборатория информационных технологий
Национальный институт стандартов и технологий
Гейтерсберг, MD 20899-8900

Эта публикация доступна бесплатно по адресу:
https://doi.org/10.6028/NIST.FIPS.197-upd1

Опубликовано 26 ноября 2001 г.; обновлено 9 мая 2023 г.

Министерство торговли США
Дональд Л. Эванс, Секретарь

Управление технологий
Филлип Дж. Бонд, заместитель Секретаря по технологиям

Национальный институт стандартов и технологий
Карен Х. Браун, исполняющая обязанности директора

Предисловие

Серия публикаций федеральных стандартов обработки информации Национального института стандартов и технологий является официальной серией публикаций, относящихся к стандартам и руководствам, разработанным в соответствии с 15 U.S.C. 278g-3 и изданным Секретарём по торговле в соответствии с 40 U.S.C. 11331.

Комментарии относительно этой публикации Федерального стандарта обработки информации приветствуются, и их следует направлять с использованием контактной информации, указанной в пункте «Запросы и комментарии» раздела объявления.

Джеймс А. Сент-Пьер, исполняющий обязанности директора
Лаборатория информационных технологий

Усовершенствованный стандарт шифрования (AES)

Аннотация

В 2000 году NIST объявил о выборе семейства блочных шифров Rijndael победителем конкурса Advanced Encryption Standard (AES). Блочные шифры являются основой для многих криптографических служб, особенно обеспечивающих гарантии конфиденциальности данных.

В настоящем Стандарте определены три представителя семейства Rijndael: AES-128, AES-192 и AES-256. Каждый из них преобразует данные блоками по 128 бит, а числовой суффикс указывает битовую длину соответствующих криптографических ключей.

Ключевые слова: AES; блочный шифр; конфиденциальность; криптография; шифрование; Rijndael.

Публикация федеральных стандартов обработки информации 197

Опубликовано: 26 ноября 2001 г.
Обновлено: 9 мая 2023 г.

Объявление о
УСОВЕРШЕНСТВОВАННОМ СТАНДАРТЕ ШИФРОВАНИЯ (AES)

Публикации федеральных стандартов обработки информации (FIPS) разрабатываются NIST в соответствии с 15 U.S.C. 278g-3 и издаются Секретарём по торговле в соответствии с 40 U.S.C. 11331.

1. Наименование стандарта. Advanced Encryption Standard (AES) (FIPS 197).
2. Категория стандарта. Стандарт компьютерной безопасности, криптография.
3. Пояснение. Advanced Encryption Standard (AES) определяет одобренный FIPS криптографический алгоритм, который может использоваться для защиты электронных данных. Алгоритм AES представляет собой симметричный блочный шифр, который может шифровать (encipher) и расшифровывать (decipher) цифровую информацию.
   
   Алгоритм AES способен использовать криптографические ключи длиной 128, 192 и 256 бит для шифрования и расшифровывания данных блоками по 128 бит.
4. Утверждающий орган. Секретарь по торговле.
5. Организация по сопровождению. Министерство торговли, Национальный институт стандартов и технологий, Лаборатория информационных технологий (ITL).
6. Применимость. Федеральные стандарты обработки информации применяются к информационным системам, используемым или эксплуатируемым федеральными ведомствами, подрядчиком ведомства или иной организацией от имени ведомства. Они не применяются к системам национальной безопасности в значении, определённом в 44 U.S.C. 3552.
   
   Этот Стандарт может использоваться федеральными ведомствами для защиты информации, когда они определили, что шифрование является надлежащим, в соответствии с применимыми политиками Управления по управлению и бюджету и ведомств. Федеральные ведомства также могут использовать альтернативные методы, которые NIST указал как надлежащие для этой цели.
   
   Этот Стандарт может быть принят и использоваться нефедеральными правительственными организациями.
7. Спецификации. Федеральный стандарт обработки информации (FIPS) 197, Advanced Encryption Standard (AES) (прилагается).
8. Реализации. Алгоритм, определённый в настоящем Стандарте, может быть реализован в программном обеспечении, микропрограммном обеспечении, аппаратном обеспечении или любом их сочетании. Конкретная реализация может зависеть от нескольких факторов, таких как приложение, среда, используемая технология и т. д. Алгоритм ДОЛЖЕН (shall) использоваться совместно с одобренным FIPS или рекомендованным NIST режимом работы. Идентификаторы объектов (OIDs) и любые связанные параметры для AES, используемые в этих режимах, доступны в Реестре объектов компьютерной безопасности (CSOR), расположенном по адресу https://csrc.nist.gov/projects/csor.
   
   NIST разработал программу валидации для проверки реализаций на соответствие алгоритмам настоящего Стандарта. Информация о программе валидации доступна по адресу https://nist.gov/cmvp. Примеры для каждого размера ключа доступны по адресу https://csrc.nist.gov/projects/aes.
9. График внедрения. Настоящий Стандарт вступил в силу 26 мая 2002 г.
10. Патенты. Реализации алгоритма, определённого в настоящем Стандарте, могут быть охвачены патентами США и иностранных государств.
11. Экспортный контроль. Некоторые криптографические устройства и технические данные о них подпадают под федеральный экспортный контроль. Экспорт криптографических модулей, реализующих настоящий Стандарт, и технических данных о них ДОЛЖЕН (must) соответствовать всем федеральным законам и нормативным актам и ДОЛЖЕН (must) быть лицензирован Бюро промышленности и безопасности Министерства торговли США. Информация об экспортных правилах доступна по адресу https://www.bis.doc.gov.
12. Оговорки. NIST продолжит отслеживать развитие анализа алгоритма AES. Как и в случае с другими своими стандартами криптографических алгоритмов, NIST будет официально проводить повторную оценку настоящего Стандарта каждые пять лет.
    
    Как настоящий Стандарт, так и возможные угрозы, снижающие безопасность, обеспечиваемую посредством использования настоящего Стандарта, будут проходить проверку NIST по мере необходимости с учётом вновь доступных анализа и технологий. Кроме того, осведомлённость о любом технологическом прорыве или любой математической слабости алгоритма приведёт к тому, что NIST проведёт повторную оценку настоящего Стандарта и внесёт необходимые изменения.
13. Где получить экземпляры. Эта публикация доступна по адресу https://csrc.nist.gov/publications. Другие публикации по компьютерной безопасности доступны на том же веб-сайте.
14. Запросы и комментарии. Запросы и комментарии относительно этого FIPS могут быть направлены по адресу fips-197-comments@nist.gov.
15. Как цитировать эту публикацию. NIST присвоил NIST FIPS 197-upd1 в качестве идентификатора публикации для данного FIPS в соответствии с NIST Technical Series Publication Identifier Syntax. NIST рекомендует цитировать её следующим образом:
    
    National Institute of Standards and Technology (2001) Advanced Encryption Standard (AES). (Department of Commerce, Washington, D.C.), Federal Information Processing Standards Publication (FIPS) NIST FIPS 197-upd1, updated May 9, 2023. https://doi.org/10.6028/NIST.FIPS.197-upd1

Публикация федеральных стандартов обработки информации 197

Спецификация для
УСОВЕРШЕНСТВОВАННОГО СТАНДАРТА ШИФРОВАНИЯ (AES)

Содержание

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

vi

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

Список таблиц

Список рисунков

Список алгоритмов

vii

1. Введение

Блок — это последовательность битов заданной фиксированной длины. Блочный шифр — это семейство перестановок блоков, параметризуемое последовательностью битов, называемой ключом.

В 1997 году NIST начал работу по разработке Advanced Encryption Standard (AES) [1] и призвал общественность представить кандидатные алгоритмы блочных шифров. Блочные шифры являются основой многих криптографических служб, особенно тех, которые обеспечивают гарантии конфиденциальности данных. В 2000 году NIST объявил о выборе Rijndael [2, 3] для AES.

Этот Стандарт определяет три реализации Rijndael: AES-128, AES-192 и AES-256, где суффикс указывает битовую длину ключа. Размер блока (то есть длина входных и выходных данных) в каждом случае составляет 128 битов. Rijndael поддерживает дополнительные размеры блоков и длины ключей, которые не приняты в этом Стандарте.

Этот Стандарт организован следующим образом:

• Раздел 2 определяет термины, сокращения, параметры алгоритма, символы и функции, используемые в этом Стандарте.
• Раздел 3 описывает обозначения и соглашения об упорядочении и индексировании битов, байтов и слов.
• Раздел 4 поясняет некоторые математические компоненты спецификаций AES: арифметику конечных полей и умножение на фиксированную матрицу элементов конечного поля.
• Раздел 5 определяет AES-128, AES-192 и AES-256.
• Раздел 6 содержит рекомендации по реализации, касающиеся требований к длине ключа, ограничений на ключи, расширений параметров и рекомендаций по реализации для различных платформ.
• Приложение A содержит примеры процедур расширения ключа для AES-128, AES-192 и AES-256.
• Приложение B содержит пошаговый пример вызова AES-128.
• Приложение C содержит ссылку на веб-сайт NIST с обширными примерами векторов для AES-128, AES-192 и AES-256.
• Приложение D суммирует обновления исходной версии данной публикации.

1

2. Определения

2.1 Термины и сокращения

В этом Стандарте используются следующие определения:

AES

Advanced Encryption Standard.

Аффинное преобразование

Преобразование, состоящее из умножения на матрицу с последующим сложением вектора.

Массив

Структура данных фиксированного размера, хранящая совокупность элементов, каждый из которых идентифицируется своим целочисленным индексом или индексами.

Бит

Двоичная цифра: 0 или 1.

Блок

Последовательность битов заданной фиксированной длины. В этом Стандарте блоки состоят из 128 битов, иногда представляемых в виде массивов байтов или слов.

Блочный шифр

Семейство перестановок блоков, параметризуемое ключом.

Байт

Последовательность из восьми битов.

Эквивалентный обратный шифр

Альтернативная спецификация обратного преобразования CIPHER() со структурой, подобной структуре CIPHER(), и с модифицированным расписанием ключей в качестве входных данных.

Ключ

Параметр блочного шифра, определяющий выбор перестановки из семейства блочного шифра.

Расписание ключей

Последовательность раундовых ключей, генерируемых из ключа посредством KEYEXPANSION().

Rijndael

Блочный шифр, выбранный NIST победителем конкурса AES.

Раунд

Последовательность преобразований состояния, повторяемая Nr раз в спецификациях CIPHER(), INVCIPHER() и EQINVCIPHER(). Последовательность состоит из четырёх преобразований, за исключением одной итерации, в которой одно из преобразований опущено.

Раундовый ключ

Один из Nr + 1 массивов из четырёх слов, получаемых из ключа блочного шифра с использованием процедуры расширения ключа; каждый раундовый ключ является входными данными для экземпляра ADDROUNDKEY() в блочном шифре AES.

Состояние

Промежуточный результат блочного шифра AES, представленный двумерным массивом байтов с четырьмя строками и Nb столбцами.

S-box

Нелинейная таблица подстановки, используемая в SUBBYTES() и KEYEXPANSION() для выполнения взаимно однозначной подстановки значения байта.

Слово

Группа из 32 битов, рассматриваемая либо как единое целое, либо как массив из 4 байтов.

2

2.2 Список функций

В этом Стандарте определены следующие функции:

ADDROUNDKEY()

Преобразование состояния, при котором раундовый ключ объединяется с состоянием.

AES-128()

Блочный шифр, определённый в этом Стандарте, с 128-битными ключами.

AES-192()

Блочный шифр, определённый в этом Стандарте, с 192-битными ключами.

AES-256()

Блочный шифр, определённый в этом Стандарте, с 256-битными ключами.

CIPHER()

Преобразование блоков, лежащее в основе AES-128, AES-192 и AES-256; расписание ключей и число раундов являются параметрами преобразования.

EQINVCIPHER()

Обратное преобразование CIPHER(), в котором dw заменяет w в качестве параметра расписания ключей.

INVCIPHER()

Обратное преобразование CIPHER().

INVMIXCOLUMNS()

Обратное преобразование MIXCOLUMNS().

INVSBOX()

Обратное преобразование SBOX().

INVSHIFTROWS()

Обратное преобразование SHIFTROWS().

INVSUBBYTES()

Обратное преобразование SUBBYTES().

KEYEXPANSION()

Процедура, генерирующая раундовые ключи из ключа.

KEYEXPANSIONEIC()

Процедура, генерирующая модифицированные раундовые ключи для эквивалентного обратного шифра.

MIXCOLUMNS()

Преобразование состояния, которое берёт все столбцы состояния и смешивает их данные (независимо друг от друга), формируя новые столбцы.

ROTWORD()

Преобразование слов, при котором четыре байта слова циклически переставляются.

SBOX()

Преобразование байтов, определяемое S-box.

SHIFTROWS()

Преобразование состояния, при котором последние три строки циклически сдвигаются на различные смещения.

SUBBYTES()

Преобразование состояния, применяющее S-box независимо к каждому байту состояния.

SUBWORD()

Преобразование слов, при котором S-box применяется к каждому из четырёх байтов слова.

XTIMES()

Преобразование байтов, при котором полиномиальное представление входного байта умножается на x по модулю m(x), образуя полиномиальное представление выходного байта.

3

2.3 Параметры и символы алгоритма

b⁻¹

Мультипликативная обратная величина элемента b в GF(2⁸).

b̃

Входные данные аффинного преобразования в S-box AES.

dw

Массив слов для расписания ключей, являющийся входными данными эквивалентного обратного шифра.

GF(2)

Конечное поле с двумя элементами.

GF(2⁸)

Конечное поле с 256 элементами.

in

Входные данные CIPHER() или INVCIPHER(), представленные массивом из 16 байтов с индексами от 0 до 15.

m(x)

Модуль, определённый в этом стандарте для полиномиального представления байтов как элементов GF(2⁸).

key

Массив из Nk слов, составляющих ключ для AES-128, AES-192 или AES-256.

Nb

Число столбцов, составляющих состояние, где каждый столбец является 32-битным словом. Для этого Стандарта Nb = 4.

Nk

Число 32-битных слов, составляющих ключ. Для AES-128, AES-192 и AES-256 значению Nk присваиваются соответственно 4, 6 и 8 (см. раздел 6.3).

Nr

Число раундов. Для AES-128, AES-192 и AES-256 значению Nr присваиваются соответственно 10, 12 и 14.

out

Выходные данные CIPHER() или INVCIPHER(), представленные массивом из 16 байтов с индексами от 0 до 15.

Rcon

Массив слов для константы раунда.

state

Состояние, представленное двумерным массивом из 16 байтов, со строками и столбцами, индексируемыми от 0 до 3.

u[i]

Для одномерного массива u слов или байтов — элемент массива, индексируемый неотрицательным целым числом i.

u[i..i + 3]

Для массива u слов — последовательность u[i], u[i + 1], u[i + 2], u[i + 3].

w

Массив слов для расписания ключей.

⊕

Либо операция исключающего ИЛИ над битами, либо побитовая операция исключающего ИЛИ над байтами, либо побитовая операция исключающего ИЛИ над словами.

•

Умножение в GF(2⁸).

∗

Умножение целых чисел.

←

Присваивание переменной в псевдокоде.

{}

Разделители для байта в шестнадцатеричной или двоичной записи.

4

FIPS 197 — ADVANCED ENCRYPTION STANDARD (AES)

3. Обозначения и соглашения

3.1 Входные и выходные данные

Бит — это двоичная цифра: 0 или 1. Блок — это последовательность из 128 бит; входные и выходные данные для блочных шифров AES являются блоками. Другой входной величиной для блочных шифров AES, называемой ключом, является битовая последовательность, которая обычно устанавливается заранее и сохраняется при многих вызовах блочного шифра. Длины ключей для AES-128, AES-192 и AES-256 составляют 128 бит, 192 бита и 256 бит соответственно.

3.2 Байты

Основной единицей обработки в алгоритмах AES является байт — последовательность из восьми бит.

Значение байта обозначается конкатенацией восьми битов, заключённой в фигурные скобки (например, {10100011}). Когда биты байта обозначаются индексированной переменной, в настоящем Стандарте принято, что индексы убывают слева направо (то есть {b₇ b₆ b₅ b₄ b₃ b₂ b₁ b₀}).

Также удобно обозначать значения байтов шестнадцатеричной записью. Шестнадцать шестнадцатеричных символов представляют последовательности из четырёх битов, как указано в Таблице 1. Байт представляется упорядоченной парой шестнадцатеричных символов, где левый символ пары представляет четыре самых левых бита (то есть b₇, b₆, b₅, b₄), а правый символ пары представляет четыре самых правых бита (то есть b₃, b₂, b₁, b₀). Например, шестнадцатеричная форма байта {10100011} — {a3}.

3.3 Индексирование последовательностей байтов

Чтобы однозначно представлять входные данные и ключ как последовательности байтов, в настоящем Стандарте принято следующее соглашение об индексировании. Пусть задана последовательность из 8k битов:

r₀ r₁ r₂ … r₍₈ₖ₋₃₎ r₍₈ₖ₋₂₎ r₍₈ₖ₋₁₎                                      (3.1)

(для некоторого положительного целого числа k); байты a_j для 0 ≤ j ≤ k − 1 определяются следующим образом:

aⱼ = {r₈ⱼ r₍₈ⱼ₊₁₎ … r₍₈ⱼ₊₇₎}.                                      (3.2)

Так, например, блок данных

r₀ r₁ r₂ … r₁₂₅ r₁₂₆ r₁₂₇                                      (3.3)

представляется последовательностью байтов

a₀ a₁ a₂ … a₁₃ a₁₄ a₁₅,                                      (3.4)

где

Как описано в разделе 3.2, биты внутри любого отдельного байта индексируются в убывающем порядке слева направо. Такой порядок более естественен для арифметики конечного поля над байтами, описанной в разделе 4. Два вида битовых индексов для последовательностей байтов показаны в Таблице 2.

3.4 Состояние

Внутри алгоритмы для блочных шифров AES выполняются над двумерным массивом байтов (четыре на четыре), называемым состоянием. В массиве состояния, обозначаемом s, каждый отдельный байт имеет два индекса: индекс строки r в диапазоне 0 ≤ r < 4 и индекс столбца c в диапазоне 0 ≤ c < 4. Отдельный байт состояния обозначается либо s_r,c, либо s[r,c].

В спецификациях алгоритмов блочного шифра AES в разделе 5 первым шагом является копирование входного массива байтов in₀, in₁, …, in₁₅ в массив состояния s следующим образом:

s[r,c] = in[r + 4c]     для 0 ≤ r < 4 и 0 ≤ c < 4.                                      (3.6)

Затем к массиву состояния применяется последовательность преобразований, после чего его конечное значение копируется в выходной массив байтов out₀, out₁, …, out₁₅ следующим образом:

out[r + 4c] = s[r,c]     для 0 ≤ r < 4 и 0 ≤ c < 4.                                      (3.7)

Соответствие между индексами входа и выхода и индексами массива состояния показано на Рисунке 1.

3.5 Массивы слов

Слово — это последовательность из четырёх байтов; блок состоит из четырёх слов. Четыре столбца массива состояния s интерпретируются как массив v из четырёх слов следующим образом, в обозначениях Рисунка 1:

Таким образом, индекс столбца c массива s становится индексом для v, а индекс строки r массива s становится индексом для четырёх байтов в каждом слове.

Для одномерного массива слов u запись u[i] обозначает слово с индексом i, а последовательность из четырёх слов u[i], u[i + 1], u[i + 2], u[i + 3] обозначается u[i..i + 3].

4. Математические предварительные сведения

Для некоторых преобразований алгоритмов AES, указанных в разделе 5, каждый байт в массиве состояния интерпретируется как один из 256 элементов конечного поля, также известного как поле Галуа, обозначаемого GF(2⁸).¹

Чтобы определить сложение и умножение в GF(2⁸), каждый байт {b₇ b₆ b₅ b₄ b₃ b₂ b₁ b₀} интерпретируется как многочлен, обозначаемый b(x), следующим образом:

b(x) = b₇x⁷ + b₆x⁶ + b₅x⁵ + b₄x⁴ + b₃x³ + b₂x² + b₁x + b₀.                                      (4.1)

Например, {01100011} представляется многочленом x⁶ + x⁵ + x + 1.

4.1 Сложение в GF(2⁸)

Чтобы сложить два элемента в конечном поле GF(2⁸), коэффициенты многочленов, представляющих эти элементы, складываются по модулю 2 (то есть с операцией исключающего ИЛИ, обозначаемой ⊕), так что 1 ⊕ 1 = 0, 1 ⊕ 0 = 1 и 0 ⊕ 0 = 0.

Эквивалентно два байта можно сложить, применив операцию исключающего ИЛИ к каждой паре соответствующих битов в байтах. Таким образом, суммой {a₇ a₆ a₅ a₄ a₃ a₂ a₁ a₀} и {b₇ b₆ b₅ b₄ b₃ b₂ b₁ b₀} является {a₇⊕b₇ a₆⊕b₆ a₅⊕b₅ a₄⊕b₄ a₃⊕b₃ a₂⊕b₂ a₁⊕b₁ a₀⊕b₀}. (В разделе 5.1.4 это определение распространяется на слова.)

Например, следующие три представления сложения эквивалентны:

(x⁶ + x⁴ + x² + x + 1) + (x⁷ + x + 1) = x⁷ + x⁶ + x⁴ + x²       (многочлен)
{01010111} ⊕ {10000011} = {11010100}                              (двоичное представление)     (4.2)
{57} ⊕ {83} = {d4}                                                  (шестнадцатеричное представление).

Поскольку коэффициенты многочленов приводятся по модулю 2, коэффициент 1 эквивалентен коэффициенту −1, поэтому сложение эквивалентно вычитанию. Например, x⁴ + x² представляет тот же элемент конечного поля, что и x⁴ − x², −x⁴ + x² и −x⁴ − x². Аналогично, сумма любого элемента с самим собой является нулевым элементом.

4.2 Умножение в GF(2⁸)

Символ • обозначает умножение в GF(2⁸). Концептуально это умножение определяется для двух байтов в два шага: 1) два многочлена, представляющие байты, перемножаются как многочлены и 2) результирующий многочлен приводится по модулю следующего фиксированного многочлена:

m(x) = x⁸ + x⁴ + x³ + x + 1.                                      (4.3)

На обоих шагах отдельные коэффициенты многочленов приводятся по модулю 2.

Таким образом, если b(x) и c(x) представляют байты b и c, то b • c представляется следующим приведением по модулю их произведения как многочленов:

b(x)c(x) mod m(x).                                      (4.4)

Приведение по модулю m(x) может применяться к промежуточным шагам при вычислении b(x)c(x); следовательно, полезно рассмотреть частный случай c(x) = x (то есть c = {02}). В частности, произведение b • {02} может быть выражено как функция от b, обозначаемая XTIMES(b), следующим образом:

Условия в формуле (4.5): первая строка — если b₇ = 0; вторая строка — если b₇ = 1.

Умножение на более высокие степени x (такие как {04}, {08} и {10}) может быть реализовано повторным применением XTIMES(). Например, пусть b = {57}:

Эти произведения облегчают вычисление любого кратного {57}. Например, поскольку {13} = {10}⊕{02}⊕{01}, следует, что

4.3 Умножение слов на фиксированную матрицу

Два преобразования — MIXCOLUMNS() и INVMIXCOLUMNS() — в алгоритмах для блочных шифров AES могут быть выражены через умножение матриц. В частности, для каждого преобразования задаётся отдельная фиксированная матрица. Для обеих матриц каждая из 16 записей матрицы является байтом одного заданного слова, обозначаемого здесь [a₀, a₁, a₂, a₃].

Для входного слова [b₀, b₁, b₂, b₃] преобразования выходное слово [d₀, d₁, d₂, d₃] определяется арифметикой конечного поля следующим образом:

Матричная форма уравнения (4.8) имеет вид

4.4 Мультипликативные обратные элементы в GF(2⁸)

Для байта b ≠ {00} его мультипликативным обратным является единственный байт, обозначаемый b⁻¹, такой что

b • b⁻¹ = {01}.                                      (4.10)

Определение преобразования SUBBYTES() в спецификациях блочного шифра AES включает мультипликативные обратные элементы в GF(2⁸), которые можно вычислить следующим образом:

b⁻¹ = b²⁵⁴.                                      (4.11)

В качестве альтернативы, пусть b(x) будет многочленом, представляющим b. Расширенный алгоритм Евклида [5] может быть применён к b(x) и m(x), чтобы найти многочлены a(x) и c(x), такие что

b(x)a(x) + m(x)c(x) = 1.                                      (4.12)

Отсюда следует, что a(x) является многочленом, представляющим b⁻¹.

¹Сведения о свойствах конечных полей можно найти в учебниках, например в Algebra Майкла Артина [4].

FIPS 197 — УСОВЕРШЕНСТВОВАННЫЙ СТАНДАРТ ШИФРОВАНИЯ (AES)

5. Спецификации алгоритмов

Общая функция для выполнения AES-128, AES-192 или AES-256 обозначается как CIPHER(); её обратная функция обозначается как INVCIPHER().²

Ядром алгоритмов для CIPHER() и INVCIPHER() является последовательность фиксированных преобразований состояния, называемая раундом. Каждый раунд требует дополнительного входного значения, называемого раундовым ключом; раундовый ключ — это блок, обычно представляемый как последовательность из четырёх слов (т. е. 16 байтов).

Процедура развёртывания, обозначаемая KEYEXPANSION(), принимает в качестве входа ключ блочного шифра и формирует раундовые ключи в качестве выхода. В частности, вход KEYEXPANSION() представляется как массив слов, обозначаемый key, а выход — как расширенный массив слов, обозначаемый w, называемый расписанием ключа.

Блочные шифры AES-128, AES-192 и AES-256 различаются в трёх отношениях: 1) длиной ключа; 2) числом раундов, определяющим размер требуемого расписания ключа; и 3) спецификацией рекурсии внутри KEYEXPANSION(). Для каждого алгоритма число раундов обозначается Nr, а число слов ключа — Nk. (Число слов в состоянии в общем случае для Rijndael обозначается Nb; в настоящем Стандарте Nb = 4.) Конкретные значения Nk, Nb и Nr приведены в таблице 3. Никакие другие конфигурации Rijndael не соответствуют настоящему Стандарту.

Вопросы реализации, относящиеся к длине ключа, размеру блока и числу раундов, см. в разделе 6.3.

Тремя входными значениями CIPHER() являются: 1) вход данных in, то есть блок, представленный как линейный массив из 16 байтов; 2) число раундов Nr для экземпляра; и 3) раундовые ключи. Таким образом,

AES-128(in,key) = CIPHER(in,10, KEYEXPANSION(key))
AES-192(in,key) = CIPHER(in,12, KEYEXPANSION(key))                                      (5.1)
AES-256(in,key) = CIPHER(in,14, KEYEXPANSION(key)).

Обратные перестановки определяются заменой CIPHER() на INVCIPHER() в уравнении (5.1).

² Неформально эти функции иногда называют «шифрованием» и «расшифрованием», однако нейтральная терминология уместна, поскольку существуют и другие применения блочных шифров помимо шифрования.

Спецификации CIPHER(), KEYEXPANSION() и INVCIPHER() приведены в разделах 5.1, 5.2 и 5.3 соответственно.

5.1 CIPHER()

Раунды в спецификации CIPHER() состоят из следующих четырёх байт-ориентированных преобразований состояния:

• SUBBYTES() применяет таблицу подстановки (S-box) к каждому байту.
• SHIFTROWS() сдвигает строки массива состояния на разные смещения.
• MIXCOLUMNS() перемешивает данные внутри каждого столбца массива состояния.
• ADDROUNDKEY() объединяет раундовый ключ с состоянием.

Четыре преобразования определены в разделах 5.1.1–5.1.4. В этих спецификациях преобразованный бит, байт или блок обозначается добавлением символа ′ в качестве верхнего индекса к исходной переменной (т. е. как b′, b′_i, s′_i,j или s′).

Раундовые ключи для ADDROUNDKEY() формируются KEYEXPANSION(), которая определена в разделе 5.2. В частности, расписание ключа представляется как массив w из 4 ∗ (Nr + 1) слов.

CIPHER() определена псевдокодом в алгоритме 1.

1: procedure CIPHER(in, Nr, w)
2:     state ← in                                      ▹ См. разд. 3.4
3:     state ← ADDROUNDKEY(state,w[0..3])              ▹ См. разд. 5.1.4
4:     for round from 1 to Nr − 1 do
5:         state ← SUBBYTES(state)                     ▹ См. разд. 5.1.1
6:         state ← SHIFTROWS(state)                    ▹ См. разд. 5.1.2
7:         state ← MIXCOLUMNS(state)                   ▹ См. разд. 5.1.3
8:         state ← ADDROUNDKEY(state,w[4 ∗ round..4 ∗ round + 3])
9:     end for
10:    state ← SUBBYTES(state)
11:    state ← SHIFTROWS(state)
12:    state ← ADDROUNDKEY(state,w[4 ∗ Nr..4 ∗ Nr + 3])
13:    return state                                    ▹ См. разд. 3.4
14: end procedure

Первый шаг (строка 2) состоит в копировании входных данных в массив состояния с использованием соглашений из раздела 3.4. После начального добавления раундового ключа (строка 3) массив состояния преобразуется Nr применениями раундовой функции (строки 4–12); заключительный раунд (строки 10–12) отличается тем, что преобразование MIXCOLUMNS() опускается. Затем заключительное состояние возвращается как выход (строка 13), как описано в разделе 3.4.

5.1.1 SUBBYTES()

SUBBYTES() — обратимое нелинейное преобразование состояния, при котором таблица подстановки, называемая S-box, применяется независимо к каждому байту состояния. S-box AES обозначается SBOX().

Пусть b обозначает входной байт SBOX(), а c обозначает постоянный байт {01100011}. Выходной байт b′ = SBOX(b) строится композицией следующих двух преобразований:

1. Определите промежуточное значение b̃ следующим образом, где b⁻¹ — мультипликативная обратная величина к b, как описано в разделе 4.4:

2. Примените следующее аффинное преобразование битов b̃, чтобы получить биты b′:

b′i = b̃i ⊕ b̃(i+4) mod 8 ⊕ b̃(i+5) mod 8 ⊕ b̃(i+6) mod 8 ⊕ b̃(i+7) mod 8 ⊕ ci.                                    (5.3)

Матричная форма уравнения (5.3) приведена ниже в уравнении (5.4):

На рисунке 2 показано, как SUBBYTES() преобразует состояние.

S-box AES представлена в шестнадцатеричной форме в таблице 4. Например, если s_r,c = {53}, то

значение подстановки определяется пересечением строки с индексом «5» и столбца с индексом «3» в таблице 4, так что s′_r,c = {ed}.

5.1.2 SHIFTROWS()

SHIFTROWS() — преобразование состояния, при котором байты в последних трёх строках состояния циклически сдвигаются. Число позиций, на которое сдвигаются байты, зависит от индекса строки r следующим образом:

s′r,c = sr,(c+r) mod 4    for 0 ≤ r < 4 and 0 ≤ c < 4.                                      (5.5)

SHIFTROWS() показано на рисунке 3. В этом представлении состояния эффект состоит в перемещении каждого байта на r позиций влево в строке с циклическим переносом крайних левых r байтов к правому концу строки. Первая строка, для которой r = 0, не изменяется.

5.1.3 MIXCOLUMNS()

MIXCOLUMNS() — преобразование состояния, которое умножает каждый из четырёх столбцов состояния на одну фиксированную матрицу, как описано в разделе 4.3, с элементами, взятыми из следующего слова:

[a0,a1,a2,a3] = [{02},{01},{01},{03}].                                      (5.6)

Таким образом,

так что отдельные выходные байты определяются следующим образом:

На рисунке 4 показано MIXCOLUMNS().

5.1.4 ADDROUNDKEY()

ADDROUNDKEY() — преобразование состояния, при котором раундовый ключ объединяется с состоянием посредством применения побитовой операции XOR. В частности, каждый раундовый ключ состоит из четырёх слов расписания ключа (описанного в разделе 5.2), каждое из которых объединяется со столбцом состояния следующим образом:

[s′0,c,s′1,c,s′2,c,s′3,c] = [s0,c,s1,c,s2,c,s3,c] ⊕ [w(4∗round+c)]    for 0 ≤ c < 4                                      (5.9)

где round — значение в диапазоне 0 ≤ round ≤ Nr, а w[i] — массив слов расписания ключа, описанный в разделе 5.2. В спецификации CIPHER() ADDROUNDKEY() вызывается Nr + 1 раз — один раз до первого применения раундовой функции (см. алгоритм 1) и один раз внутри каждого из Nr раундов, когда 1 ≤ round ≤ Nr.

Действие этого преобразования показано на рисунке 5, где l = 4 ∗ round. Адрес байта внутри слов расписания ключа был описан в разделе 3.5.

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

5.2 KEYEXPANSION()

KEYEXPANSION() — это процедура, применяемая к ключу для формирования 4 ∗ (Nr + 1) слов. Таким образом, для каждого из Nr + 1 применений ADDROUNDKEY() в спецификации CIPHER(), как описано в разделе 5.1.4, формируются четыре слова. Результат процедуры состоит из линейного массива слов, обозначаемого w[i], где i находится в диапазоне 0 ≤ i < 4 ∗ (Nr + 1).

KEYEXPANSION() использует 10 фиксированных слов, обозначаемых Rcon[j], для 1 ≤ j ≤ 10. Эти 10 слов называются константами раунда. Для AES-128 при формировании каждого из 10 раундовых ключей используется отдельная константа раунда. Для AES-192 и AES-256 процедура расширения ключа использует соответственно первые восемь и семь из этих же констант. Значения Rcon[j] приведены в шестнадцатеричной нотации в таблице 5:

Значение самого левого байта Rcon[j] в полиномиальной форме равно x^j−1. Обратите внимание, что при j > 0 эти байты могут быть сформированы последовательным применением XTIMES() к байту, представленному x^j−1 (см. уравнение 4.5).

В KEYEXPANSION() вызываются два преобразования слов: ROTWORD() и SUBWORD(). Для входного слова, представленного последовательностью [a₀, a₁, a₂, a₃] из четырёх байтов,

ROTWORD([a₀,a₁,a₂,a₃]) = [a₁,a₂,a₃,a₀],                                      (5.10)

и

SUBWORD([a₀,...,a₃]) = [SBOX(a₀), SBOX(a₁), SBOX(a₂), SBOX(a₃)].              (5.11)

Расширение ключа выполняется согласно псевдокоду в алгоритме 2. Первые Nk слов расширенного ключа являются самим ключом. Каждое последующее слово w[i] формируется рекурсивно из предшествующего слова w[i − 1] и слова на Nk позиций ранее, w[i − Nk], следующим образом:

• Если i кратно Nk, то w[i] = w[i − Nk] ⊕ SUBWORD(ROTWORD(w[i − 1])) ⊕ Rcon[i/Nk].
• Для AES-256, если i + 4 кратно 8, то w[i] = w[i − Nk] ⊕ SUBWORD(w[i − 1]).
• Во всех остальных случаях w[i] = w[i − Nk] ⊕ w[i − 1].

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

Алгоритм 2 Псевдокод для KEYEXPANSION()
1:  procedure KEYEXPANSION(key)
2:      i ← 0
3:      while i ≤ Nk − 1 do
4:          w[i] ← key[4 ∗ i..4 ∗ i + 3]
5:          i ← i + 1
6:      end while                         ▹ По завершении цикла i = Nk.
7:      while i ≤ 4 ∗ Nr + 3 do
8:          temp ← w[i − 1]
9:          if i mod Nk = 0 then
10:             temp ← SUBWORD(ROTWORD(temp)) ⊕ Rcon[i/Nk]
11:         else if Nk > 6 and i mod Nk = 4 then
12:             temp ← SUBWORD(temp)
13:         end if
14:         w[i] ← w[i − Nk] ⊕temp
15:         i ← i + 1
16:     end while
17:     return w
18: end procedure

На рисунках 6, 7 и 8 показана KEYEXPANSION() для AES-128, AES-192 и AES-256.

5.3 INVCIPHER()

Для реализации INVCIPHER() преобразования в спецификации CIPHER() (раздел 5.1) инвертируются и выполняются в обратном порядке. Инвертированные преобразования состояния — обозначаемые INVSHIFTROWS(), INVSUBBYTES(), INVMIXCOLUMNS() и ADDROUNDKEY() — описаны в разделах 5.3.1–5.3.4.

INVCIPHER() описывается в псевдокоде алгоритма 3, где массив w обозначает расписание ключа, как описано в разделе 5.2.

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

FIPS 197 ADVANCED ENCRYPTION STANDARD (AES)

Алгоритм 3 Псевдокод для INVCIPHER()
1:  procedure INVCIPHER(in, Nr, w)
2:      state ← in                                      ▹ См. разд. 3.4
3:      state ← ADDROUNDKEY(state,w[4 ∗ Nr..4 ∗ Nr + 3]) ▹ См. разд. 5.1.4
4:      for round from Nr − 1 downto 1 do
5:          state ← INVSHIFTROWS(state)                 ▹ См. разд. 5.3.1
6:          state ← INVSUBBYTES(state)                  ▹ См. разд. 5.3.2
7:          state ← ADDROUNDKEY(state,w[4 ∗ round..4 ∗ round + 3])
8:          state ← INVMIXCOLUMNS(state)                ▹ См. разд. 5.3.3
9:      end for
10:     state ← INVSHIFTROWS(state)
11:     state ← INVSUBBYTES(state)
12:     state ← ADDROUNDKEY(state,w[0..3])
13:     return state
14: end procedure

5.3.1 INVSHIFTROWS()

INVSHIFTROWS() является обратным преобразованием SHIFTROWS(). В частности, байты в последних трёх строках состояния циклически сдвигаются следующим образом:

s′r,c = sr,(c−r) mod 4      для 0 ≤ r < 4 и 0 ≤ c < 4.                         (5.12)

INVSHIFTROWS() проиллюстрировано на рисунке 9. В таком представлении состояния эффект заключается в перемещении каждого байта на r позиций вправо в строке, при этом крайние правые r байтов циклически переносятся в левый конец строки. Первая строка, для которой r = 0, не изменяется.

FIPS 197. Стандарт усовершенствованного шифрования (AES)

5.3.2 INVSUBBYTES()

INVSUBBYTES() является обратной операцией к SUBBYTES(), при которой к каждому байту состояния применяется обратная к SBOX(), обозначаемая INVSBOX(). INVSBOX() получается из таблицы 4 перестановкой ролей входов и выходов, как показано в таблице 6:

5.3.3 INVMIXCOLUMNS()

INVMIXCOLUMNS() является обратной операцией к MIXCOLUMNS(). В частности, INVMIXCOLUMNS() умножает каждый из четырёх столбцов состояния на одну фиксированную матрицу, как описано в разделе 4.3, элементы которой берутся из следующего слова:

[a₀, a₁, a₂, a₃] = [{0e}, {09}, {0d}, {0b}].                                            (5.13)

Таким образом,

В результате этого умножения матриц четыре байта в столбце заменяются следующими:

5.3.4 Обратная операция к ADDROUNDKEY()

ADDROUNDKEY(), описанная в разделе 5.1.4, является собственной обратной операцией.

5.3.5 EQINVCIPHER()

Несколько свойств алгоритма AES допускают альтернативное описание обратной операции к CIPHER(), называемое эквивалентным обратным шифром и обозначаемое EQINVCIPHER(). В описании EQINVCIPHER() преобразования раундовой функции шифра в алг. 1 непосредственно заменяются их обратными преобразованиями в EQINVCIPHER() в том же порядке. Эффективность этой структуры по сравнению с описанием INVCIPHER() в алг. 3 объясняется в документе с предложением Rijndael [2].

Псевдокод эквивалентного обратного шифра, приведённый в алг. 4, использует модифицированное расписание ключей, обозначаемое массивом слов dw. Процедура формирования dw является расширением KEYEXPANSION(), обозначаемым KEYEXPANSIONEIC(); её псевдокод приведён в алг. 5.

Алгоритм 4. Псевдокод для EQINVCIPHER()

1: procedure EQINVCIPHER(in, Nr, dw)
2:     state ← in
3:     state ← ADDROUNDKEY(state,dw[4 ∗ Nr..4 ∗ Nr + 3])
4:     for round from Nr − 1 downto 1 do
5:         state ← INVSUBBYTES(state)
6:         state ← INVSHIFTROWS(state)
7:         state ← INVMIXCOLUMNS(state)
8:         state ← ADDROUNDKEY(state,dw[4 ∗ round..4 ∗ round + 3])
9:     end for
10: state ← INVSUBBYTES(state)
11: state ← INVSHIFTROWS(state)
12: state ← ADDROUNDKEY(state,dw[0..3])
13: return state
14: end procedure

Алгоритм 5. Псевдокод для KEYEXPANSIONEIC()

1: procedure KEYEXPANSIONEIC(key)
2:     i ← 0
3:     while i ≤ Nk − 1 do
4:         w[i] ← key[4i..4i + 3]
5:         dw[i] ← w[i]
6:         i ← i + 1
7:     end while                         ▷ По завершении цикла i = Nk.
8:     while i ≤ 4 ∗ Nr + 3 do
9:         temp ← w[i − 1]
10:        if i mod Nk = 0 then
11:            temp ← SUBWORD(ROTWORD(temp)) ⊕ Rcon[i/Nk]
12:        else if Nk > 6 and i mod Nk = 4 then
13:            temp ← SUBWORD(temp)
14:        end if
15:        w[i] ← w[i − Nk] ⊕temp
16:        dw[i] ← w[i]
17:        i ← i + 1
18:    end while
19:    for round from 1 to Nr − 1 do
20:        i ← 4 ∗ round
21:        dw[i..i + 3] ← INVMIXCOLUMNS(dw[i..i + 3])   ▷ Обратите внимание на изменение типа.
22:    end for
23:    return dw
24: end procedure

Первый и последний раундовые ключи в dw совпадают с ключами в w; модификация остальных раундовых ключей описана в строках 19–22. Комментарий в строке 21 относится ко входу INVMIXCOLUMNS(): одномерный массив слов преобразуется в двумерный массив байтов, как на рис. 1.

6. Соображения по реализации

6.1 Требования к длине ключа

Реализация алгоритма AES ДОЛЖНА (shall) поддерживать по меньшей мере одну из трёх длин ключа, указанных в разд. 5: 128, 192 или 256 битов (то есть Nk = 4, 6 или 8 соответственно). Реализации могут дополнительно поддерживать две или три длины ключа, что может способствовать взаимодействию реализаций алгоритма.

6.2 Ограничения на ключи

Если криптографический ключ был сгенерирован надлежащим образом (рекомендации см. в NIST Special Publication 800-133, Rev. 2 [6]), при использовании полученного ключа для алгоритма AES никаких ограничений не налагается.

6.3 Расширения параметров

В таблице 3 настоящий Стандарт явно определяет допустимые значения длины ключа (Nk), размера блока (Nb) и числа раундов (Nr). Однако будущие редакции настоящего Стандарта могут включать изменения или дополнения допустимых значений этих параметров. Поэтому разработчики реализации могут выбрать проектирование своих реализаций AES с учётом будущей гибкости.

6.4 Рекомендации по реализации для различных платформ

Возможны варианты реализации, которые во многих случаях могут предоставлять преимущества в производительности или иные преимущества. При одинаковых входных ключе и данных (открытом тексте или шифртексте) любая реализация, которая производит тот же выход (шифртекст или открытый текст), что и алгоритм, определённый в настоящем Стандарте, является эквивалентной реализацией алгоритма AES.

Документ с предложением AES [2] и другие ресурсы, расположенные на странице AES [7], содержат рекомендации по эффективной реализации алгоритма AES на различных платформах. Предлагаемые реализации предназначены для объяснения внутренней работы алгоритма AES, но не обеспечивают защиты от различных атак на реализацию.

Физическая реализация может раскрывать зависящую от ключа информацию по побочным каналам, например через время, затрачиваемое на вычисление, или при внесении сбоев в вычисление. Если такие атаки являются неинвазивными, они могут быть эффективными даже при наличии механизмов обнаружения физического вмешательства в устройство. Например, атаки по времени доступа к кэшу могут влиять на реализации AES на программных платформах, использующих кэш для ускорения доступа к данным из основной памяти.

Следует рассматривать защиту реализаций алгоритма AES от атак на реализацию там, где это применимо. Такие соображения выходят за рамки настоящего документа, но учитываются при тестировании на соответствие алгоритму, определённому в настоящем Стандарте, согласно программе валидации, разработанной NIST (см. https://nist.gov/cmvp).

6.5 Режимы работы

Режимы работы блочного шифра — это криптографические функции, использующие блочный шифр для предоставления информационных услуг, таких как конфиденциальность и аутентификация. Рекомендованные NIST режимы работы определены в серии публикаций NIST Special Publications 800-38. Дополнительная информация доступна по адресу https://csrc.nist.gov/Projects/block-cipher-techniques/BCM.

Список литературы

1. James Nechvatal, Elaine Barker, Lawrence Bassham, William Burr, Morris Dworkin, James Foti, and Edward Roback. Report on the Development of the Advanced Encryption Standard (AES). Journal of Research of NIST (NIST JRES), May 2001. https://doi.org/10.6028/jres.106.023.
2. Joan Daemen and Vincent Rijmen. AES Proposal: Rijndael Document Version 2. AES Algorithm Submission, September 1999. Available at https://csrc.nist.gov/csrc/media/projects/cryptographic-standards-and-guidelines/documents/aes-development/rijndael-ammended.pdf.
3. Joan Daemen and Vincent Rijmen. The Design of Rijndael - The Advanced Encryption Standard (AES), Second Edition. Information Security and Cryptography. Springer, 2020. https://doi.org/10.1007/978-3-662-60769-5.
4. Michael Artin. Algebra. Pearson Modern Classic. Pearson, second edition, 2017.
5. Alfred J. Menezes, Scott A. Vanstone, and Paul C. Van Oorschot. Handbook of Applied Cryptography. CRC Press, Inc., USA, 1st edition, 1997. https://doi.org/10.1201/9780429466335.
6. Elaine Barker, Allen Roginsky, and Richard Davis. Recommendation for Cryptographic Key Generation. (National Institute of Standards and Technology, Gaithersburg, MD), NIST Special Publication (SP) 800-133, Rev. 2, June 2020. https://doi.org/10.6028/NIST.SP.800-133r2.
7. National Institute of Standards and Technology. AES Development, 2022. Available at https://csrc.nist.gov/projects/aes.
8. National Institute of Standards and Technology. Cryptographic Standards and Guidelines: Examples with Intermediate Values, 2022. Available at https://csrc.nist.gov/projects/cryptographic-standards-and-guidelines/example-values.
9. National Institute of Standards and Technology. Crypto Publications Review Board, 2022. Available at https://csrc.nist.gov/projects/crypto-publication-review-project.
10. Nicky Mouha. Review of the Advanced Encryption Standard. (National Institute of Standards and Technology, Gaithersburg, MD), NIST Interagency Report (IR) 8319. https://doi.org/10.6028/NIST.IR.8319.

FIPS 197

ADVANCED ENCRYPTION STANDARD (AES)

Приложение A — Примеры развёртывания ключа

В этом приложении показано построение расписания ключа для каждого размера ключа. Обратите внимание, что многобайтные значения представлены с использованием обозначений, описанных в разд. 3. Промежуточные значения, получаемые при построении расписания ключа (см. разд. 5.2), приведены в следующей таблице (все значения представлены в шестнадцатеричном формате, за исключением столбца индекса (i)).

A.1 Развёртывание 128-битного ключа

В этом разделе приведено развёртывание следующего ключа:

Key = 2b 7e 15 16 28 ae d2 a6 ab f7 15 88 09 cf 4f 3c

для Nk = 4, в результате чего получаем

w₀ = 2b7e1516    w₁ = 28aed2a6    w₂ = abf71588    w₃ = 09cf4f3c

A.2 Развёртывание 192-битного ключа

В этом разделе приведено развёртывание следующего ключа:

Key =  8e 73 b0 f7 da 0e 64 52 c8 10 f3 2b
       80 90 79 e5 62 f8 ea d2 52 2c 6b 7b

для Nk = 6, в результате чего получаем

w₀ = 8e73b0f7    w₁ = da0e6452    w₂ = c810f32b
w₃ = 809079e5    w₄ = 62f8ead2    w₅ = 522c6b7b

A.3 Развёртывание 256-битного ключа

В этом разделе приведено развёртывание следующего ключа:

Key =  60 3d eb 10 15 ca 71 be 2b 73 ae f0 85 7d 77 81
       1f 35 2c 07 3b 61 08 d7 2d 98 10 a3 09 14 df f4

для Nk = 8, в результате чего получаем

w₀ = 603deb10    w₁ = 15ca71be    w₂ = 2b73aef0    w₃ = 857d7781
w₄ = 1f352c07    w₅ = 3b6108d7    w₆ = 2d9810a3    w₇ = 0914dff4

Приложение B — Пример шифрования

Следующая схема показывает значения в массиве состояния по мере выполнения шифрования для длины блока и длины ключа по 16 байтов каждая (то есть Nb = 4 и Nk = 4).

Input = 32 43 f6 a8 88 5a 30 8d 31 31 98 a2 e0 37 07 34
Key   = 2b 7e 15 16 28 ae d2 a6 ab f7 15 88 09 cf 4f 3c

Значения раундового ключа взяты из примера развёртывания ключа в приложении A.1.

32 88 31 e0
43 5a 31 37
f6 30 98 07
a8 8d a2 34

2b 28 ab 09
7e ae f7 cf
15 d2 15 4f
16 a6 88 3c

19 a0 9a e9
3d f4 c6 f8
e3 e2 8d 48
be 2b 2a 08

d4 e0 b8 1e
27 bf b4 41
11 98 5d 52
ae f1 e5 30

d4 e0 b8 1e
bf b4 41 27
5d 52 11 98
30 ae f1 e5

04 e0 48 28
66 cb f8 06
81 19 d3 26
e5 9a 7a 4c

a0 88 23 2a
fa 54 a3 6c
fe 2c 39 76
17 b1 39 05

a4 68 6b 02
9c 9f 5b 6a
7f 35 ea 50
f2 2b 43 49

49 45 7f 77
de db 39 02
d2 96 87 53
89 f1 1a 3b

49 45 7f 77
db 39 02 de
87 53 d2 96
3b 89 f1 1a

58 1b db 1b
4d 4b e7 6b
ca 5a ca b0
f1 ac a8 e5

f2 7a 59 73
c2 96 35 59
95 b9 80 f6
f2 43 7a 7f

aa 61 82 68
8f dd d2 32
5f e3 4a 46
03 ef d2 9a

ac ef 13 45
73 c1 b5 23
cf 11 d6 5a
7b df b5 b8

ac ef 13 45
c1 b5 23 73
cf 11 d6 5a
b8 7b df b5

75 20 53 bb
ec 0b c0 25
09 63 cf d0
93 33 7c dc

3d 47 1e 6d
80 16 23 7a
47 fe 7e 88
7d 3e 44 3b

48 67 4d d6
6c 1d e3 5f
4e 9d b1 58
ee 0d 38 e7

52 85 e3 f6
50 a4 11 cf
2f 5e c8 6a
28 d7 07 94

52 85 e3 f6
a4 11 cf 50
c8 6a 2f 5e
94 28 d7 07

0f 60 6f 5e
d6 31 c0 b3
da 38 10 13
a9 bf 6b 01

ef a8 b6 db
44 52 71 0b
a5 5b 25 ad
41 7f 3b 00

e0 c8 d9 85
92 63 b1 b8
7f 63 35 be
e8 c0 50 01

e1 e8 35 97
4f fb c8 6c
d2 fb 96 ae
9b ba 53 7c

e1 e8 35 97
fb c8 6c 4f
96 ae d2 fb
7c 9b ba 53

25 bd b6 4c
d1 11 3a 4c
a9 d1 33 c0
ad 68 8e b0

d4 7c ca 11
d1 83 f2 f9
c6 9d b8 15
f8 87 bc bc

FIPS 197

СТАНДАРТ УСОВЕРШЕНСТВОВАННОГО ШИФРОВАНИЯ (AES)

f1 c1 7c 5d
00 92 c8 b5
6f 4c 8b d5
55 ef 32 0c

a1 78 10 4c
63 4f e8 d5
a8 29 3d 03
fc df 23 fe

a1 78 10 4c
4f e8 d5 63
3d 03 a8 29
fe fc df 23

4b 2c 33 37
86 4a 9d d2
8d 89 f4 18
6d 80 e8 d8

6d 11 db ca
88 0b f9 00
a3 3e 86 93
7a fd 41 fd

26 3d e8 fd
0e 41 64 d2
2e b7 72 8b
17 7d a9 25

f7 27 9b 54
ab 83 43 b5
31 a9 40 3d
f0 ff d3 3f

f7 27 9b 54
83 43 b5 ab
40 3d 31 a9
3f f0 ff d3

14 46 27 34
15 16 46 2a
b5 15 56 d8
bf ec d7 43

4e 5f 84 4e
54 5f a6 a6
f7 c9 4f dc
0e f3 b2 4f

5a 19 a3 7a
41 49 e0 8c
42 dc 19 04
b1 1f 65 0c

be d4 0a da
83 3b e1 64
2c 86 d4 f2
c8 c0 4d fe

be d4 0a da
3b e1 64 83
d4 f2 2c 86
fe c8 c0 4d

00 b1 54 fa
51 c8 76 1b
2f 89 6d 99
d1 ff cd ea

ea b5 31 7f
d2 8d 2b 8d
73 ba f5 29
21 d2 60 2f

ea 04 65 85
83 45 5d 96
5c 33 98 b0
f0 2d ad c5

87 f2 4d 97
ec 6e 4c 90
4a c3 46 e7
8c d8 95 a6

87 f2 4d 97
6e 4c 90 ec
46 e7 4a c3
a6 8c d8 95

47 40 a3 4c
37 d4 70 9f
94 e4 3a 42
ed a5 a6 bc

ac 19 28 57
77 fa d1 5c
66 dc 29 00
f3 21 41 6e

eb 59 8b 1b
40 2e a1 c3
f2 38 13 42
1e 84 e7 d2

e9 cb 3d af
09 31 32 2e
89 07 7d 2c
72 5f 94 b5

e9 cb 3d af
31 32 2e 09
7d 2c 89 07
b5 72 5f 94

d0 c9 e1 b6
14 ee 3f 63
f9 25 0c 0c
a8 89 c8 a6

39 02 dc 19
25 dc 11 6a
84 09 85 0b
1d fb 97 32

Приложение C — Примеры векторов

NIST Computer Security Resource Center предоставляет веб-сайт с «примерами с промежуточными значениями» для AES [8].

Приложение D — Журнал изменений (информационное)

Исходный FIPS 197 (26 ноября 2001 г.) был рассмотрен и обновлён под эгидой Совета NIST по обзору криптографических публикаций [9]. Публичные комментарии и анализы безопасности AES, описанные в NIST IR 8319 [10], послужили основой для решения сохранить технические спецификации Стандарта.

Ниже приведено краткое изложение редакционных изменений исходного FIPS 197 в обновлении от 9 мая 2023 г., NIST FIPS 197-upd1:

1. Было улучшено форматирование многих элементов публикации, а текст был пересмотрен для ясности.
2. В предварительную часть были добавлены следующие элементы: титульный лист, предисловие, аннотация и ключевые слова. Имена и аффилиации должностных лиц на титульном листе отражают исходную публикацию.
3. Разделы объявлений были обновлены с учётом действующих законов, нормативных актов, стандартов, руководств и программ валидации.
4. Раздел 1 был пересмотрен, чтобы 1) добавить и обновить ссылки на работы по разработке AES и 2) явно назвать AES-128, AES-192 и AES-256.
5. Материал прежнего раздела 2.2 (Параметры алгоритма, символы и функции) был разделён на два новых раздела: 2.2 (Список функций) и 2.3 (Параметры алгоритма и символы).
6. Термины, функции и символы из спецификаций всесторонне включены в перечни в разделах 2.1–2.3.
7. Описание соглашения об индексировании было удалено из раздела 3.1.
8. Таблица 1 была пересмотрена, а текст прежнего раздела 3.2 о полиномиальной интерпретации байтов был пересмотрен и перенесён в раздел 4.
9. В раздел 3.3 перед специализацией на примере блока было добавлено общее определение индексирования последовательностей байтов, а таблица 2 была пересмотрена.
10. Заголовок раздела 3.5 был изменён, чтобы сосредоточиться на массивах слов, и в текст было включено их обозначение. Слова-столбцы состояния были представлены в вертикальном формате с улучшенным описанием индексов.
11. Ссылка на дополнительную информацию о конечных полях [4] была включена в сноску в разделе 4, а заголовки разделов 4.1 и 4.2 были пересмотрены, чтобы явно упоминать GF(2⁸).
12. Раздел 4.2 был пересмотрен для предоставления явного общего описания умножения в конечном поле. Прежний раздел 4.2.1 был включён в пересмотренный раздел 4.2: исходный пример модульного приведения полинома был заменён иллюстрацией умножения в конечном поле с использованием xtime.
13. Заголовок раздела 4.3 был пересмотрен, чтобы сосредоточиться на умножении на фиксированную матрицу, а текст раздела был упрощён путём удаления вторичной интерпретации как полиномиального приведения. Описания MIXCOLUMNS() и INVMIXCOLUMNS() в разделах 5.1.3 и 5.3.3 были соответственно пересмотрены, чтобы отсылать к этой конструкции.
14. Текст о мультипликативных обратных элементах в GF(2⁸) из прежнего раздела 4.2 был пересмотрен и перенесён в новый раздел 4.4.
15. Обсуждение спецификаций алгоритма в разделе 5 было расширено для разъяснения взаимосвязей между его компонентами. Новое краткое объяснение Nb как параметра Rijndael позволило заменить Nb его постоянным значением 4 в остальной части Стандарта.
16. Псевдокод шифра, процедуры развёртывания ключа и обратного шифра в разделах 5.1, 5.2 и 5.3 был переформатирован, а часть текста в этих разделах была пересмотрена для ясности.
17. Описания SHIFTROWS() в разделе 5.1.2 и INVSHIFTROWS() в разделе 5.3.2 были улучшены, а ошибка в последнем была исправлена.
18. Иллюстрации трёх экземпляров KEYEXPANSION() на новых рис. 6, 7 и 8 были добавлены в раздел 5.2. Текст раздела также был пересмотрен, включая явное отображение констант раунда на новом рис. 5.
19. В раздел 5.3.5 был добавлен отдельный алгоритм для модифицированной процедуры развёртывания ключа для эквивалентного обратного шифра вместо одних лишь дополнительных строк. Описание эквивалентного обратного шифра было упрощено в пользу ссылки на обновлённый источник [3].
20. Раздел 6.2 был пересмотрен, чтобы включить ссылку на NIST Special Publication 800-133, Rev. 2 [6].
21. Раздел 6.4 был пересмотрен для расширения обсуждения атак на реализацию.
22. Раздел «Ссылки» более не обозначается как приложение. Ссылки были обновлены для замены отозванных публикаций и исправления сведений о цитировании и URL-адресов.
23. Примеры в приложении C были удалены в пользу ссылки на подробные примеры векторов, которые теперь поддерживаются в [8].
24. Приложение D было создано для обобщения изменений в этом обновлении FIPS 197.