AES-Verschlüsselungstool

AES (Advanced Encryption Standard) ist der am weitesten verbreitete symmetrische Verschlüsselungsalgorithmus weltweit, von der NSA für den Schutz von TOP SECRET-Informationen zugelassen. AES wurde von den belgischen Kryptographen Joan Daemen und Vincent Rijmen als Rijndahl-Chiffre entworfen und 2001 von NIST als Ersatz für den unsicheren DES-Algorithmus veröffentlicht. AES verwendet Blockverschlüsselung mit 128-Bit-Blöcken (16 Bytes) und unterstützt drei Schlüssellängen: 128, 192 und 256 Bit. Längere Schlüssel bieten höhere Sicherheit, aber etwas langsamere Performance. Als symmetrischer Algorithmus verwendet AES denselben Schlüssel für Ver- und Entschlüsselung. AES wird in vielen Bereichen eingesetzt: TLS/SSL für Web und E-Mail, BitLocker/FileVault für Festplattenverschlüsselung, Datenbankverschlüsselung und IoT-Sicherheit. Dieses Tool unterstützt alle 6 AES-Modi (ECB, CBC, CFB, OFB, CTR, GCM) und 5 Padding-Schemata.

AES (Advanced Encryption Standard) wurde im November 2001 von NIST als FIPS 197 veröffentlicht, nach einem fünfjährigen öffentlichen Wettbewerb, der 1997 mit 15 Kandidaten begann. Der Sieger war Rijndael, entworfen von den belgischen Kryptographen Joan Daemen und Vincent Rijmen, das sich gegen Finalisten wie Twofish, Serpent, RC6 und Mars durchsetzte. AES ersetzte DES (FIPS 46, 2005 zurückgezogen) und ist heute der weltweit am weitesten verbreitete symmetrische Blockchiffre: Er steckt in TLS 1.2/1.3, IPsec, BitLocker, FileVault, OpenSSLs Standard `aes-256-gcm`, dem Linux-Kernel dm-crypt, Apples CryptoKit und Androids Keystore. Die NSA genehmigte AES-256 bereits 2003 für TOP SECRET (Suite A), womit AES der erste öffentlich verfügbare Chiffre war, der für die höchste US-Geheimhaltungsstufe freigegeben wurde. Die Blockgröße ist fest auf 128 Bit (16 Bytes) gesetzt; Schlüssellängen sind 128, 192 oder 256 Bit, entsprechend 10, 12 oder 14 Runden. Eine Runde (außer der letzten) führt vier Operationen auf einem 4x4-Byte-Zustand aus: SubBytes wendet eine feste 16x16 S-Box an (0x63 = 01100011 steht in Zeile 6, Spalte 3 — die S-Box wird als multiplikatives Inverses in GF(2^8) plus einer affinen Transformation konstruiert, um die algebraische Struktur aufzubrechen); ShiftRows rotiert Zeile 0 um 0, Zeile 1 um 1, Zeile 2 um 2, Zeile 3 um 3 Bytes; MixColumns multipliziert jede Spalte mit einer festen zirkulanten MDS-Matrix über GF(2^8) (das Polynom 0x03 * x in Matrixform); AddRoundKey XORt mit dem Rundenschlüssel. Die letzte Runde überspringt MixColumns. Die Rundenschlüssel stammen aus dem Rijndael-Schlüsselplan: 11/13/15 Rundenschlüssel à 128 Bit, erzeugt via RotWord (Rotation um 1 Byte nach links), SubWord (S-Box anwenden) und XOR mit Rcon[i] = [0x01, 0x02, 0x04, ..., 0x80, 0x1b, 0x36] *2^(i-1) über GF(2^8). Die `aes-js`-Bibliothek der Seite führt alle vier Schritte in reinem JavaScript aus und ist bytekompatibel mit OpenSSLs libcrypto. Fünf Blockmodi werden bereitgestellt. ECB verschlüsselt jeden 16-Byte-Block unabhängig: identische Klartextblöcke erzeugen identische Chiffretextblöcke und geben Struktur preis (das berühmte ECB-Pinguinbild überlebt die Verschlüsselung, weil das Pixelmuster erhalten bleibt). CBC XORt jeden Klartextblock vor der Verschlüsselung mit dem vorherigen Chiffretextblock; der erste Block wird mit einem IV verknüpft. CTR verwandelt AES in eine Stromchiffre, indem ein hochgezähler Zähler verschlüsselt wird (Nonce || Zähler, beide 64-Bit-Hälften eines 128-Bit-Blocks) und der Keystream mit dem Klartext XORt wird — unterstützt wahlfreien Zugriff und parallele Verschlüsselung. GCM ist CTR plus GHASH (ein Universal-Hash-Authentifikator über GF(2^128)), der ein 16-Byte-Authentifizierungs-Tag erzeugt, das dem Chiffretext angehängt wird. GCM ist das Standard-AEAD in TLS 1.3 (RFC 8446) und in den meisten modernen APIs (Node `crypto.createCipheriv('aes-256-gcm', ...)`). CFB und OFB sind ältere Stromchiffre-Modi, die aus Kompatibilitätsgründen erhalten sind. Die IV-Falle ist der häufigste Fehler in der Produktion. GCM mit einem 96-Bit-(12-Byte-)IV ist die von NIST empfohlene Konfiguration (RFC 5288, NIST SP 800-38D §5.2.1.1): Der 12-Byte-IV wird als Zähler behandelt, und GHASH wird über J0 = IV || 0x00000001 berechnet. Die Wiederverwendung eines IV unter demselben Schlüssel im CTR-Modus gibt das XOR der Klartexte preis (C1 XOR C2 = P1 XOR P2 — ein einziger gewählter-Klartext-Angriff rekonstruiert beide Nachrichten). Die Wiederverwendung eines IV in GCM ist noch schlimmer: Ein Angreifer kann den Authentifizierungs-Unterschlüssel H zurückgewinnen und Tags für beliebige Nachrichten fälschen (der Angriff stammt aus Joux 2006 und ist der Grund, warum NIST zufällige 96-Bit-IVs ohne strenge Einzigartigkeit verboten hat). Die Seite erzeugt 12-Byte-IVs mit `crypto.getRandomValues(new Uint8Array(12))` für GCM und 16-Byte-IVs für CBC/CFB/OFB, und die Zufallsschlüssel-Taste verwendet denselben CSPRNG, sodass jede Verschlüsselung mit frischem Material beginnt. Dieses Tool führt die AES-Ver- und -Entschlüsselung vollständig im Browser über aes-js aus (eine reine JavaScript-AES-Implementierung). Es gibt keinen Fallback auf Web Crypto / SubtleCrypto — unabhängig von der Größe der Nutzdaten laufen alle Operationen durch aes-js.

• AES ist FIPS 197 (2001), ausgewählt durch einen offenen NIST-Wettbewerb mit 15 Kandidaten; Rijndael schlug Twofish, Serpent, RC6 und Mars. Blockgröße ist stets 128 Bit; Schlüssellängen 128/192/256 Bit führen 10/12/14 Runden aus. Die Seite unterstützt alle drei über aes-js-Konstruktoren AES_128, AES_192 und AES_256.
• Die vierstufige Rundenfunktion: SubBytes (eine 256-Byte S-Box als GF(2^8)-Inverses plus affin), ShiftRows (Zeilen um 0/1/2/3 Bytes verschoben), MixColumns (MDS-Matrixmultiplikation über GF(2^8) mit dem Polynom 0x03), AddRoundKey (XOR mit Rundenschlüssel). Letzte Runde überspringt MixColumns. Gleicher Algorithmus, gleicher Schlüssel = gleicher Chiffretext — AES ist deterministisch.
• ECB ist unsicher, weil identische Klartextblöcke identische Chiffretextblöcke erzeugen (das berühmte „ECB-Pinguin“-Bild behält seine Silhouette bei). CBC ist der sichere Klassiker; CTR bringt Parallelität; GCM fügt Authentifizierung hinzu und ist der TLS-1.3-Standard (RFC 8446). CFB und OFB sind Stromchiffre-Modi für Legacy-Kompatibilität.
• PKCS#7-Padding: 1 Byte zu kurz → 15 Bytes mit 0x0f + 1 Byte 0x10; 2 Bytes zu kurz → 14 mal 0x0e + 2 mal 0x0f usw. Der Wert des letzten Bytes ist die Padding-Länge, daher ist das Entfernen eindeutig. Strommodi (CTR/CFB/OFB/GCM) überspringen Padding vollständig. ZeroPadding ist mehrdeutig, wenn Daten mit 0x00 enden — nicht verwenden.
• GCM ist AEAD: Chiffretext plus ein 16-Byte-Authentifizierungs-Tag, berechnet via GHASH über GF(2^128) mit H = AES_K(0^128). AAD (Additional Authenticated Data) deckt Header ab, ohne sie zu verschlüsseln. Der 96-Bit-IV (RFC 5288) wird als Zähler behandelt; 128-Bit-IVs durchlaufen ein GHASH zur Ableitung von J0 — gleiche Sicherheit, etwas langsamer.
• IV-Wiederverwendung ist katastrophal. CTR-IV-Wiederverwendung gibt P1 XOR P2 preis (Two-Time-Pad). GCM-IV-Wiederverwendung (Joux 2006) ermöglicht es einem Angreifer, H zurückzuwinnen und Tags zu fälschen. Die Seite erzeugt IVs mit `crypto.getRandomValues` (einem CSPRNG), verwendet sie nie innerhalb einer Sitzung erneut und stellt den IV dem Chiffretext voran, damit die Entschlüsselungsseite ihn ohne externen Zustand wiederherstellen kann.
• AES-Schlüsselerzeugung: Die Schaltfläche für den Zufallsschlüssel verwendet `crypto.getRandomValues` (CSPRNG des Browsers). Die AES-Rundenberechnung läuft über aes-js, eine reine JavaScript-Implementierung, die bei identischen Schlüssel-, IV- und Padding-Einstellungen byteweise mit OpenSSLs libcrypto übereinstimmt.
• Seitenkanal-Realität: Reines JS-AES ist nicht konstantzeitig (die Indexierung in das S-Box-Array gibt Timing preis). Web Cryptos AES läuft in nativem Code und ist konstantzeitig. Für hochkritische Workloads (HSM, serverseitige KDFs) bevorzugen Sie den nativen Pfad; für ein browserbasiertes Lernwerkzeug ist aes-js in Ordnung, da die Eingabe bereits im Speicher der Seite liegt. Migrationspfad: SHA-1 → SHA-256 für Hashes, DES → AES für Chiffren, ECB → GCM für Modi.