Encriptador/Desencriptador AES

AES (Advanced Encryption Standard) es el algoritmo de cifrado simétrico más utilizado a nivel mundial, aprobado por la NSA para proteger información TOP SECRET. AES evolucionó del cifrado Rijndael diseñado por los criptógrafos belgas Joan Daemen y Vincent Rijmen, y fue publicado oficialmente por NIST en 2001 como reemplazo del algoritmo DES envejecido. AES utiliza cifrado en bloques con un tamaño fijo de 128 bits (16 bytes) y soporta tres longitudes de clave: 128, 192 y 256 bits, correspondientes a los niveles de seguridad AES-128, AES-192 y AES-256. Claves más largas proporcionan mayor seguridad pero con velocidad ligeramente menor. Como algoritmo de cifrado simétrico, AES usa la misma clave para cifrar y descifrar, siendo mucho más eficiente que el cifrado asimétrico. AES tiene aplicaciones extensas: en seguridad de red, los protocolos TLS/SSL usan AES para proteger la navegación web y transmisión de correo electrónico; en seguridad de almacenamiento, herramientas como BitLocker y FileVault usan AES para cifrar datos de usuario; en seguridad de bases de datos, muchos sistemas soportan cifrado AES a nivel de columna; en IoT, AES se usa ampliamente para comunicación segura entre dispositivos. Esta herramienta soporta los 6 modos de cifrado AES (ECB, CBC, CFB, OFB, CTR, GCM) y 5 esquemas de relleno para satisfacer diversas necesidades de cifrado.

AES (Advanced Encryption Standard) fue publicado por NIST como FIPS 197 en noviembre de 2001 tras una competencia pública de cinco años iniciada en 1997 con 15 candidatos. El ganador fue Rijndael, diseñado por los criptógrafos belgas Joan Daemen y Vincent Rijmen, superando a finalistas como Twofish, Serpent, RC6 y Mars. AES reemplazó a DES (FIPS 46, retirado en 2005) y es actualmente el cifrado de bloques simétrico más desplegado del mundo: está presente en TLS 1.2/1.3, IPsec, BitLocker, FileVault, el `aes-256-gcm` por defecto de OpenSSL, dm-crypt del kernel de Linux, CryptoKit de Apple y Keystore de Android. La NSA aprobó AES-256 para TOP SECRET en 2003 (suite A), convirtiendo a AES en el primer cifrado públicamente disponible autorizado para la clasificación más alta de EE. UU. El tamaño de bloque es fijo de 128 bits (16 bytes); los tamaños de clave son 128, 192 o 256 bits, correspondientes a 10, 12 o 14 rondas. Una ronda (excepto la última) ejecuta cuatro operaciones sobre un estado de 4x4 bytes: SubBytes aplica una S-Box fija de 16x16 (0x63 = 01100011 se encuentra en la fila 6 columna 3 — la S-Box se construye como el inverso multiplicativo en GF(2^8) más una transformación afín para romper la estructura algebraica); ShiftRows rota la fila 0 en 0, la fila 1 en 1, la fila 2 en 2 y la fila 3 en 3 bytes; MixColumns multiplica cada columna por una matriz MDS circulante fija sobre GF(2^8) (el polinomio 0x03 * x en forma matricial); AddRoundKey aplica XOR con la subclave de ronda. La ronda final omite MixColumns. Las claves de ronda provienen del programa de claves Rijndael: 11/13/15 claves de ronda de 128 bits cada una, generadas mediante RotWord (rotación a la izquierda de 1 byte), SubWord (aplicar S-Box) y XOR con Rcon[i] = [0x01, 0x02, 0x04, ..., 0x80, 0x1b, 0x36] *2^(i-1) sobre GF(2^8). La biblioteca `aes-js` de la página ejecuta los cuatro pasos en JavaScript puro y es compatible a nivel de bytes con libcrypto de OpenSSL. Se exponen cinco modos de bloque. ECB cifra cada bloque de 16 bytes de forma independiente: bloques de texto plano idénticos producen bloques de texto cifrado idénticos, filtrando la estructura (la famosa imagen del pingüino de ECB sobrevive al cifrado porque el patrón de píxeles sobrevive). CBC aplica XOR a cada bloque de texto plano con el bloque de texto cifrado anterior antes de cifrar; el primer bloque aplica XOR con un IV. CTR convierte AES en un cifrado de flujo cifrando un contador incremental (nonce || contador, ambas mitades de 64 bits de un bloque de 128 bits) y aplicando XOR al flujo de claves con el texto plano — admite acceso aleatorio y cifrado paralelo. GCM es CTR más GHASH (un autenticador de hash universal sobre GF(2^128)), produciendo una etiqueta de autenticación de 16 bytes añadida después del texto cifrado. GCM es el AEAD por defecto en TLS 1.3 (RFC 8446) y en la mayoría de APIs modernas (Node `crypto.createCipheriv('aes-256-gcm', ...)`). CFB y OFB son modos de cifrado de flujo más antiguos conservados por compatibilidad. La trampa del IV es el error de producción más común. GCM con un IV de 96 bits (12 bytes) es la configuración recomendada por NIST (RFC 5288, NIST SP 800-38D §5.2.1.1): el IV de 12 bytes se trata como un contador y GHASH se calcula sobre J0 = IV || 0x00000001. Reutilizar un IV bajo la misma clave en modo CTR filtra el XOR del texto plano (C1 XOR C2 = P1 XOR P2 — un solo ataque de texto plano elegido recupera ambos mensajes). Reutilizar un IV en GCM es peor: un atacante puede recuperar la subclave de autenticación H y falsificar etiquetas para mensajes arbitrarios (el ataque está en Joux 2006 y es la razón por la que NIST prohibió los IV aleatorios de 96 bits sin unicidad estricta). La página genera IVs de 12 bytes con `crypto.getRandomValues(new Uint8Array(12))` para GCM e IVs de 16 bytes para CBC/CFB/OFB, y el botón de clave aleatoria usa el mismo CSPRNG para que cada cifrado comience con material fresco. Esta herramienta ejecuta el cifrado y descifrado AES íntegramente en el navegador con aes-js (implementación AES en JavaScript puro). No existe una ruta alternativa por Web Crypto / SubtleCrypto: todas las operaciones pasan por aes-js sin importar el tamaño del payload.

• AES es FIPS 197 (2001), seleccionado mediante una competencia abierta de NIST con 15 candidatos; Rijndael superó a Twofish, Serpent, RC6 y Mars. El tamaño de bloque es siempre 128 bits; los tamaños de clave 128/192/256 bits ejecutan 10/12/14 rondas. La página soporta los tres mediante los constructores AES_128, AES_192 y AES_256 de aes-js.
• La función de ronda de cuatro pasos: SubBytes (una S-Box de 256 bytes que es el inverso en GF(2^8) más transformación afín), ShiftRows (filas desplazadas 0/1/2/3 bytes), MixColumns (multiplicación matricial MDS sobre GF(2^8) con el polinomio 0x03), AddRoundKey (XOR con clave de ronda). La ronda final omite MixColumns. Mismo algoritmo, misma clave = mismo texto cifrado — AES es determinista.
• ECB es inseguro porque bloques de texto plano idénticos producen bloques de texto cifrado idénticos (la famosa imagen del 'pingüino de ECB' conserva su silueta). CBC es el clásico seguro; CTR añade paralelismo; GCM añade autenticación y es el predeterminado en TLS 1.3 (RFC 8446). CFB y OFB son modos de cifrado de flujo conservados por compatibilidad con sistemas heredados.
• Relleno PKCS#7: falta 1 byte → 15 bytes de 0x0f + 1 byte de 0x10; faltan 2 bytes → 14 de 0x0e + 2 de 0x0f, etc. El último byte indica la longitud del relleno, por lo que la eliminación del relleno es inequívoca. Los modos de flujo (CTR/CFB/OFB/GCM) omiten el relleno por completo. ZeroPadding es ambigüo cuando los datos terminan con 0x00 — no lo uses.
• GCM es AEAD: texto cifrado más una etiqueta de autenticación de 16 bytes, calculada mediante GHASH sobre GF(2^128) usando H = AES_K(0^128). Los AAD (datos adicionales autenticados) cubren cabeceras sin cifrarlas. El IV de 96 bits (RFC 5288) se trata como un contador; los IVs de 128 bits pasan por un GHASH para derivar J0 — misma seguridad, ligeramente más lento.
• La reutilización de IV es catastrófica. La reutilización de IV en CTR filtra P1 XOR P2 (pad de dos usos). La reutilización de IV en GCM (Joux 2006) permite a un atacante recuperar H y falsificar etiquetas. La página genera IVs con `crypto.getRandomValues` (un CSPRNG), nunca los reutiliza dentro de una sesión y antepone el IV al texto cifrado para que el lado de descifrado pueda recuperarlo sin estado fuera de banda.
• Generación de clave AES: el botón de clave aleatoria de esta herramienta usa `crypto.getRandomValues` (CSPRNG del navegador). El cómputo de las rondas AES se ejecuta mediante aes-js, una implementación en JavaScript puro que es byte-compatible con libcrypto de OpenSSL bajo los mismos ajustes de clave, IV y padding.
• Realidad de canales laterales: el AES en JS puro no es de tiempo constante (indexar en la matriz S-Box filtra tiempos). El AES de Web Crypto corre en código nativo y es de tiempo constante. Para cargas de trabajo críticas (HSM, KDFs del lado del servidor) prefiere la ruta nativa; para una herramienta de aprendizaje en el navegador, aes-js es adecuado porque la entrada ya está en la memoria de la página. Ruta de migración: SHA-1 → SHA-256 para hashes, DES → AES para cifrados, ECB → GCM para modos.