AES暗号化・復号化ツール

AES（Advanced Encryption Standard）は現在世界中で最も広く使用されている対称暗号化アルゴリズムで、NSAによって最高機密情報の保護に承認されています。AESはベルギーの暗号学者Joan DaemenとVincent Rijmenが設計したRijndael暗号から発展し、2001年にNISTによって正式に発行され、安全性が低下したDESアルゴリズムの代替となりました。 AESは固定ブロックサイズ128ビット（16バイト）のブロック暗号化を使用し、128、192、256ビットの3つのキー長をサポートし、AES-128、AES-192、AES-256の3つのセキュリティレベルに対応します。キーが長くなるほどセキュリティは高くなりますが、暗号化・復号化の速度はわずかに低下します。対称暗号化アルゴリズムとして、AESは暗号化と復号化に同じキーを使用するため、非対称暗号化アルゴリズムよりはるかに効率的です。 AESの応用範囲は非常に広く、ネットワークセキュリティではTLS/SSLプロトコルがWeb閲覧とメール転送を保護するためにAESを使用し、ストレージセキュリティではBitLocker、FileVaultなどのディスク暗号化ツールがユーザーデータの暗号化にAESを採用し、データベースセキュリティでは多くのシステムがAES列レベル暗号化をサポートし、IoTではデバイス間の安全な通信に広く使用されています。このツールはAESの全6つの暗号化モード（ECB、CBC、CFB、OFB、CTR、GCM）と5つのパディング方式をサポートし、さまざまな暗号化ニーズに対応します。

AES（Advanced Encryption Standard）は、1997年に始まった15候補による5年間の公開コンペティションを経て、2001年11月にNISTからFIPS 197として発行された。優勝はベルギーの暗号学者Joan DaemenとVincent Rijmenが設計したRijndaelで、Twofish、Serpent、RC6、Marsを破った。AESはDES（FIPS 46、2005年に廃止）に代わり、現在世界で最も広く導入された対称ブロック暗号である：TLS 1.2/1.3、IPsec、BitLocker、FileVault、OpenSSLのデフォルト`aes-256-gcm`、Linuxカーネルのdm-crypt、AppleのCryptoKit、AndroidのKeystoreに搭載されている。NSAは2003年にAES-256をTOP SECRET（Suite A）で承認し、AESは米国の最高機密レベルに承認された初の公開暗号となった。ブロックサイズは128ビット（16バイト）で固定、鍵サイズは128、192、256ビットで、それぞれ10、12、14ラウンドに対応する。 各ラウンド（最終ラウンドを除く）では4x4バイト状態に4つの演算を適用する。SubBytesは16x16の固定S-Box（0x63 = 01100011が6行3列に位置、S-BoxはGF(2^8)での乗法逆元にアフィン変換を加えて代数構造を破壊して構成される）を適用し、ShiftRowsは行0を0バイト、行1を1バイト、行2を2バイト、行3を3バイト回転させ、MixColumnsはGF(2^8)上の固定巡回MDS行列（多項式0x03 * xの行列形式）で各列を乗算し、AddRoundKeyでラウンド副鍵とXORする。最終ラウンドではMixColumnsをスキップする。ラウンド鍵はRijndael鍵スケジュールから生成され、128ビットずつの11/13/15個のラウンド鍵をRotWord（1バイト左回転）、SubWord（S-Box適用）、GF(2^8)上のRcon[i] = [0x01, 0x02, 0x04, ..., 0x80, 0x1b, 0x36] *2^(i-1)とのXORで生成する。ページの`aes-js`ライブラリは4ステップすべてを純粋JavaScriptで実行し、OpenSSLのlibcryptoとバイト互換性がある。 5つのブロックモードを提供している。ECBは16バイトブロックごとに独立して暗号化し、同一平文ブロックは同一暗号文ブロックを生成して構造を漏洩する（有名なECBペンギン画像はピクセルパターンが暗号化後も残る）。CBCは暗号化前に各平文ブロックを前の暗号文ブロックとXORし、最初のブロックはIVとXORする。CTRは増加するカウンター（nonce || counter、128ビットブロックの64ビットずつの2半分）を暗号化してキーストリームを生成し平文とXORすることでAESをストリーム暗号に変え、ランダムアクセスと並列暗号化をサポートする。GCMはCTRにGHASH（GF(2^128)のユニバーサルハッシュ認証子）を加え、暗号文の後に16バイトの認証タグを付加する。GCMはTLS 1.3（RFC 8446）とほとんどのモダンAPI（Node `crypto.createCipheriv('aes-256-gcm', ...)`）のデフォルトAEADである。CFBとOFBは互換性のために残された古いストリーム暗号モードである。 IVの落とし穴は本番環境で最も頻発するバグだ。GCMで96ビット（12バイト）IVを使用するのはNIST推奨構成（RFC 5288、NIST SP 800-38D §5.2.1.1）で、12バイトIVはカウンターとして扱われ、GHASHはJ0 = IV || 0x00000001に対して計算される。CTRモードで同一鍵のIVを再利用すると平文のXORが漏洩する（C1 XOR C2 = P1 XOR P2 — 1回の選択平文攻撃で両メッセージを復元可能）。GCMでのIV再利用はさらに深刻で、攻撃者が認証副鍵Hを復元し任意のメッセージのタグを偽造できる（Joux 2006の攻撃、NISTがランダム96ビットIVに厳格な一意性を義務化した理由）。ページはGCM用に`crypto.getRandomValues(new Uint8Array(12))`で12バイトIVを、CBC/CFB/OFB用に16バイトIVを生成し、ランダム鍵ボタンも同じCSPRNGを使用して暗号化ごとに新しい素材で開始する。 本ツールは AES の暗号化・復号をすべてブラウザ内で aes-js（純粋 JavaScript の AES 実装）により実行します。Web Crypto / SubtleCrypto へのフォールバック経路はなく、ペイロードのサイズに関わらず全演算が aes-js を通ります。

• AESはFIPS 197（2001年）で、NISTの公開コンペティション（15候補）を経て選定された。RijndaelがTwofish、Serpent、RC6、Marsを破った。ブロックサイズは常に128ビット、鍵サイズ128/192/256ビットでそれぞれ10/12/14ラウンド。本ページはaes-jsのAES_128、AES_192、AES_256コンストラクタで全3サイズに対応する。
• 4ステップのラウンド関数：SubBytes（GF(2^8)逆元＋アフィン変換の256バイトS-Box）、ShiftRows（行を0/1/2/3バイトシフト）、MixColumns（GF(2^8)上の0x03多項式によるMDS行列乗算）、AddRoundKey（ラウンド鍵とのXOR）。最終ラウンドではMixColumnsをスキップ。同一アルゴリズム・同一鍵＝同一暗号文 — AESは決定論的である。
• ECBは同一平文ブロックが同一暗号文ブロックを生成するため安全でない（有名な「ECBペンギン」画像は輪郭が残る）。CBCは安全な古典モード、CTRは並列性を追加、GCMは認証機能を備えTLS 1.3のデフォルト（RFC 8446）。CFBとOFBはレガシー互換性のために維持されているストリーム暗号モードである。
• PKCS#7パディング：1バイト不足の場合→0x0fの15バイト＋0x10の1バイト、2バイト不足の場合→0x0eの14バイト＋0x0fの2バイト、という具合に進む。最後のバイトの値がパディング長を示すため、パディング除去はあいまいさがない。ストリームモード（CTR/CFB/OFB/GCM）はパディングを完全にスキップする。ZeroPaddingはデータ末尾が0x00の場合にあいまいになるため使用すべきでない。
• GCMはAEAD：暗号文に加えてGHASH（GF(2^128)上でH = AES_K(0^128)を使用）で計算された16バイトの認証タグを付加する。AAD（追加認証データ）はヘッダーを暗号化せずにカバーする。96ビットIV（RFC 5288）はカウンターとして扱われ、128ビットIVはGHASHでJ0を導出する — 同じセキュリティでわずかに遅い。
• IVの再利用は壊滅的だ。CTRのIV再利用はP1 XOR P2を漏洩する（ワンタイムパッドの二重使用）。GCMのIV再利用（Joux 2006）では攻撃者がHを復元しタグを偽造できる。ページは`crypto.getRandomValues`（CSPRNG）でIVを生成し、セッション内で再利用せず、IVを暗号文の先頭に付加して復号側が帯域外状態なしに復元できるようにする。
• AES 鍵生成：本ツールの「ランダム鍵生成」ボタンはブラウザの `crypto.getRandomValues`（CSPRNG）を使用します。AES ラウンド計算は aes-js（純粋 JavaScript 実装）を経由し、同一の鍵・IV・パディング設定で OpenSSL libcrypto とバイト単位で一致します。
• サイドチャネルの現実：純粋JSのAESは定数時間ではない（S-Box配列へのインデックスアクセスでタイミングが漏洩する）。Web CryptoのAESはネイティブコードで定数時間だ。高リスクワークロード（HSM、サーバー側KDF）ではネイティブパスを優先すべきだが、ブラウザ内学習ツールとしては入力はすでにページのメモリにあるためaes-jsで十分だ。移行パス：ハッシュはSHA-1 → SHA-256、暗号はDES → AES、モードはECB → GCM。