AES 加密解密工具

AES（Advanced Encryption Standard，高级加密标准）是目前全球最广泛使用的对称加密算法，被美国国家安全局（NSA）批准用于保护绝密级信息。AES 由比利时密码学家 Joan Daemen 和 Vincent Rijmen 设计的 Rijndael 算法演变而来，于 2001 年由美国国家标准与技术研究院（NIST）正式发布，用于替代已经不再安全的 DES 算法。 AES 采用分组加密方式，每组固定 128 位（16 字节），支持 128、192 和 256 位三种密钥长度，分别对应 AES-128、AES-192 和 AES-256 三个安全级别。密钥越长，安全性越高，但加解密速度会略有下降。作为对称加密算法，AES 使用相同的密钥进行加密和解密，这使得它在性能上远优于非对称加密算法。 AES 的应用场景非常广泛：在网络安全领域，TLS/SSL 协议使用 AES 保护网页浏览和电子邮件传输；在存储安全领域，BitLocker、FileVault 等磁盘加密工具采用 AES 加密用户数据；在数据库安全领域，许多数据库系统支持 AES 列级加密；在物联网领域，AES 也被广泛用于设备间的安全通信。本工具支持 AES 的全部 6 种加密模式（ECB、CBC、CFB、OFB、CTR、GCM）和 5 种填充方式，满足各种加密需求。

AES（高级加密标准）由 NIST 于 2001 年 11 月以 FIPS 197 发布，经过 1997 年启动、历时五年的公开竞赛，从 15 个候选算法中选出。获胜者 Rijndael 由比利时密码学家 Joan Daemen 和 Vincent Rijmen 设计，击败了 Twofish、Serpent、RC6 和 Mars 等入围者。AES 取代了 DES（FIPS 46，2005 年撤回），如今是全球部署最广泛的对称分组密码：它运行在 TLS 1.2/1.3、IPsec、BitLocker、FileVault、OpenSSL 默认的 `aes-256-gcm`、Linux 内核的 dm-crypt、Apple 的 CryptoKit 和 Android 的 Keystore 中。NSA 于 2003 年批准 AES-256 用于绝密级信息保护（Suite A），使 AES 成为首个获批用于美国最高密级的公开密码算法。分组大小固定为 128 位（16 字节）；密钥长度为 128、192 或 256 位，分别对应 10、12 或 14 轮。 每轮（最后一轮除外）对 4x4 字节状态执行四个操作：SubBytes 对状态的每个字节查固定的 16x16 S-Box（0x63 = 01100011 位于第 6 行第 3 列，S-Box 的构造方式是 GF(2^8) 上的乘法逆元加上仿射变换以破坏代数结构）；ShiftRows 将第 0 行旋转 0 字节、第 1 行旋转 1 字节、第 2 行旋转 2 字节、第 3 行旋转 3 字节；MixColumns 在 GF(2^8) 上用固定的循环 MDS 矩阵（多项式 0x03 * x 的矩阵形式）乘以每一列；AddRoundKey 将状态与轮密钥进行异或。最后一轮跳过 MixColumns。轮密钥由 Rijndael 密钥调度生成：每轮 128 位的 11/13/15 个轮密钥，通过 RotWord（左旋 1 字节）、SubWord（查 S-Box）和与 Rcon[i] = [0x01, 0x02, 0x04, ..., 0x80, 0x1b, 0x36] *2^(i-1) 在 GF(2^8) 上异或来生成。页面的 `aes-js` 库用纯 JavaScript 执行全部四个步骤，输出与 OpenSSL 的 libcrypto 完全字节兼容。 页面提供五种分组模式。ECB 独立加密每个 16 字节块：相同的明文块产生相同的密文块，会泄露数据结构（著名的 ECB 企鹅图像在加密后仍保留像素图案的轮廓）。CBC 在加密前将每个明文块与前一个密文块异或；第一个块与 IV 异或。CTR 通过加密递增计数器（nonce || counter，均为 128 位块的 64 位半部分）并将密钥流与明文异或，将 AES 变为流密码——支持随机访问和并行加密。GCM 是 CTR 加上 GHASH（基于 GF(2^128) 的通用哈希认证器），产生 16 字节认证标签追加在密文之后。GCM 是 TLS 1.3（RFC 8446）和大多数现代 API（Node `crypto.createCipheriv('aes-256-gcm', ...)`）中的默认 AEAD。CFB 和 OFB 是为了兼容性保留的较老流密码模式。 IV 重用是最常见的生产环境 bug。GCM 使用 96 位（12 字节）IV 是 NIST 推荐的配置（RFC 5288，NIST SP 800-38D §5.2.1.1）：12 字节 IV 被视为计数器，GHASH 在 J0 = IV || 0x00000001 上计算。在 CTR 模式下重用同一密钥的 IV 会泄露明文异或值（C1 XOR C2 = P1 XOR P2，一次选择明文攻击即可恢复两条消息）。在 GCM 中重用 IV 更严重：攻击者可以恢复认证子密钥 H 并伪造任意消息的标签（该攻击见 Joux 2006，也是 NIST 禁止使用随机 96 位 IV 而不要求严格唯一性的原因）。页面使用 `crypto.getRandomValues(new Uint8Array(12))` 为 GCM 生成 12 字节 IV，为 CBC/CFB/OFB 生成 16 字节 IV，随机密钥按钮使用相同的 CSPRNG，确保每次加密都使用全新材料。 本工具完全在浏览器中使用 aes-js（纯 JavaScript AES 实现）完成加解密。不存在 Web Crypto / SubtleCrypto 回退路径——无论负载大小，所有运算都通过 aes-js。

• AES 是 FIPS 197（2001 年），通过 NIST 公开竞赛从 15 个候选算法中选出；Rijndael 击败了 Twofish、Serpent、RC6 和 Mars。分组大小始终为 128 位；密钥长度 128/192/256 位分别运行 10/12/14 轮。页面通过 aes-js 的 AES_128、AES_192 和 AES_256 构造函数支持全部三种。
• 四步轮函数：SubBytes（256 字节 S-Box，GF(2^8) 逆元加仿射变换）、ShiftRows（行分别移动 0/1/2/3 字节）、MixColumns（GF(2^8) 上 0x03 多项式的 MDS 矩阵乘法）、AddRoundKey（与轮密钥异或）。最后一轮跳过 MixColumns。相同算法 + 相同密钥 = 相同密文——AES 是确定性的。
• ECB 不安全，因为相同明文块产生相同密文块（著名的'ECB 企鹅'图像保留了轮廓）。CBC 是经典安全模式；CTR 增加并行性；GCM 增加认证功能，是 TLS 1.3 的默认模式（RFC 8446）。CFB 和 OFB 是为兼容性保留的流密码模式。
• PKCS#7 填充：差 1 字节 → 15 字节的 0x0f + 1 字节的 0x10；差 2 字节 → 14 字节的 0x0e + 2 字节的 0x0f，以此类推。最后一个字节的值就是填充长度，因此去填充是明确的。流模式（CTR/CFB/OFB/GCM）完全跳过填充。ZeroPadding 在数据以 0x00 结尾时存在歧义——不要使用。
• GCM 是 AEAD：密文加 16 字节认证标签，通过 GF(2^128) 上的 GHASH 使用 H = AES_K(0^128) 计算。AAD（附加认证数据）覆盖头部但不加密。96 位 IV（RFC 5288）被视为计数器；128 位 IV 经过 GHASH 派生 J0——安全性相同，速度略慢。
• IV 重用是灾难性的。CTR IV 重用泄露 P1 XOR P2（两次一密）。GCM IV 重用（Joux 2006）让攻击者恢复 H 并伪造标签。页面使用 `crypto.getRandomValues`（CSPRNG）生成 IV，会话内不会重用，并将 IV 前置在密文前，使解密端无需带外状态即可恢复。
• AES 密钥生成：本工具的「生成随机密钥」按钮使用浏览器提供的 `crypto.getRandomValues`（CSPRNG）。AES 轮函数计算通过 aes-js（纯 JavaScript 实现）完成，在相同密钥、IV、填充设置下与 OpenSSL libcrypto 字节级一致。
• 侧信道现实：纯 JS 的 AES 不是常数时间的（S-Box 数组索引会泄露时序）。Web Crypto 的 AES 在原生代码中运行且是常数时间的。对于高安全工作负载（HSM、服务端 KDF）优先使用原生路径；对于浏览器内学习工具，aes-js 足够，因为输入已经在页面内存中。迁移路径：哈希从 SHA-1 到 SHA-256，密码从 DES 到 AES，模式从 ECB 到 GCM。