AES Şifreleme / Şifre Çözme

Blok şifre. AES (NIST tarafından 2001'de FIPS 197 olarak standartlaştırılan Rijndael tasarımı) her seferinde tam olarak 16 bayt şifreler. Anahtar uzunluğunuz — 16, 24 veya 32 bayt — AES-128, -192 veya -256'yı ve iç tur sayısını (10, 12, 14) seçer. Her tur, bloğu anahtarınızdan türetilen tur anahtarlarıyla yer değiştirme tabloları, satır kaydırmaları ve sütun karıştırmalarıyla karıştırır. Pratik bir saldırı şifrenin kendisini kırmaz: gerçek dünyadaki arızalar neredeyse her zaman mod, IV veya anahtar yönetimi hatalarıdır; bu sayfanın geri kalanı da bundan bahseder.

Neden bir mod gerekir? Çünkü mesajlar nadiren 16 bayttır. Mod, blok şifrelemelerini birbirine bağlar: ECB blokları bağımsız şifreler; CBC her bloğu bir önceki şifreli metinle XOR'lar; CTR bir sayacı şifreler ve veriyle bir akış şifresi gibi XOR'lar; GCM CTR'nin üzerine kurulur ve bir kimlik doğrulama etiketi ekler. AES aynı kalır — mod, elde ettiğiniz garantiler hakkında her şeyi değiştirir.

Anahtarlar ve parolalar. Bir AES anahtarı 16, 24 veya 32 rastgele bayttır. İnsan parolası bu değildir: bu sayfanın Parola seçeneği, PBKDF2-HMAC-SHA256 ile uygun bir anahtar türetir (varsayılan 600.000 yineleme, OWASP 2023 taban çizgisi — KDF ayrıntıları için HMAC Oluşturucuya bakın). Parola dizgisini asla doğrudan AES anahtarı olarak kullanmayın: entropisi uzunluğunun küçük bir kısmıdır.

Mod	IV / nonce	Bütünlük	Notlar
GCM	12 bayt, mesaj başına benzersiz	Evet — 96..128 bit etiket	AEAD: her yerde önerilen varsayılan (TLS 1.3, SSH, dosya biçimleri). AAD de kabul eder.
CBC	16 bayt, tahmin edilemez	Hayır	PKCS#7 dolgusu; klasik, ama yanında bir MAC gerektirir. Dolgu-oracle hataları CBC'nin klasik tuzağıdır.
CTR	16 baytlık başlangıç sayacı	Hayır	Dolgu yok, akış benzeri, rastgele erişim; tek anahtar altında nonce yeniden kullanımı düz metin XOR düz metni sızdırır.
ECB	yok	Hayır	Aynı bloklar → aynı şifreli metin. ECB-penguen gösterimi. Yalnızca uyumluluk için.

IV kuralları tek paragrafta. IV bir sır değildir — şifreli metnin yanında gönderin — ama benzersizlik kuralları farklıdır: CBC tahmin edilemez bir IV ister; GCM ve CTR yalnızca aynı anahtarla aynı nonce'un asla yeniden kullanılmamasını ister (GCM nonce yeniden kullanımı daha kötüdür: kimlik doğrulama alt anahtarını sızdırır). Bu sayfanın Rastgele IV düğmesi tarayıcının güvenli RNG'sini kullanır; Tümü sıfır düğmesi test vektörlerini yeniden üretmek içindir, gerçek mesajlar için değildir.

Dolgu. CBC ve ECB tam bloklara ihtiyaç duyar; bu yüzden PKCS#7 dolgusu her biri dolgu uzunluğuna eşit 1..16 bayt ekler. CBC şifreli metinlerinin 16 bayta kadar büyümesinin ve yanlış anahtarla çözmenin genellikle dolgu hatasıyla başarısız olmasının nedeni budur. CTR ve GCM akış benzeridir ve dolguya ihtiyaç duymaz — şifreli metin uzunluğu düz metin uzunluğuna tam olarak eşittir (CTR modunda Örnek'i deneyin: 43 bayt girer, 43 bayt çıkar).

CFB ve OFB (kalan iki klasik mod) bu sayfada uygulanmamıştır: CTR gibi akış benzeridirler ama ona göre bir avantajları yoktur ve çoğunlukla eski protokollerde kalmışlardır.

Kimlik doğrulamalı şifreleme. GCM = CTR şifrelemesi + şifreli metin, IV ve AAD üzerinde bir GHASH kimlik doğrulayıcı. Çıktı etiketi her şeyin bir parmak izidir: şifreli metnin, IV'nin veya AAD'nin tek bir bitini değiştirirseniz etiket artık eşleşmez; böylece alıcı mesajın bozulmadığını ve bir anahtar sahibinden geldiğini kanıtlayabilir. CBC+HMAC aynısını yalnızca doğru birleştirirseniz (önce şifrele, sonra MAC) sağlar — GCM bunu tasarımı gereği doğru yapar.

AAD. Ek kimlik doğrulamalı veri açık olarak taşınır ama etiket tarafından kapsanır: protokol başlıkları, dosya adları, algoritma tanımlayıcıları. Alıcı, birebir aynı AAD baytlarını sağlamalıdır, aksi halde etiket denetimi başarısız olur — amaç da budur.

Etiket uzunluğu. Varsayılan 128 bitlik etiket önerilendir; daha kısa etiketler (96..120 bit) boyut karşılığında sahtecilik direncinden ödün verir. 96 bitin altında GCM'in güvenlik ispatları hızla bozulur; bu nedenle bu sayfa orada durur.

Nonce felaketi. Aynı anahtar altında 12 baytlık bir GCM nonce'unu yeniden kullanmak, iki mesajın düz metin XOR'unu ve kimlik doğrulama alt anahtarını sızdırır — bundan sonra o anahtar altındaki tüm gelecek mesajlar için sahtecilik mümkün olur. Benzersizliği garanti edemeyen sistemler, nonce yeniden kullanımına dayanıklı varyantları (AES-GCM-SIV, RFC 8452) kullanır.

İlk satır, ünlü tek blokluk FIPS 197 örneğidir; geri kalanlar bağımsız bir yerel uygulama (Node.js üzerinden OpenSSL) ile üretilmiş ve bu sayfanın motorlarında yeniden doğrulanmıştır. Her satırı yeniden üretmek için anahtarı, IV'yi ve girdiyi sayfaya yapıştırın.

Durum	Girdiler	Beklenen çıktı
AES-128 tek blok (FIPS 197 tarzı)	key 000102..0f, plaintext 00112233..ff	69c4e0d86a7b0430d8cdb78070b4c55a
AES-128-GCM	key 000102..0f, IV 606162..6b, plaintext 0011..ef ×2	ct 275f095bedfda377063fee326128892188377b410698ed03a022b9971bb4bdbe, tag 87ea7770714048977de2fd8dac645ecf
AES-256-GCM, aynı ama AAD deadbeef	key 000102..1f	ct eacab966ff15e518f48f5390be502fbc2756ccee0dcfff36a282c50bf5593ae7, tag aead900e895c88252d0388d7aefce5c8
AES-256-CBC	key 000102..1f, IV 101112..1f, plaintext 0011..ef ×2	0e2392dd6f690b44a5a1b4fdff3b7f83cb9ab59d9900119cc5f83e062d95fb643b1a94b514ea2f3b95f84c900b5c98a8
AES-256-CTR (yukarıdaki CBC ile aynı girdi)	43-byte plaintext → 43-byte ciphertext	e9d2cdb9f661359178ed366dfa3a4671f8e20efd723f090eb7d1d524d480fd3c

• IV gerektirmediği için ECB kullanmak. Kolaylık bir tuzaktır: blok örüntüleri doğrudan şifreli metne sızar (bir bitmap'i şifrelerseniz resmi hâlâ görebilirsiniz). ECB yalnızca tek bloklar veya tam olarak 16 baytlık rastgele anahtarlar için kabul edilebilir — pratikte, asla tercih edilmemelidir.
• Nonce/IV'yi yeniden kullanmak. Tek bir anahtar altında GCM veya CTR ile bu, her şeyi aynı anda bozan tek hatadır. Sayaç tabanlı sistemler (bu sayfanın Rastgele IV düğmesi) bunu imkânsız kılmak için vardır.
• IV'yi gizli saymak. Değildir. Şifreli metnin yanında saklayın veya iletin. Gizlemenin bir faydası yoktur ve yeniden kullanıma davet eder.
• Bir parolayı anahtar olarak kullanmak. "hunter2hunter2hunter2hunter2" 32 bayttır ama 256 bit entropi değildir — dolguyla süslenmiş bir sözlük kelimesidir. PBKDF2 ile türetin (bu sayfada yerleşik) veya rastgele bir anahtar üretin.
• CBC'nin kurcalamayı algıladığını varsaymak. CBC şifreli metninde bir biti çevirin; çözme “başarılı” olur ama sessizce bozulmuş düz metin üretir. Yalnızca GCM etiketi (veya açık bir HMAC) kurcalamayı görünür kılar.
• GCM şifreli metinlerini eşitlik için karşılaştırmak. Rastgele nonce'larla aynı düz metin her seferinde farklı şifrelenir — bu bir özelliktir. Deterministik şifreleme farklı, özel bir araçtır.

AES-128 hâlâ güvenli mi, yoksa 256 mı gerekir? Her ikisi de gerçekçi saldırganlara karşı güvenlidir; bilinen en iyi saldırılar payın yalnızca küçük bir kısmını azaltır. AES-256 esas olarak uzun vadeli sırlar ve kuantum sonrası güvenlik payı için önemlidir (Grover algoritması anahtar gücünü yarıya indirir, böylece AES-256 yaklaşık 128 bit eşdeğeri kalır).

Neden openssl enc GCM yapmaz? enc komutu AEAD'den önce gelir ve bir etiket taşıyacak bir yöntemi yoktur; OpenSSL 3.3, bunun yerine özel bir aesgcm komutu ekledi. Bu sayfanın GCM çıktısı etiketi ayrı bir satırda tutar, böylece ikisini açıkça taşıyabilirsiniz.

Anahtar sarma (AES-KW) nedir? Diğer anahtarları sabit 64 bitlik parçalarla ve kendi bütünlük denetimiyle şifrelemeye yönelik özel bir moddur. Girdileri ve çıktıları mesaj yerine anahtar biçiminde olduğu için burada sunulmaz — yanlış kullanım yaygındır.

CTR şifrelemesi düz metinle aynı uzunlukta, CBC'ninki neden daha uzun? CTR ve GCM akış benzeri çalışır (dolgu yoktur); CBC/ECB, PKCS#7 ile tam 16 baytlık bloğa tamamlar. Uzunluk farkı tasarım gereğidir, bir hata değildir.

Başka bir yerde şifrelenmiş bir şeyi çözebilir miyim? Evet; tam modu, anahtarı, IV'yi (ve GCM için etiketi) biliyorsanız. Bu sayfanın çıktı satırları hepsini tam olarak kaydeder, böylece parametreleri araçlar arasında taşıyabilirsiniz — yukarıdaki OpenSSL kutusu eşleşen komut satırlarını gösterir.