AES復号ツール — OpenSSL・CryptoJS互換

AES復号の仕組み

// AES-256-GCM decrypt with a passphrase (PBKDF2-HMAC-SHA256, 600,000 iterations).
// Identical code runs in the browser and in Node.js 20+ via Web Crypto.
async function aesGcmDecrypt(base64, passphrase) {
  const enc = new TextEncoder();
  const packed = Uint8Array.from(atob(base64), (c) => c.charCodeAt(0));
  const salt = packed.slice(0, 16), iv = packed.slice(16, 28); // salt(16) | iv(12)
  const ct = packed.slice(28);                                 // ciphertext + tag
  const baseKey = await crypto.subtle.importKey(
    'raw', enc.encode(passphrase), 'PBKDF2', false, ['deriveKey']);
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 600000, hash: 'SHA-256' },
    baseKey, { name: 'AES-GCM', length: 256 }, false, ['decrypt']);
  const plain = await crypto.subtle.decrypt(
    { name: 'AES-GCM', iv }, key, ct);        // throws if the tag fails
  return new TextDecoder().decode(plain);     // recovered plaintext
}

主な機能

AES復号の例

salt(16) ‖ iv(12) ‖ ciphertext ‖ tag(16)、Base64 — 暗号化ページから

素早い茶色の狐がのろまな犬を飛び越える。

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=

Attack at dawn!

AES暗号文を復号する方法

1. 1

   暗号文を貼り付ける

   Base64またはHexの暗号文を入力欄にドロップしてください。U2FsdGVkX1で始まる場合、ツールはOpenSSL/CryptoJS形式として検出し、正しいモードへの切り替えを提案します。

2. 2

   形式とモードを設定する

   このツールで生成された自己完結型の文字列の場合は、パスフレーズモードと一致するGCM/CBC/CTRのままにしてください。OpenSSL/CryptoJSの出力の場合は、提案された切り替え(CBC + パスフレーズ)を受け入れてください。生鍵データの場合は、生鍵とエンコーディングを選び、IVが先頭に付加されていない場合は別途入力してください。

3. 3

   鍵導出関数を選ぶ

   OpenSSLモードでは、鍵がどのように導出されたかに合わせてPBKDF2(と反復回数)、EVP-SHA256、またはEVP-MD5を選んでください。EVP-MD5はCryptoJSが使用するものです。

4. 4

   パスフレーズまたは鍵を入力する

   正確なパスフレーズを入力するか、正確な生鍵を16進数またはBase64で貼り付けてください。すべてが一致すると、右側にすぐ平文が表示されます。

5. 5

   失敗した場合は診断を確認する

   復号がエラーになった場合、パネルが可能性の高い原因を示します — IVの誤り、鍵の誤り、パディングエラー、Base64の汚染、KDFの不一致など。これにより、当てずっぽうではなく一度に1つずつ設定を調整できます。

AES復号が失敗する理由と対処法

mode: CBC        // but the data was encrypted with GCM
=> Authentication failed

mode: GCM, same passphrase and key size as encryption
=> plaintext

iv: 00000000000000000000000000000000   (wrong IV)
=> first block corrupt, rest readable

iv: (the exact IV used to encrypt)
=> Attack at dawn!

passphrase: hunter3   // one character off
=> padding error

passphrase: hunter2   // exact
=> plaintext

“U2FsdGVkX1...”   (curly quotes and trailing junk copied in)

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=   (clean Base64)

OpenSSL compatible: off
input: U2FsdGVkX1...
=> cannot parse

OpenSSL compatible: on, KDF chosen
=> plaintext

KDF: PBKDF2       // CryptoJS ciphertext
=> padding error

KDF: EVP-MD5      // matches CryptoJS
=> plaintext

AES復号でできること

openssl enc出力を復号する

openssl enc -aes-256-cbcで生成されたSalted__形式のデータを、ターミナルに切り替えることなく読み取れます — Base64を貼り付け、パスフレーズを入力し、KDFを選ぶだけで平文が得られます。

CryptoJSの暗号文を復号する

CryptoJSのAES.encrypt(text, passphrase)を使ったレガシーアプリからデータを復元します。EVP-MD5を選んで、そのMD5単回パスの鍵導出に合わせてください — ほとんどの人が見落とすステップです。

失敗し続ける復号をデバッグする

自分のコードが何かを復号できないとき、ここに貼り付けて、鍵、IV、モード、エンコーディング、KDFのどこに問題があるかを診断パネルで切り分けられます。

暗号化の往復動作を検証する

AES暗号化ページや自分のアプリからの暗号文が、元のバイト列と正確に一致する形で復号されることを確認します。

不明な暗号文の正体を理解する

U2FsdGVkX1のプレフィックスや、IVらしき固定長のプレフィックスなど、形からフォーマットを特定し、鍵を試す前にどのように生成されたのかを把握します。

AES復号の内部構造と形式

GCM復号 — 認証付き

GCMは暗号文に対して128ビットのタグを再計算し、平文を返す前に比較します。不一致の場合は破損データを漏らすのではなく例外を投げます。先頭に付加された96ビットのIVを使用します。GCMの失敗は、鍵、モード、IV、暗号文のいずれかが間違っていることを意味しますが、暗号自体はどれが原因かまでは教えてくれません。

CBC復号 — 最初のブロックとパディングに注目

CBCには2つの異なる失敗パターンがあります。最初の16バイトブロックだけが乱れていて残りが正しく見える場合、IVが間違っています。すべてのブロックがガベージの場合、鍵が間違っています。PKCS#7パディングエラーは通常、鍵が間違っているか、暗号文が破損・切り詰められたことを意味します。CBCには(HMACのような認証付き構成とは異なり)タグがないため、間違った鍵でもそれらしく見えるバイト列に復号されてしまうことがあります。

CTR復号 — エラー時も静か

CTRは決して例外を投げません — 間違った鍵は単にガベージを生成し、それは通常、バイト列をテキストにデコードした時点で「有効なUTF-8ではない」というエラーとして現れます。カウンター/IVを正確に一致させてください。完全性チェックがないため、別途認証していないCTR出力は疑ってかかるべきです。

暗号文のレイアウト(F1 / F2 / F3)

フォーマット1(パスフレーズ)は、ソルト(16)、続いてIV、続いて暗号文で、GCMモードでは16バイトのGCMタグが末尾に付加されます。フォーマット2(生鍵)は、IVに続いて暗号文、または別途IVを入力するベア暗号文です。フォーマット3(OpenSSL)は、ASCIIヘッダーSalted__に続いて8バイトのソルト、続いて暗号文です。どのレイアウトかを知ることで、ソルトとIVがどこにあるかがツールにわかります。生鍵自体はCSPRNGから生成すべきです — 秘密鍵生成ツールを参照してください。

鍵導出:データを暗号化したものに合わせる

自己完結型のパスフレーズ暗号文の場合、このツールはPBKDF2-HMAC-SHA256を600,000回反復して使用します。OpenSSL/CryptoJSの暗号文の場合は、使用されたKDFを選ぶ必要があります — PBKDF2(openssl -pbkdf2のデフォルトは10,000回反復です。正確な回数を設定してください)、SHA-256を使うEVP_BytesToKey(-pbkdf2を使わないopenssl 1.1以降)、またはMD5を1回だけ使うEVP_BytesToKey(CryptoJSとopenssl 1.0.2以前)です。典型的な「復号できない」バグは、CryptoJSや古いopensslの暗号文をSHA-256で試すことです — EVP-MD5に切り替えればうまくいきます。

AES復号のベストプラクティス

まず形式を特定することから始める

設定をいじる前に、暗号文を見てください。U2FsdGVkX1プレフィックスはOpenSSL/CryptoJSを意味し、このツールで生成された自己完結型の文字列はパスフレーズ形式を意味し、ベアなデータは通常、生鍵と別途のIVが必要です。

鍵導出関数を正確に一致させる

OpenSSL/CryptoJSの暗号文では、KDFはパスフレーズと同じくらい重要です。PBKDF2が失敗する場合はEVP-MD5(CryptoJS、古いopenssl)を試してください。反復回数もアルゴリズムと同様に一致させる必要があります。

暗号文をきれいに貼り付ける

コピーの際に紛れ込む改行やスペースはBase64を壊すことがあります。このツールは空白文字を除去しますが、それでもデコードに失敗する場合は、スマート引用符、文字の欠落、途中で切れたコピーがないか確認してください。Base64ツールで怪しい文字列を検査できます。

鍵が間違っている結果を正直に扱う

CTRやCBCでは、間違った鍵がエラーではなくバイト列を生成することがあります。出力がガベージに見える、またはUTF-8チェックに失敗する場合は、鍵かIVが間違っています — 部分的にそれらしく見える出力を信用しないでください。

秘密の暗号文や鍵を決してサーバーに送らない

ブラウザで復号する意味は、何もページから出ていかないことにあります。アップロードするツールは避けてください。このツールはWeb Cryptoをローカルで使用しており、ネットワークタブで確認するかオフラインにして検証できます。AES-256は強力です — CNSA 2.0でTOP SECRETまで承認されています — なので、復号できない場合、問題は暗号方式ではなくパラメータにあります。

AES復号に関するFAQ