Инструмент шифрования AES — GCM, CBC и CTR

Что такое шифрование AES?

// AES-256-GCM with a passphrase (PBKDF2-HMAC-SHA256, 600,000 iterations).
// Identical code runs in the browser and in Node.js 20+ via Web Crypto.
async function aesGcmEncrypt(plaintext, passphrase) {
  const enc = new TextEncoder();
  const salt = crypto.getRandomValues(new Uint8Array(16));
  const iv = crypto.getRandomValues(new Uint8Array(12));
  const baseKey = await crypto.subtle.importKey(
    'raw', enc.encode(passphrase), 'PBKDF2', false, ['deriveKey']);
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 600000, hash: 'SHA-256' },
    baseKey, { name: 'AES-GCM', length: 256 }, false, ['encrypt']);
  const ct = new Uint8Array(await crypto.subtle.encrypt(
    { name: 'AES-GCM', iv }, key, enc.encode(plaintext)));
  const packed = new Uint8Array([...salt, ...iv, ...ct]); // salt(16) | iv(12) | ct+tag
  return btoa(String.fromCharCode(...packed));            // self-contained Base64
}

Ключевые возможности

Примеры шифрования AES

Быстрая бурая лиса перепрыгивает через ленивого пса.

соль (16 Б) + IV (12 Б) + шифротекст + тег (16 Б), в кодировке Base64 — новое значение при каждом запуске

Attack at dawn!

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=

Как зашифровать текст с помощью AES

1. 1

   Выберите режим и размер ключа

   Оставьте режим на GCM (рекомендуется) и размер ключа на 256 — это самый надёжный разумный вариант по умолчанию. Переключайтесь на CBC или CTR только если этого требует система, с которой вы работаете.

2. 2

   Выберите парольную фразу или необработанный ключ

   Оставьте тип ключа на «Парольная фраза» и введите надёжную парольную фразу, либо переключитесь на «Необработанный ключ» и вставьте точный ключ длиной 128/192/256 бит в hex или Base64. Значок с числом байт подтвердит, что длина вашего необработанного ключа корректна.

3. 3

   Введите текст для шифрования

   Введите или вставьте открытый текст. Шифрование выполняется автоматически по мере ввода, полностью в вашем браузере — без нажатия кнопки и без загрузки на сервер.

4. 4

   Скопируйте самодостаточный шифротекст

   Результат в Base64 справа уже содержит соль, IV и тег аутентификации. Используйте полосу сегментов, чтобы увидеть раскладку байт, затем нажмите «Копировать». Переключите кодировку вывода на Hex, если этого ожидает целевая система.

5. 5

   Расшифруйте обратно, когда потребуется

   Передайте получателю шифротекст, парольную фразу и тот же режим и размер ключа, либо откройте страницу расшифровки AES, чтобы обратить процесс самостоятельно.

Частые ошибки шифрования AES

Key type: Raw key
Key (hex): correct horse battery staple   (not hex, not 32 bytes)

Key type: Passphrase
Passphrase: correct horse battery staple   (stretched with PBKDF2)

// same key, same IV for two messages
encrypt(key, iv, a); encrypt(key, iv, b);

// fresh random IV each time (the default)
encrypt(key, randomIV(), a);

stored = ciphertext              // salt + IV + tag thrown away

stored = salt + iv + ciphertext + tag   // the full Base64 string

assert(encrypt(msg) === encrypt(msg))   // fails — and should

assert(decrypt(encrypt(msg)) === msg)   // this is what must hold

Что можно делать с шифрованием AES

Изучите поведение режимов AES

Переключайтесь между GCM, CBC и CTR с одним и тем же входом, чтобы увидеть, как меняются аутентификация, длина IV и размер шифротекста. Практический способ понять, что именно определяет NIST SP 800-38D.

Получите шифротекст, который прочитает другая система

Сгенерируйте результат в формате OpenSSL Salted__ (или как необработанный ключ плюс IV), чтобы бэкенд, скрипт или коллега, использующий openssl или криптобиблиотеку, мог расшифровать его без проблем.

Зашифруйте короткую заметку или фрагмент

Защитите разовый личный текст — восстановительную фразу, которую вы переносите между устройствами, фрагмент в тикете поддержки — парольной фразой, которую знаете только вы. Не подходит для регулируемых или боевых секретов.

Спроектируйте формат шифрования

Определите здесь раскладку соли/IV/тега и настройки KDF ещё до написания кода, используя разбивку по сегментам, чтобы подтвердить порядок байт и длины.

Сгенерируйте тестовые векторы

Создайте известный шифротекст с фиксированной парольной фразой и режимом, чтобы использовать его в собственных тестах расшифровки, а затем проверьте цикл на странице расшифровки AES.

Режимы AES и формирование ключа

GCM (Galois/Counter Mode) — аутентифицированный, рекомендуется

Конфиденциальность плюс 128-битный тег аутентификации (NIST SP 800-38D). Используется 96-битный (12-байтовый) IV, генерируемый случайно при каждом шифровании, а шифрование и расшифровка хорошо распараллеливаются. Единственное правило, которое нельзя нарушать: никогда не используйте один IV повторно с одним и тем же ключом. SP 800-38D ограничивает один ключ примерно 2^32 случайно сгенерированными IV, а повтор раскрывает XOR двух открытых текстов и может даже выдать ключ аутентификации, защищающий тег. Лучший выбор почти для всего.

CBC (Cipher Block Chaining) — только конфиденциальность

Каждый блок объединяется через XOR с предыдущим блоком шифротекста, используя случайный 16-байтовый IV. Встроенной аутентификации нет, поэтому его нужно сочетать с отдельным MAC — по схеме encrypt-then-MAC, например с помощью нашего генератора HMAC — и он исторически подвержен атакам типа «оракул дополнения» (Vaudenay, EUROCRYPT 2002). Предлагается здесь для совместимости с OpenSSL и более старыми системами.

CTR (Counter) — только конфиденциальность, потоковый режим

Превращает AES в поточный шифр, шифруя счётчик, поэтому подходит любая длина в байтах без дополнения, а блоки свободно распараллеливаются. Как и CBC, сам по себе не обеспечивает целостности, а повторное использование счётчика/IV с одним ключом катастрофично. Полезен, когда нужен произвольный доступ или потоковая семантика.

ECB — не предлагается (осознанно)

Electronic Codebook шифрует каждый блок независимо, поэтому одинаковые блоки открытого текста дают одинаковый шифротекст, и структура данных просвечивает — печально известный «ECB-пингвин». Web Crypto API намеренно не реализует его, и мы тоже. Если устаревшая сторона требует ECB, относитесь к этому как к ошибке, которую нужно исправить, а не как к формату, который нужно воспроизводить.

Формирование ключа: 600 000 против 10 000 против 1 итерации

В режиме парольной фразы по умолчанию этот инструмент использует PBKDF2-HMAC-SHA256 при 600 000 итераций (тот же хеш SHA-256, применённый сотни тысяч раз) с 16-байтовой солью, согласно OWASP. В режиме, совместимом с OpenSSL, PBKDF2 по умолчанию использует всего 10 000 итераций (значение по умолчанию для openssl enc), а устаревший KDF EVP_BytesToKey, используемый CryptoJS и старым OpenSSL, выполняет всего один проход MD5 — на порядки слабее. Больше итераций означает более медленный перебор на каждую попытку, поэтому современное значение по умолчанию настолько выше. Argon2 и scrypt ещё сильнее, но не входят в Web Crypto, поэтому здесь не рассматриваются; для хранения паролей следуйте рекомендациям OWASP и отдавайте предпочтение Argon2id.

Лучшие практики шифрования AES

Предпочитайте GCM, если другая сторона не требует иного

Аутентифицированное шифрование обнаруживает подмену, которую CBC и CTR молча пропускают. Переходите на CBC или CTR только ради совместимости, и в этом случае добавляйте MAC.

Используйте новый случайный IV для каждого сообщения

Инструмент делает это автоматически. Если вы задаёте IV вручную, никогда не используйте один и тот же IV с одним ключом повторно — для GCM повтор катастрофичен, а для CBC он ломает семантическую безопасность.

Выбирайте надёжные парольные фразы и настоящие случайные ключи

PBKDF2 замедляет перебор, но не может спасти слабую парольную фразу. Сгенерируйте длинную парольную фразу с помощью генератора паролей или настоящий случайный ключ с помощью генератора секретных ключей.

Храните соль, IV и тег вместе с шифротекстом

Они не секретны, но без них расшифровка не удастся. Самодостаточный формат этого инструмента объединяет все три; если вы используете режим необработанного ключа с «голым» шифротекстом, скопируйте IV отдельно и храните его вместе с шифротекстом.

Не шифруйте боевые или регулируемые секреты ни в одном онлайн-инструменте

Даже будучи полностью клиентским, инструмент в браузере предназначен для обучения, отладки и разовых личных задач. Настоящим секретам место в проверенной системе управления ключами с аудированной обработкой и ротацией ключей. Сам AES-256 надёжен — он одобрен в наборе NSA CNSA 2.0 для информации вплоть до уровня TOP SECRET — а реальные взломы происходят из-за ошибок реализации, а не из-за шифра.

FAQ по шифрованию AES