AES 对称加密：工作模式与密钥生成

FreeGuideOnline 最新 2026-06-18

AES 是什么：理解现代对称加密的基石

高级加密标准（AES）是当今世界上最广泛使用的对称加密算法。它取代了陈旧的 DES，成为保护网络通信、文件存储和敏感数据的首选方案。作为一种对称密钥算法，AES 意味着加密和解密使用完全相同的密钥，这与非对称加密（如 RSA）截然不同。AES 的强大之处在于其安全性建立在算法本身的结构上，而非算法保密，且能够抵御所有已知的实用攻击，只要密钥未被泄露。

AES 属于分组密码，它以固定大小的数据块（128 位）为单位进行处理。你可以把它想象成一台处理固定大小卡片的机器：无论你输入多长的消息，它都会将消息切成 128 位的“卡片”，然后逐张用密钥进行加密处理。AES 支持三种密钥长度：AES-128、AES-192 和 AES-256，数字代表密钥的比特位数。密钥越长，安全性越高，抗暴力破解能力越强，但相应也会带来一些计算开销。绝大多数现代应用默认使用 AES-256，因为它提供了后量子时代前最高的安全裕度。

AES 的内部运作：一轮又一轮的变换

虽然作为开发者你不需要手动实现这些步骤，但理解其核心结构有助于正确使用它。AES 加密过程并非一次简单的混合，而是通过多轮次的轮函数（Round Function）反复扰乱数据。给定一个 128 位明文块和一个密钥，算法会进行以下操作：

  1. 密钥扩展：首先将原始密钥扩展成一系列轮密钥，每一轮使用不同的轮密钥。
  2. 初始轮密钥加：明文块与第一个轮密钥进行异或。
  3. 重复轮次：根据密钥长度执行多轮（AES-128: 10轮，AES-192: 12轮，AES-256: 14轮）。每轮包含四个可逆的变换：字节替换（利用 S 盒进行非线性变换）、行移位（在4x4的状态矩阵中循环移动各行）、列混合（在有限域上混合各列，提供扩散性），以及轮密钥加（再次异或轮密钥）。最后一轮省略列混合。
  4. 输出密文块。

所有这些操作的组合保证了雪崩效应：即当明文或密钥仅发生一位改变时，产生的密文大约有一半点位完全不同。这使得 AES 具有极高的混淆与扩散能力。

不仅仅只有加密：理解 AES 的工作模式

分组密码一次只能处理一个固定长度的块。然而，现实中的明文往往远超 128 位（16 字节）。如果简单地用同一种方式独立加密每个块，会导致严重的安全问题。例如，两个相同的明文块将产生相同的密文块，暴露数据模式。工作模式正是为了解决这一问题而设计的，它定义了如何将多个块安全地串联起来，并提供额外的特性。选择合适的工作模式是安全实现 AES 的重中之重。

电子密码本模式（ECB）—— 永远不要使用的方式

ECB 是最简单、最直观的模式：每个明文块使用相同的密钥独立加密。这正是前面提到的“简单独立加密”方式。它有一个致命的缺陷：相同的明文块会永远生成相同的密文块。如果你加密一张图片，即使经过了加密，像素模式依然清晰可辨（著名的 Linux 企鹅加密示例）。ECB 不提供任何严肃的保密性，绝不应用于安全应用中。

密码块链接模式（CBC）—— 经典且广泛的模式

CBC 通过引入初始化向量和块间依赖来消除 ECB 的缺点。在加密第一个块之前，它将明文块与一个随机生成的 IV 进行异或，然后再加密。加密后续块时，先将明文块与前一个块的密文块进行异或，再加密。解密是逆过程。这种“链式”效果确保了即使相同的明文块也会产生不同的密文块。CBC 需要一个随机的、不可预测的 IV（无需保密，但通常与密文一起传输），且 IV 必须唯一。CBC 曾经是 TLS 等协议的标准模式，但它不支持并行加密，且容易受到填充预言攻击（如 Padding Oracle 攻击），因此逐步被更现代的模式取代。

计数器模式（CTR）—— 将分组密码变成流密码

CTR 模式的工作原理完全不同。它不再直接加密明文，而是加密一个连续递增的计数器值，生成一个密钥流。然后将这个密钥流与明文进行异或，产生密文。这实际上将分组密码转换成了流密码。优点非常明显：可以预先生成密钥流，加密解密完全相同，支持随机访问（你可直接解密文件的某个块），且完全可并行化。CTR 同样需要一个 Nonce（类似于 IV），且对于同一密钥，Nonce 必须唯一，绝不能在同一个密钥下复用计数器值，否则会遭受灾难性的密钥流重复攻击。

伽罗瓦/计数器模式（GCM）—— 现代应用的首选

GCM 模式 = CTR 模式的加密 + 伽罗瓦域上的消息认证码（GMAC）。它在提供机密性的同时，还提供了认证加密，确保数据的完整性和真实性。这意味着任何对密文的篡改都会导致认证标签验证失败，从而防止攻击者伪造密文或篡改数据。GCM 具有 CTR 的所有优点（并行、流式处理），且效率极高，尤其在有硬件 AES 指令的处理器上。如今，任何新建应用只要不涉及极特殊需求，都应将 AES-256-GCM 作为默认选择。TLS 1.3 仅允许使用 AEAD 模式，GCM 即是其中之一。使用 GCM 时必须牢记：对于同一密钥， IV (Nonce) 绝对不能重复，即使是一次复用，都可能彻底破坏认证安全性。

密钥生成：安全的起点

AES 算法本身是安全的，但如果你的密钥脆弱，一切就前功尽弃。密钥生成是密码系统中最为关键的环节。一个 256 位的 AES 密钥必须是从一个高质量、均匀随机的源中产生的 32 字节数据。绝对不要用人类可记忆的密码直接作为 AES 密钥。

从密码到密钥：基于密码的密钥派生函数

人类几乎从不直接使用原始的随机字节密钥。我们习惯使用密码。为了将一个弱密码安全地转换成强密钥，你必须使用密钥派生函数。对于 AES，标准做法是使用 PBKDF2、bcrypt、scrypt 或 Argon2。这些函数通过迭代哈希和加盐，使得从密码推导密钥极其耗费计算资源，从而大大增加了暴力破解和字典攻击的难度。签名：

  • Salt（盐）：每派生一次密钥都应生成一个随机盐值，与哈希值一起存储。盐值阻止了彩虹表攻击，并确保同一密码在不同用户处导出不同密钥。
  • 迭代次数（成本因子）：应设定到使目标设备执行一次时间在 100ms 到 1s 左右，以拖慢攻击者速度。

例如，在 Python 中使用 hashlib.pbkdf2_hmac('sha256', password, salt, 100000, dklen=32) 即可得到一个适合 AES-256 的密钥。

密钥的安全存储与生命周期

生成密钥后，该如何存放？密钥绝不能硬编码在代码中，也不能提交到版本控制系统。你应该依赖操作系统的密钥保管库、硬件安全模块（HSM）、或专用的密钥管理服务（如云平台的 KMS）。在应用环境中，密钥常常会定期轮换，以降低暴露影响。始终遵循最小权限原则，只有必须加密/解密的组件才能访问密钥。

最佳实践清单

  1. 永远不要自己发明模式，坚持使用标准化且经过广泛审查的 AER 实现（如 OpenSSL， libsodium， Go crypto 标准库等）。
  2. 尽可能使用认证加密：默认选择 AES-GCM。如果必须使用 CBC 或 CTR，务必单独添加 HMAC 进行认证（如 encrypt-then-MAC 方案）。
  3. IV/Nonce 必须随机且唯一：使用操作系统的密码学安全伪随机数生成器（CSPRNG）生成。GCM 的 nonce 建议为 96 位。
  4. 考虑数据上限：GCM 使用单一密钥时，存在安全加密数据总量上限（约为 2^32 个块，64 GiB）。达到上限前需轮换密钥。大体积加密可改用 XChaCha20-Poly1305 等模式，但 AES-GCM 在多数场景完全足够。
  5. 正确的密钥长度：新系统一律使用 AES-256，以抵御量子计算机潜在威胁（Grover 算法将密钥有效强度减半，AES-256 的 128 位量子安全强度仍足够高）。

掌握 AES 的工作模式和密钥生成只是密码学的第一课。构建安全系统远比选择“AES-256”复杂，但透彻理解这些基础将使你远离绝大多数常见的密码学陷阱。始终记住：密码学的敌人是细微的错误假设，严格遵守成熟协议的实现细节，是工程师最好的护身符。