Edición de «Advanced Encryption Standard»

{{Ficha de método de cifrado
| nombre                = Advanced Encryption Standard
| imagen                = AES-SubBytes.svg
| tamaño imagen         = 
| pie imagen            = 
| diseñador             = Vincent Rijmen y Joan Daemen
| publicación           = 1998
| series                = 
| antecesor             = Square (cipher)
| sucesor               = Anubis, Grand Cru, Kalyna
| relacionado           = 
| certificación         = AES winner, CRYPTREC, NESSIE, [[NSA]]
| tamaño resumen        = 
| longitud clave        = 128, 192 o 256 bits
| reclamación seguridad = 
| longitud bloque       = 128 bits
| estructura            = [[Substitution–permutation network|SPN]]
| rounds                = 10, 12 o 14 (dependiendo de la longitud de clave)
| criptoanálisis        = Se han publicado ataques que son computacionalmente más rápidos que uno de [[ataque de fuerza bruta|fuerza bruta]], aunque ninguno a partir de 2013 que sea factible. Para AES-128, la clave se puede recuperar con una complejidad computacional de 2<sup>126.1</sup> usando el ataque biclique. En el caso de estos ataques en AES-192 y AES-256, se aplican respectivamente las complejidades computacionales de 2<sup>189.7</sup> y 2<sup>254,4</sup> respectivamente. Los ataques clave relacionados pueden romper AES-192 y AES-256 con complejidades 2<sup>99.5</sup> y 2<sup>176</sup> tanto en tiempo como en datos respectivamente.
}}
'''Advanced Encryption Standard''' ('''AES'''), también conocido como '''Rijndael''' ({{IPA-nl|ˈrɛindaːl}}), es un esquema de [[cifrado por bloques]] adoptado como un estándar de [[Criptografía|cifrado]] por el [[gobierno de los Estados Unidos]], creado en Bélgica. El AES fue anunciado por el [[Instituto Nacional de Estándares y Tecnología]] (NIST) como [[Federal Information Processing Standard|FIPS]] PUB 197 de los Estados Unidos (FIPS 197) el 26 de noviembre de 2001 después de un proceso de [[estandarización]] que duró 5 años. Se transformó en un estándar efectivo el 26 de mayo de 2002. Desde 2006, el AES es uno de los algoritmos más populares usados en [[criptografía simétrica]].

El cifrado fue desarrollado por dos criptólogos [[Bélgica|belgas]], [[Joan Daemen]] y [[Vincent Rijmen]], ambos estudiantes de la ''[[Katholieke Universiteit Leuven]]'', y fue enviado al proceso de selección AES bajo el nombre "Rijndael",<ref>{{Cita publicación|url=https://link.springer.com/book/10.1007/978-3-662-60769-5|título=The Design of Rijndael|apellidos=Daemen|nombre=Joan|apellidos2=Rijmen|nombre2=Vincent|fecha=2020|publicación=Information Security and Cryptography|fechaacceso=2026-07-08|idioma=en|issn=1619-7100|doi=10.1007/978-3-662-60769-5}}</ref> como parte de un concurso.

== Historia ==
En 1997, el [[Instituto Nacional de Normas y Tecnología]] (NIST) decidió realizar un concurso para escoger un nuevo algoritmo de cifrado capaz de proteger información sensible durante el {{siglo|XXI||s}}. Este concurso se denominó '''Advanced Encryption Standard''' (AES).

El 2 de enero de 1997 el NIST anunció su intención de desarrollar AES, con la ayuda de la industria y de la comunidad criptográfica. El 12 de septiembre de ese año se hizo la convocatoria formal. En esta convocatoria se indicaban varias condiciones para los algoritmos que se presentaran:

* Ser de [[dominio público]], disponible para todo el mundo.
* Ser un algoritmo de cifrado simétrico y soportar bloques de, como mínimo, 128 bits.
* Las [[Clave (criptografía)|claves de cifrado]] podrían ser de 128, 192 y 256 bits.
* Ser implementable tanto en hardware como en software.

El 20 de agosto de 1998 el NIST anunció los 15 algoritmos admitidos en la primera conferencia AES:

* '''CAST-256''' (''Entrust Technologies, Inc.'')
* '''CRYPTON''' (''Future Systems, Inc.'')
* '''DEAL''' (''Richard Outerbridge, Lars Knudsen'')
* '''DFC''' (''CNRS – Centre National pour la Recherche Scientifique – [[École Normale Supérieure]]'')
* '''E2''' (''NTT – Nippon Telegraph and Telephone Corporation'')
* '''FROG''' (''TecApro International, S.A.'')
* '''HPC''' (''Rich Schroeppel'')
* '''LOKI97''' (''Lawrie Brown, Josef Pieprzyk, Jennifer Seberry'')
* '''MAGENTA''' (''Deutsche Telekom AG'')
* '''MARS''' (''IBM'')
* '''RC6''' (''RSA Laboratories'')
* '''RIJNDAEL''' (''John Daemen, Vincent Rijmen'')
* '''SAFER+''' (''Cylink Corporation'')
* '''SERPENT''' (''Ross Anderson, Eli Biham, Lars Knudsen'')
* '''TWOFISH''' (''Bruce Schneier, John Kelsey, Doug Whiting, David Wagner, Chris Hall, Niels Ferguson'')

La segunda conferencia AES tuvo lugar en marzo de 1999 donde se discutieron los análisis a los que fueron sometidos los candidatos por la comunidad criptográfica internacional. Se admitieron comentarios hasta el 15 de abril. El NIST decidió en agosto de 1999 cuales serían los 5 finalistas:

* '''MARS'''
* '''RC6'''	
* '''RIJNDAEL'''
* '''SERPENT'''
* '''TWOFISH'''

Estos algoritmos fueron sometidos a una segunda revisión, más exhaustiva, que duró hasta el 15 de mayo de 2000. Durante este periodo el NIST admitió análisis de los algoritmos finalistas.

Durante los días 13 y 14 de abril de 2000 tuvo lugar la tercera conferencia AES donde se discutieron los últimos análisis de los algoritmos finalistas. En ella estuvieron presentes los desarrolladores de los algoritmos finalistas.

El 15 de mayo de 2000 finalizó el periodo público de análisis. El NIST estudió toda la información disponible para decidir cual sería el algoritmo ganador. El 2 de octubre de 2000 se votó cual sería el algoritmo que finalmente ganaría el concurso. El resultado fue el siguiente:

* '''MARS:''' 13 votos
* '''RC6:''' 23 votos	
* '''RIJNDAEL:''' 86 votos	
* '''SERPENT:''' 59 votos
* '''TWOFISH:''' 31 votos

El algoritmo Rijndael ganó el concurso y en noviembre de 2001 se publicó FIPS 197 donde se asumía oficialmente.

== Desarrollo ==
Rijndael fue un refinamiento de un diseño anterior de Daemen y Rijmen, [[Square (cifrador)|Square]]; Square fue a su vez un desarrollo de [[Shark (cifrador)|Shark]].

Al contrario que su predecesor DES, Rijndael es una [[red de sustitución-permutación]], no una [[red de Feistel]]. AES es rápido tanto en [[software]] como en [[hardware]], es relativamente fácil de implementar, y requiere poca [[memoria de ordenador|memoria]]. Como nuevo estándar de cifrado, se está utilizando actualmente a gran escala.

== Descripción del cifrado ==
{| align="right" style="margin: 0 0 1em 1em;" width="325px"
| [[Archivo:AES-SubBytes.svg|320px|thumbnail|En la fase de <tt>SubBytes</tt>, cada byte en el state es reemplazado con su entrada en una tabla de búsqueda fija de 8 bits, ''S''; ''b<sub>ij</sub>'' = ''S(a<sub>ij</sub>)''.]]
|-
| [[Archivo:AES-ShiftRows.svg|320px|thumbnail|En el paso <tt>ShiftRows</tt>, los bytes en cada fila del state son rotados de manera cíclica hacia la izquierda. El número de lugares que cada byte es rotado difiere para cada fila.]]
|-
| [[Archivo:AES-MixColumns.svg|320px|thumbnail|En el paso <tt>MixColumns</tt>, cada columna del state es multiplicada por un polinomio constante ''c(x)''.]]
|-
| [[Archivo:AES-AddRoundKey.svg|right|320px|thumbnail|En el paso <tt>AddRoundKey</tt>, cada byte del state se combina con un byte de la subclave usando la operación [[XOR]] (⊕).]]
|-
|}
Estrictamente hablando, AES no es precisamente Rijndael (aunque en la práctica se los llama de manera indistinta) ya que Rijndael permite un mayor rango de [[Tamaño de bloque (criptografía)|tamaño de bloques]] y [[Longitud de la clave|longitud de claves]]; AES tiene un tamaño de bloque fijo de 128 bits y tamaños de clave de 128, 192 o 256 bits, mientras que Rijndael puede ser especificado por una clave que sea múltiplo de 32 bits, con un mínimo de 128 bits y un máximo de 256 bits.

La mayoría de los cálculos del algoritmo AES se hacen en un [[campo finito]] determinado. 

AES opera en una matriz de 4×4 [[byte]]s, llamada ''state'' (algunas versiones de Rijndael con un tamaño de bloque mayor tienen columnas adicionales en el state). 

=== Pseudocódigo ===
* Expansión de la clave usando el [[esquema de claves de Rijndael]].
* Etapa inicial:
# <tt>AddRoundKey</tt>
* Rondas:
# <tt>SubBytes</tt> — en este paso se realiza una sustitución no lineal donde cada byte es reemplazado con otro de acuerdo a una [[Caja-S de Rijndael|tabla de búsqueda]].
# <tt>ShiftRows</tt> — en este paso se realiza una transposición donde cada fila del «state» es rotada de manera cíclica un número determinado de veces. 
# <tt>MixColumns</tt> — operación de mezclado que opera en las columnas del «state», combinando los cuatro bytes en cada columna usando una [[transformación lineal]].
# <tt>AddRoundKey</tt> — cada byte del «state» es combinado con la clave «round»; cada clave «round» se deriva de la clave de cifrado usando una [[iteración de la clave]].
* Etapa final:
# <tt>SubBytes</tt>
# <tt>ShiftRows</tt>
# <tt>AddRoundKey</tt>

== Seguridad ==
Hasta 2005, no se ha encontrado ningún ataque exitoso contra el AES. La [[Agencia de Seguridad Nacional|Agencia de Seguridad Nacional de los Estados Unidos (NSA)]] revisó todos los finalistas candidatos al AES, incluyendo el Rijndael, y declaró que todos ellos eran suficientemente seguros para su empleo en información no clasificada del gobierno de los Estados Unidos. En junio de 2003, el gobierno de los Estados Unidos anunció que el AES podía ser usado para información clasificada:
:"''The design and strength of all key lengths of the AES algorithm (i.e., 128, 192 and 256) are sufficient to protect classified information up to the SECRET level. TOP SECRET information will require use of either the 192 or 256 key lengths. The implementation of AES in products intended to protect national security systems and/or information must be reviewed and certified by NSA prior to their acquisition and use.''<ref>{{Cita web |url=http://www.cnss.gov/Assets/pdf/cnssp_15_fs.pdf |título=Copia archivada |fechaacceso=10 de junio de 2005 |urlarchivo=https://web.archive.org/web/20070927035010/http://www.cnss.gov/Assets/pdf/cnssp_15_fs.pdf |fechaarchivo=27 de septiembre de 2007}}</ref>"

Este hecho marca la primera vez que el público ha tenido acceso a un cifrador aprobado por la NSA para información súper secreta (TOP SECRET). Es interesante notar que muchos productos públicos usan claves de 128 bits por defecto; es posible que la NSA sospeche de una debilidad fundamental en claves de este tamaño, {{cita requerida}} o simplemente prefieren tener un margen de seguridad para documentos supersecretos (que deberían conservar la seguridad durante décadas en el futuro). 

El método más común de ataque hacia un cifrador por bloques consiste en intentar varios ataques sobre versiones del cifrador con un número menor de rondas. El AES tiene 10 rondas para claves de 128 bits, 12 rondas para claves de 192 bits, y 14 rondas para claves de 256 bits. Hasta 2005, los mejores ataques conocidos son sobre versiones reducidas a 7 rondas para claves de 128 bits, 8 rondas para claves de 192 bits, y 9 rondas para claves de 256 bits.<ref>{{Cita publicación|url=https://link.springer.com/chapter/10.1007/3-540-44706-7_15|título=Improved Cryptanalysis of Rijndael|apellidos=Ferguson|nombre=Niels|apellidos2=Kelsey|nombre2=John|fecha=2001|publicación=Fast Software Encryption|editorial=Springer|páginas=213–230|fechaacceso=2026-07-08|apellidos-editor=Goos|nombre-editor=Gerhard|idioma=en|doi=10.1007/3-540-44706-7_15|isbn=978-3-540-44706-1|apellidos3=Lucks|nombre3=Stefan|apellidos4=Schneier|nombre4=Bruce|apellidos5=Stay|nombre5=Mike|apellidos6=Wagner|nombre6=David|apellidos7=Whiting|nombre7=Doug}}</ref>

Algunos criptógrafos muestran preocupación sobre la seguridad del AES. Sienten que el margen entre el número de rondas especificado en el cifrador y los mejores ataques conocidos es muy pequeño. El riesgo es que se puede encontrar alguna manera de mejorar los ataques, y de ser así, el cifrado podría romperse (en el contexto criptográfico se considera "roto" un algoritmo si existe algún ataque más rápido que una búsqueda exhaustiva (ataque por fuerza bruta). De modo que un ataque contra el AES de clave de 128 bits que requiera 'solo' 2<sup>120</sup> operaciones sería considerado como un ataque que "rompe" el AES, aun tomando en cuenta que por ahora sería un ataque irrealizable. Hasta el momento, tales preocupaciones pueden ser ignoradas. El ataque de fuerza bruta más largamente publicitado y conocido ha sido contra una clave de 64 bits [[RC5]] por [[distributed.net]].

Otra preocupación es la estructura [[matemáticas|matemática]] de AES. A diferencia de la mayoría de cifradores de bloques, AES tiene una descripción matemática muy ordenada.<ref>{{Cita web |url=http://www.macfergus.com/pub/rdalgeq.html |título=A simple algebraic representation of Rijndael <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009 |urlarchivo=https://web.archive.org/web/20160116051445/http://www.macfergus.com/pub/rdalgeq.html |fechaarchivo=16 de enero de 2016}}</ref><ref>{{Cita web |url=http://www.isg.rhul.ac.uk/~sean |título=Sean Murphy <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009}}</ref> Esto no ha llevado todavía a ningún ataque, pero algunos investigadores están preocupados que futuros ataques quizá encuentren una manera de explotar esta estructura.

En 2002, un ataque teórico, denominado "[[ataque XSL]]", fue anunciado por [[Nicolas Courtois]] y [[Josef Pieprzyk]],<ref>{{Cita publicación|url=https://link.springer.com/chapter/10.1007/3-540-36178-2_17|título=Cryptanalysis of Block Ciphers with Overdefined Systems of Equations|apellidos=Courtois|nombre=Nicolas T.|apellidos2=Pieprzyk|nombre2=Josef|fecha=2002|publicación=Advances in Cryptology — ASIACRYPT 2002|editorial=Springer|páginas=267–287|fechaacceso=2026-07-08|apellidos-editor=Zheng|nombre-editor=Yuliang|idioma=en|doi=10.1007/3-540-36178-2_17|isbn=978-3-540-36178-7}}</ref> mostrando una potencial debilidad en el algoritmo AES. Varios expertos criptográficos han encontrado problemas en las matemáticas que hay por debajo del ataque propuesto, sugiriendo que los autores quizá hayan cometido un error en sus estimaciones. Si esta línea de ataque puede ser tomada contra AES, es una cuestión todavía abierta. Hasta el momento, el ''ataque XSL'' contra AES parece especulativo; es improbable que nadie pudiera llevar a cabo en la práctica este ataque.

=== Ataques de canal lateral ===
Los [[Ataque de canal lateral|ataques de canal lateral]] no atacan al cifrador en sí, sino a las implementaciones del cifrador en sistemas que revelan datos inadvertidamente.

En abril de 2005, [[Daniel J. Bernstein]] anunció un ataque temporizado de caché<ref>{{Cita web |url=http://cr.yp.to/papers.html#cachetiming |título=D. J. Bernstein / Papers <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009}}</ref> que solía romper un servidor a medida que usaba el cifrado AES para [[OpenSSL]]. Este servidor fue diseñado para dar la mayor cantidad de información acerca de los tiempos de ejecución como fuera posible, y el ataque requería cerca de 200 millones de ficheros de texto en claro. Se dice que el ataque no es práctico en implementaciones del mundo real;{{Cita requerida}} [[Bruce Schneier]] llamó a esta investigación un ''"bonito ataque de tiempos"''.<ref>{{Cita web |url=http://www.schneier.com/blog/archives/2005/05/aes_timing_atta_1.html |título=Schneier on Security: AES Timing Attack <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009}}</ref>

En octubre de 2005, [[Adi Shamir]] y otros dos investigadores presentaron un artículo demostrando varios ataques de tiempos de caché<ref>{{Cita publicación|url=https://link.springer.com/chapter/10.1007/11605805_1|título=Cache Attacks and Countermeasures: The Case of AES|apellidos=Osvik|nombre=Dag Arne|apellidos2=Shamir|nombre2=Adi|fecha=2006|publicación=Topics in Cryptology – CT-RSA 2006|editorial=Springer|páginas=1–20|fechaacceso=2026-07-08|apellidos-editor=Pointcheval|nombre-editor=David|idioma=en|doi=10.1007/11605805_1|isbn=978-3-540-32648-9|apellidos3=Tromer|nombre3=Eran}}</ref> contra AES. Uno de los ataques obtuvo una clave de AES entera después de tan solo 800 escrituras, en 65 milisegundos. Este ataque requiere que el atacante pueda ejecutar programas en el mismo sistema que realiza el cifrado de AES.

=== Implementaciones ===
* Una calculadora de AES que muestra valores intermedios en Javascript<ref>{{Cita web |url=http://people.eku.edu/styere/Encrypt/JS-AES.html |título=JavaScript AES Example <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009 |urlarchivo=https://web.archive.org/web/20080702112243/http://people.eku.edu/styere/Encrypt/JS-AES.html |fechaarchivo=2 de julio de 2008}}</ref>
* Implementación de AES por Brian Gladman con licencia BSD<ref>{{Cita web|url=http://www.gladman.me.uk/cryptography_technology/rijndael/index.php|título=Cryptography Technology|fechaacceso=2026-07-24|apellido=Gladman|nombre=Brian|sitioweb=}}</ref>
* Implementación de AES de dominio público de Pablo Barreto escrita en C
* Implementación de AES de dominio público de D.J. Bernstein<ref>{{Cita web |url=http://cr.yp.to/mac.html |título=Poly1305-AES: a state-of-the-art message-authentication code |fechaacceso=2009|apellido=Bernstein|nombre=Daniel Julius}}</ref>
* Código fuente con licencia GPL del algoritmo optimizado de Rijndael en C<ref>{{Cita web|url=http://www.cr0.net:8040/code/crypto/aes/|título=AES Source Code|fechaacceso=2026-07-24|apellido=Devine|nombre=Christophe|sitioweb=www.cr0.net|urlarchivo=https://web.archive.org/web/20031123111709/http://www.cr0.net:8040/code/crypto/aes/|fechaarchivo=2003-11-23}}</ref>
* Biblioteca GPL Nettle que también incluye una implementación de AES<ref>{{Cita web |url=http://www.lysator.liu.se/~nisse/nettle |título=Nettle - a low-level crypto library |fechaacceso=2009|sitioweb=Lysator}}</ref>
* Evolsystem: ejemplo de algoritmo de cifrado AES - Rijndael<ref>{{Cita web |url=http://web.archive.org/web/http://www.evolsystem.cl/algoritmo/ |título=Evolsystem AES Rijndael (Technology Preview) <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009}}</ref>
* Rijndael Inspector: programa hecho en [[Adobe Flash|Flash]] para cifrar y descifrar utilizando AES-128<ref>{{Cita web |url=http://www.formaestudio.com/rijndaelinspector/ |título=Rijndael Inspector <!--Generado por Muro Bot. Puedes ayudar a rellenar esta plantilla--> |fechaacceso=2009}}</ref>
* Cryptomator: programa de código abierto para encriptar archivos y subirlos a la nube<ref>{{Cita web |url=https://cryptomator.org/ |título=Cryptomator |fechaacceso=1 de octubre de 2021 |nombre1=Cryptomator}}</ref>

== Rendimiento ==
En un procesador [[Pentium Pro]], el cifrado de AES requiere de 18 ciclos por byte (cpb),<ref>{{Cita publicación|url=https://www.researchgate.net/publication/2644435_Performance_Comparison_of_the_AES_Submissions|título=Performance Comparison of the AES Submissions|apellidos=Schneier|nombre=Bruce|apellidos2=Kelsey|nombre2=John|fecha=2000-05-04|fechaacceso=2026-07-24|apellidos3=Whiting|nombre3=Doug|apellidos4=Wagner|nombre4=David|apellidos5=Hall|nombre5=Chris|apellidos6=Ferguson|nombre6=Niels}}</ref> lo cual equivale a 11 MiB/s en un procesador de 200&nbsp;MHz.

En los CPU [[Intel Core]] y [[AMD Ryzen]] que implementan el [[Conjunto de Instrucciones AES|conjunto de instrucciones AES]], el rendimiento puede alcanzar varios GiB/s (incluso más de 15&nbsp;GiB/s en un modelo i7-12700k).<ref>{{Cita web|url=https://www.vortez.net/articles_pages/amd_ryzen_7_1700x_review,7.html|título=AMD Ryzen 7 1700X Review - AES Encryption Performance - TrueCrypt 7.1a|fechaacceso=2026-07-24|sitioweb=Vortez|idioma=en}}</ref> En un CPU con arquitectura [[Westmere|Intel Westmere]], el cifrado AES con este conjunto de instrucciones toma aproximadamente 1.3 cpb para AES-128 y 1.8 cpb para AES-256.<ref>{{Cita web |url=https://www.intel.com/content/dam/doc/white-paper/advanced-encryption-standard-new-instructions-set-paper.pdf |título=Intel ® Advanced Encryption Standard (AES) New Instructions Set |fecha=Mayo de 2010}}</ref>

== Notas ==

* Tamaños de bloque de 128, 160, 192, 224 y 256 bits son soportados por el algoritmo Rijndael, pero solo bloques de 128 bits de tamaño son especificados en el AES.

== Referencias ==
{{listaref}}
== Enlaces externos ==
{{wikibooks|Seguridad informática}}
* [http://embeddedsw.net/Cipher_Reference_Home.html Código de referencia]
* [https://web.archive.org/web/20150407153905/http://csrc.nist.gov/publications/fips/fips197/fips-197.pdf FIPS PUB 197: the official AES Standard] ([[Portable Document Format|PDF]] file)
<!-- The following is a dead link 2005/05/15
* [http://web.archive.org/web/http://www.nstissc.gov/Assets/pdf/fact%20sheet.pdf The C.N.S.S. announcement regarding the use of AES for classified data] ([[Portable Document Format|PDF]] file) -->
* [http://www.quadibloc.com/crypto/co040401.htm John Savard's description of the AES algorithm]
* [https://aesencryptiondecryption.tool-kit.dev/ Interreta ilo de AES]
* [http://www.formaestudio.com/rijndaelinspector/ Animación explicando el funcionamiento del algoritmo Rijndael - por E. Zabala]
* [http://www.criptored.es/descarga/Rijndael.zip Criptosistema Rijndael. A Fondo] Profesor Alfonso Muñoz Muñoz, de la Red Temática Iberoamericana de Criptografía y Seguridad de la Información.

{{Control de autoridades}}
[[Categoría:Cifrado por bloques]]