3、AES算法深度解析：从数学基础到实战实现

AES（Advanced Encryption Standard）是目前最主流的对称加密算法。说实话，我入行那会儿还在用DES，后来AES成为标准后，整个行业都松了一口气——终于有个既安全又高效的算法了。

这一章我们深入AES的每个细节。你可能会觉得数学部分有点枯燥，但相信我，理解了有限域GF(2^8)，你才能真正明白AES为什么这么设计。

3.1 有限域GF(2^8)——AES的数学地基

先聊聊有限域。说白了，GF(2^8)就是一个只有256个元素的数学系统，每个元素是一个8位二进制数。AES的所有操作都在这个域里完成。

为什么是2^8？因为一个字节正好8位。AES把每个字节看作一个多项式：

// 字节 0x57 (01010111) 对应的多项式
x^6 + x^4 + x^2 + x + 1

加法和减法就是简单的XOR。我记得第一次看AES规范时，觉得乘法特别绕——它需要模一个不可约多项式 x^8 + x^4 + x^3 + x + 1（即0x11B）。

3.2 字节代换（SubBytes）——非线性的核心

字节代换是AES唯一的非线性操作。它用一个16×16的S盒，把每个字节映射成另一个字节。

S盒的构造分两步：

1. 求乘法逆元：在GF(2^8)中计算每个字节的逆元（0x00的逆元定义为0x00）
2. 仿射变换：对逆元做一次线性变换，再加一个常数

为什么要加仿射变换？我当年也问过这个问题。答案是：如果没有仿射变换，S盒的代数表达式太简单，容易遭受代数攻击。

// S盒查找示例：输入 0x53，输出 S[5][3] = 0xED
// 实际代码中通常用一维数组
static const uint8_t sbox[256] = {
    0x63, 0x7C, 0x77, 0x7B, 0xF2, 0x6B, 0x6F, 0xC5,
    0x30, 0x01, 0x67, 0x2B, 0xFE, 0xD7, 0xAB, 0x76,
    // ... 共256个值
};

3.3 行移位（ShiftRows）——让列之间产生联系

行移位很简单，就是把状态矩阵的每一行循环左移不同的位数：

行号	移位量	说明
第0行	0字节	不动
第1行	1字节	循环左移1位
第2行	2字节	循环左移2位
第3行	3字节	循环左移3位

你想想看，如果没有行移位，每一列的数据永远只在自己列里混——那AES就退化成4个独立的16位分组加密了，安全性大打折扣。

3.4 列混合（MixColumns）——扩散的艺术

列混合是AES实现「雪崩效应」的关键。它把每一列的4个字节，通过一个固定的矩阵乘法，混合成新的4个字节。

// 列混合的矩阵乘法（在GF(2^8)中）
// 输入列 [a0, a1, a2, a3]，输出列 [b0, b1, b2, b3]
b0 = 2*a0 + 3*a1 + 1*a2 + 1*a3
b1 = 1*a0 + 2*a1 + 3*a2 + 1*a3
b2 = 1*a0 + 1*a1 + 2*a2 + 3*a3
b3 = 3*a0 + 1*a1 + 1*a2 + 2*a3

这里的加法和乘法都是在GF(2^8)中进行的。系数1、2、3看起来简单，但乘2和乘3在有限域里有特殊含义——乘2相当于左移一位再模不可约多项式。

3.5 轮密钥加（AddRoundKey）——把密钥揉进去

这一步最简单，就是把状态矩阵和轮密钥做XOR。但简单不等于不重要——没有这一步，整个加密就是线性的，一攻就破。

每一轮使用的轮密钥都不一样，由密钥扩展算法生成。

3.6 密钥扩展算法——从种子长成参天大树

AES-128需要11个轮密钥（第0轮到第10轮），每个轮密钥16字节，总共176字节。密钥扩展就是从原始的16字节密钥，生成这176字节的过程。

核心逻辑：

1. 前4个字（16字节）直接来自原始密钥
2. 之后的每个字，由前一个字和前面第4个字运算得到
3. 每4个字（即每轮）有一个特殊的「轮常数」参与运算

// 密钥扩展伪代码（AES-128）
void KeyExpansion(uint8_t* key, uint8_t* w) {
    // 前4个字直接复制
    for (int i = 0; i < 4; i++)
        w[i] = key[i];
    
    // 生成剩余40个字
    for (int i = 4; i < 44; i++) {
        uint8_t temp = w[i-1];
        if (i % 4 == 0) {
            temp = SubWord(RotWord(temp)) ^ Rcon[i/4];
        }
        w[i] = w[i-4] ^ temp;
    }
}

这里的RotWord是循环左移一个字节，SubWord是逐字节查S盒，Rcon是轮常数数组。

3.7 AES完整加密流程

把上面所有步骤串起来，AES-128的加密流程如下：

// AES-128加密流程
1. AddRoundKey(State, RoundKey[0])   // 初始轮密钥加
2. for round = 1 to 9:               // 第1轮到第9轮
     SubBytes(State)                  // 字节代换
     ShiftRows(State)                 // 行移位
     MixColumns(State)                // 列混合
     AddRoundKey(State, RoundKey[round])
3. SubBytes(State)                    // 第10轮（没有列混合）
   ShiftRows(State)
   AddRoundKey(State, RoundKey[10])

注意最后一轮没有列混合。为什么？其实没有特别深奥的原因——加不加列混合不影响安全性，但少做一步能省点计算。AES的设计者就是这么权衡的。

3.8 解密流程

解密就是加密的逆过程。但要注意，不是简单地把步骤倒过来——每个逆操作都有对应的实现：

加密操作	解密操作	说明
SubBytes	InvSubBytes	使用逆S盒
ShiftRows	InvShiftRows	循环右移
MixColumns	InvMixColumns	使用逆矩阵
AddRoundKey	AddRoundKey	XOR的逆就是自身

解密时轮密钥的使用顺序也要反过来——先用第10轮的密钥，最后用第0轮的。