实例详解AES算法

  稍微百度下就可知道，AES算法分为四个步骤：轮密钥加，字节代替，行移位和列混淆，本文以一个实例来讲解AES算法中的每一个步骤干了什么，精确到每个数字的变换。

  AES算法其实有很多种，根据秘钥长度的不同分为AES-128,AES-192,AES-256,本文以AES-128为例。   至于AES的加密模式，ECB,CBC等，其实和AES加密流程没有关系，不同的模式只是对输入的数据做处理（异或等），加密过程没有丝毫差别。   最后的实现采用python完成，无第三方模块。

  在开始加密之前，至少需要一个密钥，AES-128代表密钥长度为128位，也就是16字节。而加密流程一共要循环10轮，每一轮都需要不同的密钥，我们自然不可能设置长度为1280位的密钥，所以需要密钥扩展这个步骤，这个流程将产生10组长度均为128位的密钥。 假设现在有个密钥为’2b7e151628aed2a6abf7158809cf4f3c’，那么扩展秘钥是多少？   很明显，这个密钥长度是16字节（128位），每两位十六进制的数代表1字节。那么可以将这个密钥化为矩阵的形式：      下一步，官方说法是将初始密钥转为4个32位的字，其实就是将这个密钥分成四组，每一列就是一组，这样就有了四个变量：W0=2B7E1516,W1=28AED2A6,W2=ABF71588,W3=09CF4F3C。   现在，就要求扩展秘钥了，其实就是求W4,W5,W6…W43，而且很明显，每四个W组成完整的一组密钥。   怎么求呢？现在先交个底，求每组密钥的第一个分组（W4,W8,W12…）比其他的分组要复杂得多。   先把公式给出来，看不懂也没关系，有个印象就好：      可以看到，在求W4,W8…时走的是另一条路，重点在于函数g干了什么，我也不想直接甩概念性的东西出来，那个没有意义，还是看实例来的清楚。   现在是正式的过程，W4很明显是W0与g(W3)的进行异或得结果，那么函数g对W3干了什么？下面就是。   先将W3左移一个字节，得到W3’=CF4F3C09，然后将这个值进行S盒映射，这个S盒呢，是个固定的东西，可以理解为一个一对一的字典，它的样子如下：   查字典的方法不用我多说，将W3’进行S盒映射后，得到W3"=8A84EB01。   有些烧脑了，现在呢要将W3"与一个叫做Rcon的向量异或，这个向量长这样：   Rcon=[0x01,0x02,0x04,0x08,0x10,0x20,0x40,0x80,0x1B,0x36]   其实Rcon就是一个长度为10的数组，里面的每个数字都是十六进制形式，计算的密钥分组是属于哪个密钥的，就与Rcon中对应序号的值做异或，比如现在所求得W4属于第一组密钥，那么W3"就要与RCon[0]做异或，以此类推，求第十组密钥W40时需要W39"与Rcon[9]做异或。   现在好像有问题了，这两个值位数不一样怎么异或？其实很简单，就像下面这样：      不足的位数在后面补0就行了，实质上所有Rcon中的值都只影响W3"的第一个字节（前8位），通过异或，就得到了W3"’，写成十六进制形式是W3"’=8B84EB01。   上述呢，其实就是函数g干的事，下面就可以得出结果了。   最后，将W3"'与W0进行异或，就得到了W4，也就是第一组扩展密钥的第一组。      将W4写成十六进制形式W4=A0FAFE17。   然后，就是把第一组扩展密钥的其他分组（W5,W6,W7）求出来，这三组就简单得多，根据公式，W5是W1与W4异或得到，W6是W2与W5异或得到，W7是W3与W5异或得到，过程如下：      将W5写成十六进制形式就是W5=88542CB1，以此类推，W6=23A33939,W7=2A6C7605。   现在，就完整求出了第一组扩展密钥，同样写成矩阵形式：    下一步，就是求扩展密钥的第二组（W8,W9,W10,W11），过程和上面几乎一样，W8需要W4与g(W7)异或得到，其余的就是直接异或。直至求出第十组扩展密钥。

  密钥有了，现在来完整梳理一下加密的流程，其实百度就一大堆，这里简单说一下，加密过程就是：先进行一次轮密钥加（使用初始秘钥），然后循环9次字节代替，行移位，列混淆，轮密钥加（使用9组扩展秘钥），最后再进行一次字节代替，行移位，轮密钥加（使用最后一组扩展秘钥）。

  初始时刻，需要对明文进行处理，使其长度变为和密钥一样的128位，这里先不讨论，因为这不是加密的过程，后面我会放上详细的明文初始化过程。   现在，我们已经有了经过处理的明文’3243f6a8885a308d313198a2e0370734’，同样写成4×4的矩阵形式：      那么轮密钥加之后的结果是多少？假设密钥如下：      轮密钥加其实很简单，其实就是明文与密文的异或运算而已，只是计算过程繁杂。   相同位置的明文和密文都化为二进制形式，进行异或运算，以第一个字节为例：      其他结果依次类推，异或后的矩阵为：   

  这个比较简单，字节代替是通过S盒映射完成的，和密钥扩展的S盒一样，可以直接查S盒。跟查字典一样，和前面密钥扩展的步骤一模一样。上面经过轮密钥加的矩阵再经过字节代替的结果如下：   

这个也比较简单，就是矩阵的第一行不变，第二行循环左移一位，第三行循环左移两位，第四行循环左移三位，如下：   

  我认为列混淆是AES加密中最复杂的了，但过程却是一句话就可以概括：左乘一个固定的矩阵。   固定矩阵如下：      过程图解如下：   

     “⊕”是异或，但那个“×”号不是简单的乘法，规则如下：

  关于明文的初始化，就是将明文化为128位（16字节）的过程，转化过程其实很简单，就是将数据（可识别的文字，如hello word）转为字节流，然后再将字节流转为十六进制字符串就OK，转换的方法百度一大堆。   稍微有点儿问题的就是假设转换的字符串的位数不够128位怎么办？其实这个就是AES加密中的字符填充问题，将原本不足128位的字符填充至128位。至于超过128位的，分组就可以了，一组128位，最后一组同样需要字符填充，然后将每组数据加密后得到的密文连接起来就是完整密文。   字符填充的办法，其实也是百度一大堆的，这里简单说两种：

  解密其实就是加密的逆推，第一步同样是轮密钥加，而后进入循环解密阶段，一共10轮，按顺序分别执行逆行移位，逆字节代替，轮密钥加，逆向列混淆，同样第10轮去掉逆向列混淆输出明文，但此时扩展秘钥的顺序要反过来。   逆行移位：第一行不变，第二行循环右移一位，第三行循环右移两位，第四行循环右移三位。   逆字节代替：操作步骤和字节代替一样，只不过需要映射的S盒变成了逆S盒，其实就是S盒反过来，键值互换，这点用python做非常方便。   逆列混淆：步骤和列混淆一样，仅仅是固定矩阵不同。      这里的乘法也是和列混淆中的乘法一样，所有的9，B，D，E其实都是通过分解为1或者2进行计算的。   逆列混淆矩阵和列混淆矩阵的乘积刚好是单位矩阵。

  python解释器是python3.6