La forma più basilare di attacco possibile contro qualsiasi cifrario di crittografia è un attacco a forza bruta, che consiste nel provare ogni possibile combinazione di chiavi finché non viene trovata quella corretta. 

Frontier(nuova finestra) è il supercomputer noto pubblicamente più potente al mondo. Se dedicasse tutta la sua potenza di calcolo a forzare AES-128 con la forza bruta, servirebbero comunque circa 10–12 trilioni di anni per esaurire tutte le possibili combinazioni per AES-128. È molto più a lungo dell'età dell'universo. Quindi, anche con dimensioni in bit più basse, AES è altamente resistente agli attacchi a forza bruta effettuati con Computer convenzionali. 

AES-256 è 340 miliardi di miliardi di miliardi di miliardi (2¹²⁸) di volte più difficile da forzare con la forza bruta rispetto ad AES-128.

Sebbene l'algoritmo di Grover(nuova finestra) riduca teoricamente della metà la sicurezza delle chiavi simmetriche contro le minacce quantistiche(nuova finestra), queste restano comunque relativamente resistenti al quantum, soprattutto quando si usa una chiave a 256 bit.

Nel corso degli anni, i crittografi hanno pubblicato numerosi attacchi teorici alle chiavi AES, ma tutti sono o impraticabili nella pratica oppure efficaci solo su implementazioni AES che usano un numero ridotto di round (vedi sotto). 

Il tentativo di maggior successo è stato il teorico attacco biclique(nuova finestra) pubblicato nel 2011, che può ridurre di un fattore quattro il tempo necessario per forzare AES con la forza bruta. Tuttavia, servirebbero comunque miliardi di anni per forzare AES con la forza bruta su qualsiasi hardware Computer attuale o prevedibile. 

Nessun attacco noto alle chiavi è pratico contro AES-128 o versioni superiori se implementati correttamente. 

Un attacco side-channel cerca di ridurre il numero di combinazioni necessarie per effettuare con successo un attacco a forza bruta cercando indizi nel Computer che esegue i calcoli di crittografia. Gli indizi possono essere ricavati esaminando:

• Tempi di esecuzione - quanto tempo impiega un Computer per eseguire un'operazione
• Perdite elettromagnetiche
• Indizi audio
• Indizi visivi (rilevati usando una fotocamera ad alta risoluzione).

Gli attacchi cache-timing, in particolare, si sono dimostrati piuttosto efficaci nel violare con successo AES. Nell'esempio più noto, nel 2016 i ricercatori sono riusciti a recuperare(nuova finestra) una chiave AES-128 usando "solo circa 6 - 7 blocchi di testo in chiaro o di testo cifrato (teoricamente basterebbe anche un solo blocco)".

Tuttavia, si possono fare diverse cose per mitigare la minaccia degli attacchi side-channel:

• AES implementato correttamente può impedire i modi in cui i dati possono essere soggetti a perdita.
• L'hardware che integra il set di istruzioni AES riduce ulteriormente la superficie di attacco side-channel di AES.
• Si possono usare tecniche di randomizzazione per interrompere la relazione tra i dati protetti da AES e qualsiasi dato soggetto a perdita che potrebbe essere raccolto usando un attacco side-channel. 

In molti casi, gli attacchi side-channel richiedono che l'attaccante si trovi nelle vicinanze o abbia accesso fisico al dispositivo mentre decripta i dati, anche se gli attacchi remoti sono possibili se su un dispositivo viene installato software dannoso, in particolare nel caso degli attacchi basati sul tempo.

AES è un cifrario a blocchi che crittografa e decripta i dati in blocchi da 128 bit usando chiavi a 128 bit, 192 bit o 256 bit. Come indicato in precedenza, la stessa chiave viene usata per crittografare e decriptare i dati. AES che usa una chiave a 128 bit viene spesso chiamato AES-128, e allo stesso modo AES-192 e AES-256.

I dati vengono crittografati usando più round, ognuno dei quali consiste in una serie di operazioni matematiche. 

Il processo inizia usando l'algoritmo key schedule di Rijndael per derivare una serie di nuove chiavi di round dalla chiave segreta originale. Questo è noto come espansione della chiave.

Ogni round consiste poi in una o più (o una combinazione) delle seguenti operazioni:

1. Add RoundKey: viene eseguita un'operazione XOR(nuova finestra) per combinare i dati da crittografare (il testo cifrato) con ogni chiave di round.

2. Sub Bytes: viene usata una tabella di sostituzione per mescolare ulteriormente i dati. Pensa, in linea di principio, ai semplici cifrari a sostituzione che usavi da bambino, in cui sostituivi ogni lettera di un messaggio con una che si trovava un certo numero di posizioni più avanti nell'alfabeto.

3. Shift Rows: ogni blocco di dati da 128 bit consiste in un blocco 4x4 da 16 bit. Questa operazione sposta ogni byte in una riga del blocco di un determinato offset verso sinistra.

4. MixColumns: su ogni colonna del blocco viene eseguita un'ulteriore trasformazione lineare invertibile.

Questa serie di trasformazioni costituisce un round, che viene poi ripetuto sui dati per un numero specifico di round, a seconda della dimensione della chiave:

• AES-128 — 10 round
• AES-192 — 12 round
• AES 256 — 14 round

Per decriptare i dati, tutti i passaggi usati per crittografarli vengono semplicemente eseguiti al contrario. Questo richiede la chiave segreta originale per invertire il processo usando ogni chiave di round inversa.

Con la tecnologia attuale e prevedibile, ci vorrebbe più tempo dell'età dell'universo per forzare AES-128 con la forza bruta. Il leggendario crittografo Bruce Schneier ha persino sostenuto(nuova finestra) che AES-128 potrebbe essere più forte di AES-256 grazie a un key schedule più robusto, cioè l'algoritmo che calcola tutte le chiavi di round a partire dalla chiave segreta originale.

Eppure AES-256 è diventato di fatto il gold standard per la crittografia a chiave simmetrica. Viene spesso considerato (anche se in modo un po' controverso) la scelta più forte perché la sua maggiore dimensione della chiave indica un margine di sicurezza aggiuntivo, così i dati crittografati resteranno al sicuro anche se si trovasse un modo per indebolire drasticamente l'algoritmo. Questo argomento è diventato più forte man mano che la necessità di resistenza post-quantum diventa più urgente. 

Fino a tempi abbastanza recenti, AES veniva di solito usato in modalità cipher block chaining (CBC), in cui ogni blocco di testo in chiaro viene sottoposto a XOR con il blocco precedente di testo cifrato prima di essere crittografato. Quando viene usato in modalità CBC, è richiesto un algoritmo di hashing HMAC(nuova finestra) come HMAC-SHA256 per verificare i dati.

Tuttavia, è sempre più comune che AES venga usato in modalità Galois/counter (GCM), che usa la modalità contatore(nuova finestra) della crittografia. Il vantaggio principale è che usa il campo di Galois(nuova finestra) per verificare i dati senza la necessità di un algoritmo esterno. È quindi più efficiente rispetto all'uso di un algoritmo di autenticazione separato che può avere un elevato overhead computazionale.

Sebbene AES-CBC con autenticazione HMAC sia generalmente considerato sicuro, CBC è potenzialmente vulnerabile agli attacchi di padding(nuova finestra), come POODLE(nuova finestra). GCM no.

La maggior parte delle CPU moderne include Advanced Encryption Standard New Instructions (AES-NI(nuova finestra)), un insieme di istruzioni hardware che esegue operazioni AES direttamente sul processore. Questo rende AES molto più veloce e aiuta anche a prevenire gli attacchi side-channel basati sul tempo, perché le operazioni avvengono all'interno delle unità di esecuzione sicure del processore, quindi ci sono meno variazioni temporali osservabili che un attaccante può sfruttare.

La sicurezza è forte solo quanto il suo anello più debole, che di solito è la tua password. Questo significa che anche gli schemi di ingegneria sociale, gli attacchi di phishing e i keylogger(nuova finestra) rappresentano una minaccia per i dati crittografati con AES. Quindi, anche quando viene usato AES, dovresti prendere le seguenti precauzioni:

• Usa un gestore di password crittografato
• Usa chiavi di sicurezza hardware (come YubiKey) per un ulteriore livello di protezione
• Se fai parte di un'organizzazione, svolgi regolarmente corsi di formazione sulla sicurezza per il personale per prevenire gli attacchi di phishing