¿Qué es el cifrado AES-256? Una guía para no criptógrafos

TL;DR

AES-256 (Estándar de Cifrado Avanzado con clave de 256 bits) es un cifrado de bloque simétrico ratificado por NIST en 2001. Cifra datos en bloques de 128 bits usando 14 rondas de sustitución-permutación. AES-256-GCM añade cifrado autenticado que evita la manipulación. El cifrado se considera seguro contra todos los ataques prácticos conocidos, incluida la fuerza bruta con ordenadores clásicos. Su principal debilidad no son las matemáticas sino la implementación: contraseñas débiles, fugas de canal lateral y errores de software rompen AES-256 con mucha más frecuencia que el criptoanálisis.

¿Qué es el cifrado AES-256?

AES-256 es un cifrado de bloque simétrico. “Simétrico” significa que la misma clave cifra y descifra. “Cifrado de bloque” significa que procesa los datos en fragmentos de tamaño fijo: 128 bits (16 bytes) a la vez. El “256” indica la longitud de la clave: 256 bits.

El Estándar de Cifrado Avanzado (AES) fue seleccionado por el Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. en 2001 tras una competición pública de varios años. El algoritmo ganador, Rijndael, fue diseñado por Joan Daemen y Vincent Rijmen. NIST lo publicó como FIPS 197. El estándar especifica tres tamaños de clave: 128, 192 y 256 bits. AES-256 utiliza 14 rondas de procesamiento; AES-128 utiliza 10.

Cuando oyes “cifrado de 256 bits” en la descripción de un producto, casi siempre es AES-256. Existen otros cifrados con claves de 256 bits (Twofish, ChaCha20), pero AES es el más adoptado y el más analizado.

Este artículo es la visión general en lenguaje sencillo. Si quieres el desglose técnico más profundo de la variante de cifrado autenticado — la disciplina del nonce, la etiqueta de autenticación GHASH, la construcción AEAD en RFC 5116 — lee el explicador dedicado sobre AES-256-GCM.

Cómo funciona AES-256

AES opera sobre una cuadrícula de 4×4 bytes llamada estado. Cada ronda aplica cuatro operaciones:

1. SubBytes — cada byte se reemplaza usando una tabla de sustitución fija (caja S). Esto introduce no linealidad.
2. ShiftRows — las filas del estado se desplazan cíclicamente. Esto difunde los bytes entre las columnas.
3. MixColumns — cada columna se multiplica por un polinomio fijo. Esto mezcla aún más los datos.
4. AddRoundKey — la clave de ronda (derivada de la clave principal) se aplica XOR al estado.

AES-256 repite estos pasos 14 veces. La primera ronda omite MixColumns. La última ronda también omite MixColumns. Las claves de ronda se generan mediante el programa de claves, que expande la clave de 256 bits en 15 claves de ronda separadas de 128 bits.

El cifrado puede operar en varios modos — esencialmente, cómo se aplica el cifrado de bloque a datos más largos que un bloque.

AES-256-GCM: el modo recomendado

GCM significa Galois/Counter Mode. Es un esquema de cifrado autenticado (AEAD) — proporciona tanto confidencialidad como integridad. Cada mensaje se cifra con un nonce único de 96 bits (número usado una vez). El texto cifrado incluye una etiqueta de autenticación que demuestra que los datos no han sido manipulados. La especificación es RFC 5116.

GCM es el modo predeterminado en TLS 1.2 y TLS 1.3. También es lo que App-Vault utiliza para cada archivo que cifra. Un nonce único por archivo evita que un atacante compare textos cifrados para detectar archivos idénticos.

AES-256-CBC: modo heredado

Cipher Block Chaining (CBC) aplica XOR a cada bloque de texto plano con el bloque de texto cifrado anterior antes del cifrado. Proporciona solo confidencialidad. Sin un HMAC separado, CBC es vulnerable a ataques de oráculo de relleno. NIST y la mayoría de las autoridades de seguridad ahora recomiendan GCM sobre CBC para nuevas implementaciones.

AES-256 vs AES-128

La diferencia principal es el espacio de claves. AES-128 tiene 2^128 claves posibles. AES-256 tiene 2^256. Eso no es el doble — es 2^128 veces más. El número 2^128 ya es enorme: aproximadamente 340 undecillones. 2^256 es 2^128 al cuadrado.

A efectos prácticos, ambos son seguros contra la fuerza bruta con ordenadores clásicos. La NSA permite AES-128 para datos secretos y AES-256 para alto secreto. La elección importa para el secreto a largo plazo. Si un atacante graba tráfico cifrado hoy y lo almacena, un avance futuro (o un ordenador cuántico) podría romper AES-128 dentro de décadas. AES-256 proporciona un mayor margen de seguridad.

Los ordenadores cuánticos que utilicen el algoritmo de Grover reducirían la fortaleza efectiva de la clave a la mitad: AES-256 se convierte en 128 bits, AES-128 en 64 bits. Las claves de 128 bits todavía se consideran seguras contra ataques cuánticos en el futuro previsible, pero las de 64 bits no. AES-256 es la apuesta más segura para datos que deben permanecer confidenciales más allá de 2030.

Rendimiento: AES-256 es aproximadamente un 40% más lento que AES-128 en software. En CPUs modernas con instrucciones AES-NI, la diferencia es mucho menor — típicamente 10-20%. Para la mayoría de las aplicaciones, la ganancia de seguridad supera el coste de rendimiento.

Dónde se utiliza AES-256

AES-256 está en todas partes.

• TLS/HTTPS — Cada sitio web seguro utiliza AES en modo GCM o CBC. El conjunto de cifrado TLS_AES_256_GCM_SHA384 es común.
• Wi-Fi — WPA2 y WPA3 utilizan AES-CCMP (clave de 128 bits) o AES-GCMP (clave de 256 bits en WPA3-Enterprise).
• Protección de archivos del iPhone — iOS cifra archivos con AES-256 utilizando claves envueltas por el Secure Enclave. La guía de seguridad de Apple describe la jerarquía de claves.
• Cifrado de disco completo — BitLocker (Windows), FileVault (macOS) y LUKS (Linux) utilizan AES-256.
• Mensajería — Signal, WhatsApp e iMessage utilizan AES-256 en combinación con otros primitivos.
• VPN — OpenVPN, WireGuard e IPsec soportan AES-256-GCM.

AES-256 también es el motor de cifrado dentro de App-Vault. Cada foto, vídeo y archivo se cifra con AES-256-GCM antes de tocar el almacenamiento. La pila completa está documentada en la página de cifrado AES-256-GCM.

Contra qué NO protege AES-256

El algoritmo es matemáticamente sólido. Los fallos ocurren a su alrededor.

Contraseñas débiles. AES-256 es tan fuerte como la clave. Si la clave se deriva de un PIN de cuatro dígitos, un atacante puede probar las 10.000 posibilidades en milisegundos. Las funciones de derivación de clave como PBKDF2, bcrypt o Argon2 estiran las contraseñas débiles en claves más fuertes. App-Vault utiliza PBKDF2-SHA256 con 600.000 iteraciones y una sal de 128 bits por instalación para ralentizar los intentos de fuerza bruta.

Ataques de canal lateral. Si un atacante puede medir el consumo de energía, las emisiones electromagnéticas o la temporización de la caché, podría recuperar la clave sin romper el cifrado. Las implementaciones hardware con AES-NI resisten muchos canales laterales. Las implementaciones software deben ser de tiempo constante para evitar fugas de datos a través de la temporización.

Errores de implementación. AES es complejo de implementar correctamente. La reutilización del nonce en GCM destruye toda seguridad. Los ataques de oráculo de relleno rompen CBC si falta la verificación de integridad. Un solo desbordamiento de búfer puede filtrar la clave. El enfoque más seguro es utilizar una biblioteca bien auditada del sistema operativo: CryptoKit de Apple, CommonCrypto de iOS u OpenSSL.

Acceso físico sin cifrado en reposo. AES-256 protege los datos en reposo. Si el dispositivo está encendido y desbloqueado, la clave está en memoria. Un atacante con herramientas forenses puede extraer la clave. Por eso la protección de archivos del iPhone utiliza claves respaldadas por hardware que se borran cuando el dispositivo se bloquea.

El factor humano. El cifrado no evita que alguien te engañe para que reveles la contraseña. No evita una orden judicial que te obligue a desbloquear el dispositivo. No evita que una aplicación maliciosa que se ejecuta en el mismo teléfono lea los archivos después de descifrarlos.

La página de modelo de amenazas de App-Vault enumera contra qué se defiende la aplicación y contra qué no. La respuesta honesta: AES-256-GCM protege contra un atacante que obtiene acceso físico al dispositivo mientras está bloqueado, o que intercepta la copia de seguridad cifrada. No protege contra un keylogger en el dispositivo ni contra un ataque de “manguera de goma”.

Cómo App-Vault utiliza AES-256-GCM

App-Vault implementa AES-256-GCM con varias capas más allá del cifrado en sí.

Nonce único por archivo. Cada operación de cifrado genera un nonce fresco de 96 bits utilizando el generador de números aleatorios del Secure Enclave. Incluso si dos archivos son idénticos, sus textos cifrados difieren. Un atacante no puede inferir el contenido de los archivos comparando tamaños o patrones cifrados.

Derivación de clave a partir del patrón. El patrón de bloqueo de 5×5 del usuario se transforma en una clave de 256 bits utilizando PBKDF2-SHA256 con 600.000 iteraciones. El número de iteraciones sigue la recomendación OWASP 2026. La sal es de 128 bits, generada por instalación. La clave resultante se envuelve luego mediante una clave generada dentro del Secure Enclave del iPhone. La clave del Enclave nunca sale del chip. Esto significa que incluso si un atacante extrae la salida de PBKDF2 de la memoria, no puede descifrar archivos sin acceso al Secure Enclave.

Sin servidores. App-Vault no realiza ninguna llamada de red por defecto. Las claves de cifrado nunca salen del dispositivo. La copia de seguridad cifrada de iCloud es opcional y utiliza una clave de copia de seguridad separada por dispositivo. Apple recibe solo texto cifrado. Esta es una arquitectura de conocimiento cero: App-Vault no puede leer tus archivos, incluso si se lo exigen.

Cifrado del catálogo. La lista de archivos — sus nombres, tamaños y fechas — también está cifrada. Un atacante con acceso al almacenamiento sin procesar no puede determinar cuántos archivos hay en la bóveda, y mucho menos cuáles son.

Bóveda señuelo. La función Bóveda Señuelo crea un segundo catálogo cifrado matemáticamente independiente detrás de un patrón diferente. Cada bóveda utiliza su propia cadena de derivación de clave. La existencia de una bóveda no revela la otra.

Conclusión

El cifrado AES-256 es el estándar de oro para la confidencialidad de los datos. Cuando se implementa correctamente — con cifrado autenticado, nonces únicos, derivación de clave fuerte y almacenamiento de clave respaldado por hardware — proporciona un nivel de seguridad que ningún atacante conocido puede romper.

Pero el cifrado es una herramienta, no un talismán. No protege contra contraseñas débiles, dispositivos comprometidos o ingeniería social. El mejor cifrado del mundo es inútil si el usuario establece “1234” como código de la bóveda.

El diseño de App-Vault reconoce esa realidad. La pila criptográfica utiliza AES-256-GCM con envoltura Secure Enclave, PBKDF2 con 600.000 iteraciones y arquitectura de conocimiento cero. La página de patrón de bloqueo explica exactamente cómo una cuadrícula de 5×5 se convierte en una clave de 256 bits. La comparativa con Keepsafe muestra cómo diferentes aplicaciones abordan el mismo problema.

AES-256 no es magia. Son matemáticas. Y las matemáticas, cuando se aplican correctamente, es lo más parecido a una garantía que la ingeniería de privacidad puede ofrecer.