Cifratura AES-256: guida per non crittografi

TL;DR

AES-256 (Advanced Encryption Standard con chiave a 256 bit) è un cifrario a blocchi simmetrico ratificato dal NIST nel 2001. Cifra i dati in blocchi da 128 bit usando 14 round di sostituzione-permutazione. AES-256-GCM aggiunge la cifratura autenticata che impedisce manomissioni. Il cifrario è considerato sicuro contro tutti gli attacchi pratici noti, inclusa la forza bruta con computer classici. Il suo punto debole non è la matematica ma l'implementazione: password deboli, fughe di canale laterale e bug software rompono AES-256 molto più spesso dell'analisi crittografica.

Cos’è la cifratura AES-256?

AES-256 è un cifrario a blocchi simmetrico. “Simmetrico” significa che la stessa chiave cifra e decifra. “Cifrario a blocchi” significa che elabora i dati in blocchi di dimensione fissa – 128 bit (16 byte) alla volta. Il “256” indica la lunghezza della chiave: 256 bit.

L’Advanced Encryption Standard (AES) è stato selezionato dal National Institute of Standards and Technology (NIST) statunitense nel 2001 dopo una competizione pubblica durata anni. L’algoritmo vincitore, Rijndael, è stato progettato da Joan Daemen e Vincent Rijmen. Il NIST lo ha pubblicato come FIPS 197. Lo standard specifica tre dimensioni di chiave: 128, 192 e 256 bit. AES-256 usa 14 round di elaborazione; AES-128 ne usa 10.

Quando senti “cifratura a 256 bit” nella descrizione di un prodotto, si tratta quasi sempre di AES-256. Esistono altri cifrari con chiave a 256 bit (Twofish, ChaCha20), ma AES è il più adottato e il più analizzato.

Questo articolo è la panoramica in linguaggio semplice. Se vuoi l’analisi tecnica approfondita della variante con cifratura autenticata – la disciplina del nonce, il tag di autenticazione GHASH, la costruzione AEAD in RFC 5116 – leggi l’approfondimento dedicato su AES-256-GCM.

Come funziona AES-256

AES opera su una griglia 4×4 di byte chiamata stato. Ogni round applica quattro operazioni:

1. SubBytes – ogni byte viene sostituito usando una tabella di sostituzione fissa (S-box). Questo introduce non-linearità.
2. ShiftRows – le righe dello stato vengono spostate ciclicamente. Questo diffonde i byte tra le colonne.
3. MixColumns – ogni colonna viene moltiplicata per un polinomio fisso. Questo mescola ulteriormente i dati.
4. AddRoundKey – la chiave di round (derivata dalla chiave principale) viene XORata nello stato.

AES-256 ripete questi passaggi 14 volte. Il primo round omette MixColumns. Anche l’ultimo round omette MixColumns. Le chiavi di round sono generate dal key schedule, che espande la chiave a 256 bit in 15 chiavi di round separate da 128 bit.

Il cifrario può operare in diverse modalità – essenzialmente, come il cifrario a blocchi viene applicato a dati più lunghi di un blocco.

AES-256-GCM: la modalità consigliata

GCM sta per Galois/Counter Mode. È uno schema di cifratura autenticata (AEAD) – fornisce sia riservatezza che integrità. Ogni messaggio viene cifrato con un nonce unico da 96 bit (numero usato una sola volta). Il testo cifrato include un tag di autenticazione che prova che i dati non sono stati manomessi. La specifica è RFC 5116.

GCM è la modalità predefinita in TLS 1.2 e TLS 1.3. È anche ciò che App-Vault usa per ogni file che cifra. Un nonce unico per file impedisce a un attaccante di confrontare i testi cifrati per rilevare file identici.

AES-256-CBC: modalità legacy

Cipher Block Chaining (CBC) applica XOR a ogni blocco di testo in chiaro con il blocco cifrato precedente prima della cifratura. Fornisce solo riservatezza. Senza un HMAC separato, CBC è vulnerabile agli attacchi padding oracle. Il NIST e la maggior parte delle autorità di sicurezza ora raccomandano GCM rispetto a CBC per le nuove implementazioni.

AES-256 vs AES-128

La differenza fondamentale è lo spazio delle chiavi. AES-128 ha 2^128 possibili chiavi. AES-256 ha 2^256. Non è il doppio – è 2^128 volte di più. Il numero 2^128 è già enorme: circa 340 undecillion. 2^256 è 2^128 al quadrato.

Ai fini pratici, entrambi sono sicuri contro la forza bruta con computer classici. La NSA permette AES-128 per dati Secret e AES-256 per Top Secret. La scelta conta per la segretezza a lungo termine. Se un attaccante registra il traffico cifrato oggi e lo conserva, un futuro breakthrough (o un computer quantistico) potrebbe rompere AES-128 tra decenni. AES-256 fornisce un margine di sicurezza maggiore.

I computer quantistici che usano l’algoritmo di Grover ridurrebbero la forza effettiva della chiave della metà: AES-256 diventerebbe 128 bit, AES-128 diventerebbe 64 bit. Le chiavi a 128 bit sono ancora considerate sicure contro gli attacchi quantistici per il futuro prevedibile, ma quelle a 64 bit no. AES-256 è la scommessa più sicura per dati che devono rimanere riservati oltre il 2030.

Prestazioni: AES-256 è circa il 40% più lento di AES-128 in software. Su CPU moderne con istruzioni AES-NI, la differenza è molto minore – tipicamente 10-20%. Per la maggior parte delle applicazioni, il guadagno in sicurezza supera il costo in prestazioni.

Dove viene usato AES-256

AES-256 è ovunque.

• TLS/HTTPS – Ogni sito web sicuro usa AES in modalità GCM o CBC. La suite di cifratura TLS_AES_256_GCM_SHA384 è comune.
• Wi-Fi – WPA2 e WPA3 usano AES-CCMP (chiave a 128 bit) o AES-GCMP (chiave a 256 bit in WPA3-Enterprise).
• Protezione file iPhone – iOS cifra i file con AES-256 usando chiavi avvolte dal Secure Enclave. La guida Platform Security di Apple descrive la gerarchia delle chiavi.
• Cifratura completa del disco – BitLocker (Windows), FileVault (macOS) e LUKS (Linux) usano tutti AES-256.
• Messaggistica – Signal, WhatsApp e iMessage usano AES-256 in combinazione con altri primitivi.
• VPN – OpenVPN, WireGuard e IPsec supportano tutti AES-256-GCM.

AES-256 è anche il motore di cifratura all’interno di App-Vault. Ogni foto, video e file viene cifrato con AES-256-GCM prima di toccare l’archiviazione. L’intero stack è documentato nella pagina cifratura AES-256-GCM.

Cosa NON protegge AES-256

L’algoritmo è matematicamente solido. I fallimenti avvengono intorno ad esso.

Password deboli. AES-256 è forte quanto la chiave. Se la chiave è derivata da un PIN a quattro cifre, un attaccante può provare tutte le 10.000 possibilità in millisecondi. Le funzioni di derivazione della chiave come PBKDF2, bcrypt o Argon2 trasformano password deboli in chiavi più forti. App-Vault usa PBKDF2-SHA256 con 600.000 iterazioni e un sale da 128 bit per installazione per rallentare i tentativi di forza bruta.

Attacchi a canale laterale. Se un attaccante può misurare il consumo energetico, le emissioni elettromagnetiche o i tempi di cache, potrebbe recuperare la chiave senza rompere il cifrario. Le implementazioni hardware con AES-NI resistono a molti canali laterali. Le implementazioni software devono essere a tempo costante per evitare fughe di dati attraverso i tempi.

Bug di implementazione. AES è complesso da implementare correttamente. Il riutilizzo del nonce in GCM distrugge tutta la sicurezza. Gli attacchi padding oracle rompono CBC se manca il controllo di integrità. Un singolo buffer overflow può far trapelare la chiave. L’approccio più sicuro è usare una libreria ben revisionata del sistema operativo – CryptoKit di Apple, CommonCrypto di iOS o OpenSSL.

Accesso fisico senza cifratura a riposo. AES-256 protegge i dati a riposo. Se il dispositivo è acceso e sbloccato, la chiave è in memoria. Un attaccante con strumenti forensi può estrarre la chiave. Ecco perché la protezione file dell’iPhone usa chiavi supportate dall’hardware che vengono cancellate quando il dispositivo si blocca.

Il fattore umano. La cifratura non impedisce a qualcuno di ingannarti per farti rivelare la password. Non impedisce un ordine del tribunale che ti obbliga a sbloccare il dispositivo. Non impedisce a un’app dannosa in esecuzione sullo stesso telefono di leggere i file dopo che sono stati decifrati.

La pagina del modello di minaccia di App-Vault elenca cosa l’app difende e cosa no. La risposta onesta: AES-256-GCM protegge contro un attaccante che ottiene accesso fisico al dispositivo mentre è bloccato, o che intercetta il backup cifrato. Non protegge contro un keylogger sul dispositivo o un attacco a forza bruta fisica (rubber-hose).

Come App-Vault usa AES-256-GCM

App-Vault implementa AES-256-GCM con diversi strati oltre al cifrario stesso.

Nonce unico per file. Ogni operazione di cifratura genera un nuovo nonce da 96 bit usando il generatore di numeri casuali del Secure Enclave. Anche se due file sono identici, i loro testi cifrati differiscono. Un attaccante non può dedurre il contenuto dei file confrontando dimensioni o pattern cifrati.

Derivazione della chiave dal pattern. Il pattern lock 5×5 dell’utente viene trasformato in una chiave a 256 bit usando PBKDF2-SHA256 con 600.000 iterazioni. Il numero di iterazioni segue la raccomandazione OWASP 2026. Il sale è di 128 bit, generato per installazione. La chiave risultante viene poi avvolta da una chiave generata all’interno del Secure Enclave dell’iPhone. La chiave dell’Enclave non lascia mai il chip. Questo significa che anche se un attaccante estrae l’output di PBKDF2 dalla memoria, non può decifrare i file senza accesso al Secure Enclave.

Niente server. App-Vault non effettua chiamate di rete per impostazione predefinita. Le chiavi di cifratura non lasciano mai il dispositivo. Il backup cifrato su iCloud è facoltativo e usa una chiave di backup separata per dispositivo. Apple riceve solo testo cifrato. Questa è un’architettura a conoscenza zero: App-Vault non può leggere i tuoi file, anche se costretto.

Cifratura del catalogo. L’elenco dei file – nomi, dimensioni e date – è anch’esso cifrato. Un attaccante con accesso all’archiviazione grezza non può determinare quanti file ci sono nel vault, figuriamoci cosa sono.

Vault esca. La funzione Vault esca crea un secondo catalogo cifrato matematicamente indipendente dietro un pattern diverso. Ogni vault usa la propria catena di derivazione della chiave. L’esistenza di un vault non rivela l’altro.

In conclusione

La cifratura AES-256 è lo standard di riferimento per la riservatezza dei dati. Quando implementata correttamente – con cifratura autenticata, nonce unici, derivazione forte della chiave e archiviazione della chiave supportata dall’hardware – fornisce un livello di sicurezza che nessun attaccante noto può violare.

Ma la cifratura è uno strumento, non un talismano. Non protegge contro password deboli, dispositivi compromessi o ingegneria sociale. Il miglior cifrario del mondo è inutile se l’utente imposta “1234” come codice del vault.

Il design di App-Vault riconosce questa realtà. Lo stack crittografico usa AES-256-GCM con avvolgimento Secure Enclave, PBKDF2 con 600.000 iterazioni e architettura a conoscenza zero. La pagina pattern lock spiega esattamente come una griglia 5×5 diventa una chiave a 256 bit. Il confronto con Keepsafe mostra come app diverse affrontano lo stesso problema.

AES-256 non è magia. È matematica. E la matematica, quando applicata correttamente, è la cosa più vicina a una garanzia che l’ingegneria della privacy possa offrire.