O que é criptografia AES-256? Um guia para não criptógrafos

TL;DR

AES-256 (Advanced Encryption Standard com chave de 256 bits) é uma cifra de bloco simétrica ratificada pelo NIST em 2001. Ela criptografa dados em blocos de 128 bits usando 14 rodadas de substituição-permutação. AES-256-GCM adiciona criptografia autenticada que impede adulteração. A cifra é considerada segura contra todos os ataques práticos conhecidos, incluindo força bruta com computadores clássicos. Sua principal fraqueza não é a matemática, mas a implementação: senhas fracas, vazamentos de canal lateral e bugs de software quebram AES-256 com muito mais frequência do que a criptoanálise.

O que é criptografia AES-256?

AES-256 é uma cifra de bloco simétrica. “Simétrica” significa que a mesma chave criptografa e descriptografa. “Cifra de bloco” significa que processa dados em pedaços de tamanho fixo — 128 bits (16 bytes) por vez. O “256” indica o tamanho da chave: 256 bits.

O Advanced Encryption Standard (AES) foi selecionado pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) em 2001, após uma competição pública de vários anos. O algoritmo vencedor, Rijndael, foi projetado por Joan Daemen e Vincent Rijmen. O NIST o publicou como FIPS 197. O padrão especifica três tamanhos de chave: 128, 192 e 256 bits. AES-256 usa 14 rodadas de processamento; AES-128 usa 10.

Quando você ouve “criptografia de 256 bits” na descrição de um produto, quase sempre é AES-256. Existem outras cifras com chaves de 256 bits (Twofish, ChaCha20), mas o AES é o mais amplamente adotado e o mais minuciosamente analisado.

Este artigo é a visão geral em linguagem simples. Se você quiser o detalhamento técnico mais profundo da variante de criptografia autenticada — a disciplina de nonce, a tag de autenticação GHASH, a construção AEAD em RFC 5116 — leia o explicador dedicado sobre AES-256-GCM.

Como funciona o AES-256

O AES opera em uma grade 4×4 de bytes chamada estado. Cada rodada aplica quatro operações:

1. SubBytes — cada byte é substituído usando uma tabela de substituição fixa (S-box). Isso introduz não linearidade.
2. ShiftRows — as linhas do estado são deslocadas ciclicamente. Isso difunde os bytes pelas colunas.
3. MixColumns — cada coluna é multiplicada por um polinômio fixo. Isso mistura ainda mais os dados.
4. AddRoundKey — a chave da rodada (derivada da chave principal) é combinada com o estado via XOR.

O AES-256 repete essas etapas 14 vezes. A primeira rodada omite MixColumns. A última rodada também omite MixColumns. As chaves das rodadas são geradas pelo escalonamento de chave, que expande a chave de 256 bits em 15 chaves de rodada separadas de 128 bits.

A cifra pode operar em vários modos — essencialmente, como a cifra de bloco é aplicada a dados maiores que um bloco.

AES-256-GCM: o modo recomendado

GCM significa Galois/Counter Mode. É um esquema de criptografia autenticada (AEAD) — fornece confidencialidade e integridade. Cada mensagem é criptografada com um nonce único de 96 bits (número usado uma vez). O texto cifrado inclui uma tag de autenticação que prova que os dados não foram adulterados. A especificação é RFC 5116.

O GCM é o modo padrão em TLS 1.2 e TLS 1.3. Também é o que o App-Vault usa para cada arquivo que criptografa. Um nonce único por arquivo impede que um invasor compare textos cifrados para detectar arquivos idênticos.

AES-256-CBC: modo legado

O Cipher Block Chaining (CBC) aplica XOR em cada bloco de texto simples com o bloco de texto cifrado anterior antes da criptografia. Fornece apenas confidencialidade. Sem um HMAC separado, o CBC é vulnerável a ataques de padding oracle. O NIST e a maioria das autoridades de segurança agora recomendam GCM em vez de CBC para novas implementações.

AES-256 vs AES-128

A diferença central é o espaço de chaves. AES-128 tem 2^128 chaves possíveis. AES-256 tem 2^256. Isso não é o dobro — é 2^128 vezes mais. O número 2^128 já é enorme: cerca de 340 undecilhões. 2^256 é 2^128 ao quadrado.

Para fins práticos, ambos são seguros contra força bruta com computadores clássicos. A NSA permite AES-128 para dados Secret e AES-256 para Top Secret. A escolha importa para sigilo de longo prazo. Se um invasor gravar tráfego criptografado hoje e armazená-lo, um avanço futuro (ou um computador quântico) poderia quebrar AES-128 daqui a décadas. AES-256 oferece uma margem de segurança maior.

Computadores quânticos usando o algoritmo de Grover reduziriam a força efetiva da chave pela metade: AES-256 se torna 128 bits, AES-128 se torna 64 bits. Chaves de 128 bits ainda são consideradas seguras contra ataques quânticos no futuro previsível, mas chaves de 64 bits não são. AES-256 é a aposta mais segura para dados que precisam permanecer confidenciais além de 2030.

Desempenho: AES-256 é aproximadamente 40% mais lento que AES-128 em software. Em CPUs modernas com instruções AES-NI, a diferença é muito menor — tipicamente 10-20%. Para a maioria das aplicações, o ganho de segurança supera o custo de desempenho.

Onde AES-256 é usado

AES-256 está em toda parte.

• TLS/HTTPS — Todo site seguro usa AES no modo GCM ou CBC. A suíte de cifras TLS_AES_256_GCM_SHA384 é comum.
• Wi-Fi — WPA2 e WPA3 usam AES-CCMP (chave de 128 bits) ou AES-GCMP (chave de 256 bits no WPA3-Enterprise).
• Proteção de arquivos do iPhone — O iOS criptografa arquivos com AES-256 usando chaves envolvidas pelo Secure Enclave. O guia de Segurança da Plataforma da Apple descreve a hierarquia de chaves.
• Criptografia de disco completo — BitLocker (Windows), FileVault (macOS) e LUKS (Linux) usam AES-256.
• Mensageria — Signal, WhatsApp e iMessage usam AES-256 em combinação com outros primitivos.
• VPNs — OpenVPN, WireGuard e IPsec suportam AES-256-GCM.

AES-256 também é o motor de criptografia dentro do App-Vault. Cada foto, vídeo e arquivo é criptografado com AES-256-GCM antes de tocar no armazenamento. A pilha completa está documentada na página criptografia AES-256-GCM.

O que AES-256 NÃO protege

O algoritmo é matematicamente sólido. As falhas acontecem ao redor dele.

Senhas fracas. AES-256 é tão forte quanto a chave. Se a chave for derivada de um PIN de quatro dígitos, um invasor pode testar todas as 10.000 possibilidades em milissegundos. Funções de derivação de chave como PBKDF2, bcrypt ou Argon2 transformam senhas fracas em chaves mais fortes. O App-Vault usa PBKDF2-SHA256 com 600.000 iterações e um salt de 128 bits por instalação para retardar tentativas de força bruta.

Ataques de canal lateral. Se um invasor puder medir o consumo de energia, emissões eletromagnéticas ou tempo de cache, ele pode recuperar a chave sem quebrar a cifra. Implementações de hardware com AES-NI resistem a muitos canais laterais. Implementações de software devem ser de tempo constante para evitar vazamento de dados por meio de temporização.

Bugs de implementação. AES é complexo de implementar corretamente. A reutilização de nonce no GCM destrói toda a segurança. Ataques de padding oracle quebram CBC se a verificação de integridade estiver ausente. Um único estouro de buffer pode vazar a chave. A abordagem mais segura é usar uma biblioteca bem auditada do sistema operacional — CryptoKit da Apple, CommonCrypto do iOS ou OpenSSL.

Acesso físico sem criptografia em repouso. AES-256 protege dados em repouso. Se o dispositivo estiver ligado e desbloqueado, a chave está na memória. Um invasor com ferramentas forenses pode extrair a chave. É por isso que a proteção de arquivos do iPhone usa chaves apoiadas por hardware que são apagadas quando o dispositivo é bloqueado.

O fator humano. A criptografia não impede que alguém o engane para revelar a senha. Não impede uma ordem judicial obrigando você a desbloquear o dispositivo. Não impede que um aplicativo malicioso em execução no mesmo telefone leia arquivos após serem descriptografados.

A página de modelo de ameaças do App-Vault lista contra o que o aplicativo defende e o que não defende. A resposta honesta: AES-256-GCM protege contra um invasor que obtém acesso físico ao dispositivo enquanto ele está bloqueado, ou que intercepta o backup criptografado. Não protege contra um keylogger no dispositivo ou um ataque de coerção física.

Como o App-Vault usa AES-256-GCM

O App-Vault implementa AES-256-GCM com várias camadas além da própria cifra.

Nonce único por arquivo. Cada operação de criptografia gera um novo nonce de 96 bits usando o gerador de números aleatórios do Secure Enclave. Mesmo que dois arquivos sejam idênticos, seus textos cifrados diferem. Um invasor não pode inferir o conteúdo dos arquivos comparando tamanhos ou padrões criptografados.

Derivação de chave a partir do padrão. O padrão de desbloqueio 5×5 do usuário é transformado em uma chave de 256 bits usando PBKDF2-SHA256 com 600.000 iterações. O número de iterações segue a recomendação OWASP 2026. O salt tem 128 bits, gerado por instalação. A chave resultante é então envolvida por uma chave gerada dentro do Secure Enclave do iPhone. A chave do Enclave nunca sai do chip. Isso significa que mesmo que um invasor extraia a saída do PBKDF2 da memória, ele não pode descriptografar arquivos sem acesso ao Secure Enclave.

Sem servidores. O App-Vault não faz chamadas de rede por padrão. As chaves de criptografia nunca saem do dispositivo. O iCloud Backup criptografado é opcional e usa uma chave de backup separada por dispositivo. A Apple recebe apenas texto cifrado. Esta é uma arquitetura de conhecimento zero: o App-Vault não pode ler seus arquivos, mesmo sob coerção.

Criptografia do catálogo. A lista de arquivos — seus nomes, tamanhos e datas — também é criptografada. Um invasor com acesso bruto ao armazenamento não pode determinar quantos arquivos estão no cofre, muito menos o que são.

Cofre falso. O recurso Cofre Falso cria um segundo catálogo criptografado, matematicamente independente, por trás de um padrão diferente. Cada cofre usa sua própria cadeia de derivação de chave. A existência de um cofre não revela o outro.

Conclusão

A criptografia AES-256 é o padrão ouro para confidencialidade de dados. Quando implementada corretamente — com criptografia autenticada, nonces únicos, derivação de chave forte e armazenamento de chave apoiado por hardware — fornece um nível de segurança que nenhum invasor conhecido pode quebrar.

Mas criptografia é uma ferramenta, não um talismã. Ela não protege contra senhas fracas, dispositivos comprometidos ou engenharia social. A melhor cifra do mundo é inútil se o usuário definir “1234” como código do cofre.

O design do App-Vault reconhece essa realidade. A pilha de criptografia usa AES-256-GCM com envolvimento do Secure Enclave, PBKDF2 com 600.000 iterações e arquitetura de conhecimento zero. A página padrão de desbloqueio explica exatamente como uma grade 5×5 se torna uma chave de 256 bits. A comparação com Keepsafe mostra como diferentes aplicativos abordam o mesmo problema.

AES-256 não é mágica. É matemática. E matemática, quando aplicada corretamente, é o mais próximo de uma garantia que a engenharia de privacidade pode oferecer.