Advanced Encryption Standard Advanced Encryption Standard (AES ) は、アメリカ国立標準技術研究所 （NIST）が2001年に連邦情報処理標準 （FIPS 197）として制定した、128ビット のブロック長を持つ共通鍵 ブロック暗号 である。鍵長56ビットのDES に代わる標準暗号として公開公募により選定された。
AESは、ベルギー の暗号研究者 Joan Daemen とフィンセント・ライメン （Vincent Rijmen）が設計した暗号方式 Rijndael の128ビットブロック長仕様が標準化 されたものであり、鍵長128・192・256ビットを規定する。
現在ではTLS などの通信暗号化をはじめ、政府機関および民間の情報システムで利用されている。
AES以前の標準暗号であったDES は、次の2点が問題であった。
コンピュータの能力とネットワーク技術の上昇による相対的な強度の低下
NSA の関与がある設計の不透明性 （詳細はDES の記事を参照）そこで、新しい標準暗号がアメリカ国立標準技術研究所 （NIST）の主導によって公募され、AESが選出された。2001年3月に FIPS PUB 197 として公表された。
厳密には「AES」は、選出されなかった暗号も含む、手続き期間中から使われた「新しい標準暗号」の総称であり、選出された暗号方式自体の名はRijndael（ラインダール）である。
AESはSPN構造 のブロック暗号 である。ブロック長は128ビット であり、鍵長には128ビット・192ビット・256ビットの3種類が選択できる（鍵長が大きいほうが暗号強度が高い）。これに対し、AESの元となった Rijndael では、ブロック長と鍵長が可変であり、128ビットから256ビットまでの32ビットの倍数が選べる。NISTが公募した際のスペックに従い、米国標準となったAESではブロック長は128ビットに固定され、鍵長も3種類に限られた。
旧規格 DES (FIPS 46) の安全性が低下したので、1997年 9月にNIST（アメリカ国立標準技術研究所 ）が後継の暗号標準AES (Advanced Encryption Standard) とすべく共通鍵ブロック暗号を公募した。公募要件には下記のような条件が挙げられた。
米国に限らず世界 中で、制限なく無料で利用できなければならないこと。
詳細なアルゴリズム仕様を公開すること。
ANSI C 及びJava による実装を行うこと。暗号強度評価を公開すること。 世界から応募された21方式から、公募要件を満たした15方式に対する評価が行われ、安全性と実装性能に優れた5方式が最終候補として残った。最終候補および設計者は下記のとおりである。
AESはSPN構造 のブロック暗号 で、ブロック長は128ビット 、鍵長は128ビット・192ビット・256ビットの3つが利用できる。
暗号化処理では、始めに鍵生成を行う。AES暗号の鍵長によって変換のラウンド数が異なる。次のとおりである。
鍵長128ビットのとき、ラウンド数は10回である。
鍵長192ビットのとき、ラウンド数は12回である。
鍵長256ビットのとき、ラウンド数は14回である。 暗号化は下記の4つの処理から構成される。
SubBytes - 換字表 （Sボックス）による1バイト単位の置換。
ShiftRows - 4バイト単位の行を一定規則で左シフトする。
MixColumns - ビット演算による4バイト単位の行列変換。
AddRoundKey - ラウンド鍵とのXOR をとる。 これら4つの処理を1ラウンドとして暗号化を行う。
なお、復号は上記処理の逆変換を逆順で実行する。
AddRoundKey
InvMixColumns
InvShiftRows
InvSubBytes 関連鍵攻撃 により、256ビットのAES暗号の第9ラウンドまでが解読可能である。また、選択平文攻撃 により、192ビットおよび256ビットのAES暗号の第8ラウンドまで、128ビットのAES暗号の第7ラウンドまでが解読可能である (Ferguson et al., 2000)。シュナイアーはAESの「代数的単純さに疑問」を感じているが、AESは欧州の暗号規格NESSIE や日本の暗号規格CRYPTREC でも採用された。AESの数学的構造は他のブロック暗号と異なり、きちんとした記述もある。
この暗号は暗号化方式としてはまだどんな攻撃にも屈していないが、実装によってはサイドチャネル攻撃 が成功する場合がある。
↑ Rijndaelでは128, 160, 192, 224, 256 bitsが選択可能。AESのスペックに合わせて3つに限定 ↑ Rijndaelでは128, 160, 192, 224, 256 bitsが選択可能。AESのスペックに合わせて128 bitsのみに限定 ↑ “Biclique Cryptanalysis of the Full AES ” (PDF) (英語). 2016年3月6日時点のオリジナル よりアーカイブ。2016年10月9日閲覧。 1 2 岡本 暗号理論入門 第2版(2002:51-52) 1 2 3 4 結城 暗号技術入門 第3版(2003: 69-71) ↑ A simple algebraic representation of Rijndael (Niels Ferguson, Richard Schroeppel, and Doug Whiting)（2003年6月6日時点のアーカイブ ）↑ Sean Murphy （英語） ↑ 角尾幸保, 久保博靖, 茂真紀, 辻原悦子, 宮内宏, "S-boxにおけるキャッシュ遅延を利用したAESへのタイミング攻撃 (PDF ) ", SCIS2003 ↑ Cache-timing attacks on AES (PDF ) （英語） - (Daniel J. Bernstein)↑ “量子コンピューターを使っても解読が難しい暗号とは？ ”. GIGAZINE. 2026年4月23日閲覧。 
