La crittografia AES (Advanced Encryption Standard) è l’attuale standard di crittografia utilizzato e promosso dal governo degli Stati Uniti per proteggere i dati sensibili. È ampiamente utilizzata per la sicurezza informatica, la protezione delle infrastrutture IT e la sicurezza delle comunicazioni.
Questa guida spiega cos’è la crittografia AES, come funziona e dove viene utilizzata. Spiega inoltre la sua importanza nella cybersecurity e nella protezione dei dati preziosi.
Introduzione alla crittografia
La crittografia codifica i dati in modo che solo il destinatario previsto (che dispone delle informazioni necessarie per decifrarli) possa leggerli. La crittografia esiste da migliaia di anni: dai cifrari usati nell’antichità ai dispositivi di crittografia meccanica come Enigma e TypeX usati all’inizio del XX secolo, c’è sempre stata la necessità e il meccanismo di codificare le comunicazioni in modo che gli altri non possano leggerle.
La crittografia è fondamentale per la sicurezza informatica e per il funzionamento quotidiano di quasi tutto nel mondo moderno. Siccome l’Internet è una rete pubblica costituita da infrastrutture di proprietà di diverse entità in vari Paesi, il traffico non crittografato inviato attraverso di essa non è privato.
La crittografia rende sicura l’esecuzione di operazioni che richiedono privacy, come l’online banking. Viene inoltre utilizzata per proteggere le comunicazioni e i file sui dispositivi in caso di furto.
Che cos’è la crittografia AES (Advanced Encryption Standard, Standard di crittografia avanzata)?
La specifica AES per la crittografia dei dati è stata creata nel 2001 dal National Institute of Standards and Technology (NIST), l’ente statunitense responsabile degli standard tecnologici e della promozione dell’innovazione.
AES è stato progettato per sostituire in modo più veloce e sicuro il Digital Encryption Standard (DES), all’epoca un algoritmo di crittografia ampiamente utilizzato, che era diventato insicuro. Sebbene il Triple DES abbia risolto alcuni dei problemi di sicurezza (ripetendo tre volte il processo di crittografia DES), questo processo lento e ad alta intensità di risorse è stato un motivo per lo sviluppo di AES.
L’AES è una variante del cifrario Rijndael (e talvolta viene indicato come Rijndael), dal nome di Vincent Rijmen e Joan Daemen, i crittografi belgi che hanno proposto l’algoritmo di crittografia al NIST.
Poiché AES è uno standard o una specifica, spetta ad altri software implementarlo. Non si tratta di un prodotto software vero e proprio.
Come funziona la crittografia AES
AES è un cifrario a blocchi . Utilizza una rete a sostituzione e permutazione che prende i dati in blocchi di dimensioni fisse e li sostituisce e riorganizza ripetutamente per generare il testo cifrato (cioè i dati criptati).
Le chiavi vengono utilizzate per criptare (e decriptare) i dati. La dimensione della chiave (numero di bit nella chiave) determina la sicurezza della crittografia fornita. AES supporta chiavi di crittografia a 128, 192 e 256 bit. Le chiavi a 256 bit offrono la massima sicurezza e sono utilizzate dalle agenzie di intelligence per criptare i loro segreti, mentre la crittografia AES a 192 e 128 bit è utilizzata per operazioni bancarie e per la navigazione sicura sul Web.
L’AES è una forma di crittografia a chiave simmetrica (a differenza della crittografia a chiave asimmetrica), il che significa che la stessa chiave viene utilizzata sia per crittografare che per decrittografare i dati.
Fasi di crittografia e decrittografia
I passaggi per crittografare i dati secondo lo standard AES sono i seguenti:
- Dalla chiave di cifratura iniziale (di solito una password fornita dall’utente) viene generata una serie di “chiavi circolari”. Queste saranno utilizzate in ogni ciclo di crittografia.
- Il processo di crittografia inizia combinando la chiave di cifratura con i dati da crittografare tramite un’operazione XOR .
- I dati vengono criptati in ulteriori “round” dall’algoritmo di crittografia utilizzando la rete a sostituzione e permutazione. Questa fase si ripete sul risultato del round precedente, a seconda della dimensione della chiave. Si ripete 10 volte per la crittografia a 128 bit, 12 volte per la crittografia a 192 bit e 14 volte per la crittografia AES a 256 bit.
- Un ultimo giro di crittografia viene eseguito utilizzando la “chiave finale”, ottenendo il messaggio finale crittografato.
I passaggi per decriptare i dati secondo lo standard AES sono i seguenti:
- Per iniziare a invertire il processo di codifica, viene eseguita un’operazione XOR utilizzando i dati crittografati e la chiave finale del processo di crittografia.
- I “round” di crittografia vengono annullati uno per uno in ordine inverso.
- L’ultimo round di decrittazione decifra i dati utilizzando la chiave di cifratura iniziale, restituendo i dati originali.
Applicazioni della crittografia AES
Lo standard di crittografia AES è ampiamente adottato nella sicurezza informatica, compresa la crittografia dei dati e le tecnologie di comunicazione sicura.
- Crittografia dei file: I software di crittografia come BitLocker e FileVault utilizzano AES per crittografare i file e i dischi. Anche i servizi di cloud storage come Dropbox utilizzano AES per proteggere i dati caricati.
- Crittografia del dispositivo: Sia Android che iOS (iPhone e iPad) utilizzano il sistema AES per la sicurezza dei dispositivi mobili, impedendo l’accesso ai dispositivi smarriti o rubati.
- Crittografia wireless: I protocolli di sicurezza Wi-Fi WPA2 e WPA3 sono crittografati con AES.
- Comunicazione sicura: Le app di messaggistica sicura (come Signal e WhatsApp) criptano i messaggi utilizzando AES per la crittografia end-to-end.
- Reti private virtuali (VPN): soluzioni VPN che collegano in modo sicuro le reti remote via Internet criptano il loro traffico utilizzando lo standard AES. Questo include i prodotti più diffusi che implementano OpenVPN.
L’AES svolge anche un ruolo importante nella conformità normativa alle leggi sulla privacy dei dati: Il GDPR europeo, il CCPA californiano e le leggi HIPAA che riguardano i fornitori di servizi sanitari statunitensi richiedono tutti il rispetto di determinati standard di protezione dei dati sensibili dei clienti, comprese le informazioni di identificazione personale (PII).
Implementazione
A meno che tu non stia sviluppando una tua libreria di crittografia, non hai bisogno di scrivere codice per implementare lo standard di crittografia AES. Se desideri utilizzare prodotti sicuri per la comunicazione e l’archiviazione dei file, è sufficiente scegliere quelli che implementano l’AES. AES può essere implementato nel software o nell’hardware (ad esempio, le moderne CPU includono set di istruzioni specifici che accelerano la crittografia AES).
Se stai sviluppando software, esistono librerie consolidate che offrono la crittografia AES e che puoi utilizzare nelle tue applicazioni:
- Python: PyCryptodome
- JavaScript: crypto-js
- C++: Crypto++
- Java: javax.crypto
- C#: System.Security.Cryptography
È sempre meglio affidarsi a librerie rinomate per la sicurezza, compresa la crittografia e l’autenticazione quando possibile, piuttosto che cercare di scrivere codice sicuro da solo. Un’ampia comunità di sviluppatori che migliora e testa il progetto avrà maggiori possibilità di scoprire eventuali bug o vulnerabilità di sicurezza e di rilasciare patch per risolvere i problemi riscontrati.
Quando sviluppi un software che utilizza algoritmi AES, devi assicurarti di seguire le best practice: genera chiavi forti utilizzando dati casuali e ruotale regolarmente. Non codificare mai le chiavi AES nel codice sorgente del software e conservale sempre separatamente dai dati crittografati. Dovresti anche accertarti che le chiavi siano trasmesse in modo sicuro se vengono trasferite in rete e che vengano distrutte quando non sono più necessarie.
Sfide e limiti
Se al momento l’AES è sicuro, in futuro potrebbe non esserlo più. È possibile (anche se altamente improbabile, a meno che non venga trovata una falla nell’algoritmo, soprattutto nel caso della crittografia AES a 256 bit) che gli attuali algoritmi di crittografia AES vengano prima o poi violati dai computer quantistici. In questo modo una grande quantità di dati crittografati considerati sicuri, e che potrebbero essere già trapelati online, diventerebbero improvvisamente leggibili (ma anche in questo caso le probabilità sono molto, molto ridotte data la forza dell’algoritmo AES).
Sebbene la crittografia e la decrittografia dei dati con AES aggiunga un certo sovraccarico di prestazioni alle applicazioni e la gestione delle chiavi possa essere complessa, la sicurezza vale sempre la perdita di prestazioni e la complessità di implementazione.
Il futuro della crittografia AES
L’AES dovrebbe rimanere sicuro per gli anni a venire. Tuttavia, è importante che gli standard di sicurezza si sviluppino per soddisfare i nuovi requisiti.
La crittografia AES dovrà affrontare le sfide emergenti in materia di sicurezza, tra cui l’informatica quantistica e la compatibilità con le nuove tecnologie. I miglioramenti hardware continueranno a perfezionare le prestazioni e l’adozione di AES nei casi di utilizzo a basso consumo, come i dispositivi IoT.
Proteggere la comunicazione IT dalle minacce di cybersecurity
È fondamentale assicurarti che tutte le comunicazioni di rete siano protette dalle intercettazioni e che l’infrastruttura aziendale sia adeguatamente protetta dalle intrusioni. Se stai sviluppando un software, devi implementare solide misure di crittografia e di sicurezza del software per garantire che non possa essere utilizzato come vettore di attacco contro i tuoi utenti.
La crittografia AES è lo standard per la protezione dei dati e delle comunicazioni e l’adozione di prodotti che la implementano è una parte importante della conformità alle normative sui dati, oltre a proteggere gli utenti, l’infrastruttura e la reputazione aziendale.
NinjaOne utilizza AES come parte di una serie di tecnologie di cybersecurity utilizzate per proteggere la nostra suite di strumenti di gestione degli endpoint che aiutano a mantenere sicure le tue reti, i dispositivi e il software.
