AESCifrado

AES es un cifrado simétrico, por lo que se utiliza la misma clave secreta tanto para el cifrado como para el descifrado. La longitud de la clave define el nivel de protección: 128 bits cubre la mayoría de los casos de uso cotidianos, 192 bits se elige para entornos de mayor seguridad y 256 bits es la opción común más sólida utilizada en finanzas y otros sistemas sensibles a la seguridad.

La clave secreta debe permanecer confidencial. Cualquiera que obtenga la clave puede descifrar los datos, así que evite compartirlos a través de canales inseguros y prefiera claves generadas aleatoriamente en lugar de ingresarlas manualmente.

El IV (vector de inicialización) o nonce garantiza que cifrar el mismo contenido con la misma clave siga produciendo un texto cifrado diferente cada vez, lo que ayuda a prevenir ataques basados ​​en patrones.

CBC y CTR usan un IV de 16 bytes (32 caracteres hexadecimales), mientras que GCM usa un nonce de 12 bytes (24 caracteres hexadecimales). No es necesario que el IV permanezca en secreto, pero debe estar actualizado para cada ejecución de cifrado y nunca debe reutilizarse.

AES funciona en bloques fijos de 16 bytes y el modo seleccionado controla cómo se encadenan esos bloques para datos de cualquier longitud.

CBC (Encadenamiento de bloques de cifrado): un modo clásico y ampliamente utilizado para archivos y flujos de trabajo de comunicación.

CTR (Contador): convierte AES en un modo similar a una transmisión que se puede procesar en paralelo, lo que lo hace muy adecuado para archivos grandes.

GCM (Galois/modo contador): agrega autenticación además del CTR, por lo que protege tanto la confidencialidad como la integridad y suele ser el mejor valor predeterminado moderno.

Las claves más largas aumentan drásticamente el coste de los ataques de fuerza bruta, aunque también añaden una pequeña sobrecarga de rendimiento.

128 bits: lo suficientemente potente para la gran mayoría de cargas de trabajo y, normalmente, la opción más rápida.

192 bits: elegido cuando se requiere un mayor margen de seguridad.

256 bits: la opción estándar más sólida y un valor predeterminado sólido cuando las limitaciones de rendimiento no son críticas.

AES cifra bloques de 16 bytes. Si la longitud de entrada no es múltiplo de 16, el último bloque debe rellenarse antes del cifrado.

PKCS#7: llena el bloque final con bytes cuyo valor es igual al número de bytes de relleno, lo que hace que la eliminación sea precisa durante el descifrado.

Relleno cero: llena los bytes restantes con00. Es simple, pero ambiguo cuando los datos originales pueden terminar naturalmente en cero bytes.

El texto cifrado AES sin procesar son datos binarios, por lo que a menudo se convierten a un formato de texto imprimible antes del transporte o almacenamiento.

Base64: compacto y adecuado para API, JSON y flujos de trabajo de copiar y pegar.

Hexadecimal: de mayor tamaño, pero más fácil de inspeccionar byte a byte durante la depuración y el registro.