ดูต้นฉบับสำหรับ เออีเอส

{{ใช้ปีคศ}}
{{Infobox block cipher
	 | name = Advanced Encryption Standard {{break}} (Rijndael)
	| image = AES-SubBytes.svg
	| caption = ขั้น {{mono | SubBytes}} เป็นขั้นหนึ่งในสี่ขั้นที่ใช้เข้ารหัส{{nowrap |เออีเอส}}รอบหนึ่ง
	| designers = วินเซ็นต์ เรเม็น, โจน แดเม็น
	| publish date = 1998
	| derived from = Square
	| derived to = Anubis, Grand Cru, Kalyna
	| certification = AES winner, CRYPTREC, NESSIE, [[สำนักงานความมั่นคงแห่งชาติ|NSA]]
	| key size = 128, 192 หรือ {{nowrap |256 [[บิต]]}}<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | 
[[ขั้นตอนวิธี]]เรนดาลสนับสนุนกุญแจขนาด 128, 160, 192, 224 และ {{nowrap |256 บิต}} แต่ AES กำหนดขนาดกุญแจเพียง 3 ขนาดคือ 128, 192 และ {{nowrap |256 บิต}}
}}<!--*** จบเชิงอรรถ ***-->
	| block size = 128 [[บิต]]<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | 
[[ขั้นตอนวิธี]]เรนดาลสนับสนุนบล็อกขนาด 128, 160, 192, 224 และ {{nowrap |256 บิต}} แต่ AES กำหนดบล็อกเพียงขนาดเดียวคือ {{nowrap |128 บิต}}
}}<!--*** จบเชิงอรรถ ***-->
	| structure = Substitution-permutation network
	| rounds = 10, 12 หรือ {{nowrap |14 รอบ}} (ขึ้นอยู่กับขนาดกุญแจ)
	| cryptanalysis = มีวิธีการโจมตีต่าง ๆ ที่คำนวณได้เร็วกว่าการโจมตีด้วยกำลังอย่างเดียว (brute-force attack) แต่จนถึงปี 2013 ก็ยังไม่มีวิธีที่นำไปใช้กับคอมพิวเตอร์ที่มีได้จริง ๆ<ref name="aesbc">{{cite web|url=http://research.microsoft.com/en-us/projects/cryptanalysis/aesbc.pdf|archive-url=https://web.archive.org/web/20160306104007/http://research.microsoft.com/en-us/projects/cryptanalysis/aesbc.pdf|archive-date=March 6, 2016|title=Biclique Cryptanalysis of the Full AES|access-date=May 1, 2019|url-status=dead|df=mdy-all}}</ref>
สำหรับ AES-128 กุญแจสามารถหาได้ด้วยวิธีที่มีความซับซ้อนเชิงคำนวณที่ 2<sup>126.1</sup> โดยใช้ biclique attack
ถ้าใช้วิธีเดียวกันต่อ AES-192 และ AES-256 ความซับซ้อนจะอยู่ที่ 2<sup>189.7</sup> และ 2<sup>254.4</sup> ตามลำดับ
ส่วน related-key attack<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | name = RelatedKeyAttack |
ใน[[วิทยาการเข้ารหัสลับ]] '''related-key attack''' เป็นการวิเคราะห์การเข้ารหัสลับ (cryptanalysis) ใดก็ได้ที่ผู้โจมตีสามารถเห็นการดำเนินการของการเข้ารหัสเมื่อใช้กุญแจต่าง ๆ หลายตัวที่ไม่รู้ค่ากุญแจในเบื้องต้น แต่รู้ความสัมพันธ์เชิงคณิตของกุญแจเหล่านั้น
ยกตัวอย่าง เช่น ผู้โจมตีอาจรู้ว่า บิต 80 บิตสุดท้ายของกุญแจที่ว่าเหมือนกันแม้จะไม่รู้ในตอนแรกว่าบิต 80 บิตนี้มีค่าอะไร
วิธีการโจมตีนี้ดูในเบื้องต้นว่าไม่สมจริง
เพราะผู้โจมตีไม่น่าจะสามารถชักชวนให้ผู้เข้ารหัสที่เป็นมนุษย์เข้ารหัสข้อมูลด้วยกุญแจลับหลายตัวที่สัมพันธ์กัน
}}<!--*** จบเชิงอรรถ ***--> สามารถเจาะ AES-192 และ AES-256 โดยมีความซับซ้อนเชิงคำนวณที่ 2<sup>176</sup> และ 2<sup>99.5</sup> ตามลำดับ ไม่ว่าจะโดยเวลาหรือโดยข้อมูล<ref name=relkey>{{cite web | authors = Biryukov, Alex; Khovratovich, Dmitry | title = Related-key Cryptanalysis of the Full AES-192 and AES-256 | url = http://eprint.iacr.org/2009/317 | archiveurl = https://web.archive.org/web/20090928014006/http://eprint.iacr.org/2009/317 | archivedate = 2009-09-28 | url-status= live| publisher = International Association for Cryptologic Research }}</ref>
}}
<!-- บทอื่น ๆ ที่เปลี่ยนทางมายังบทความนี้:
เออีเอส, มาตรฐานการเข้ารหัสลับขั้นสูง
Advanced Encryption Standard, AES, Rijndael
-->
'''เออีเอส''' ซึ่งเป็นตัวย่อของ '''Advanced Encryption Standard''' ('''AES''') ที่มีชื่อดั้งเดิมว่า '''Rijndael''' ({{IPA-nl |ˈrɛindaːl}} อ่านว่า เรนดาล)<ref name="Rijndael-ammended.pdf" />
เป็นมาตรฐาน[[การเข้ารหัสลับ]]ข้อมูล{{nowrap |อิเล็กทรอนิก}}ที่ตั้งขึ้นโดยสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ ({{abbr |NIST| National Institute of Standards and Technology }}) ในปี 2001<ref name="fips-197">{{cite web|url=http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf|title=Announcing the ADVANCED ENCRYPTION STANDARD (AES)|publisher=United States National Institute of Standards and Technology (NIST)|work=Federal Information Processing Standards Publication 197|date=November 26, 2001|access-date=October 2, 2012|url-status=live|archive-url=https://web.archive.org/web/20170312045558/http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf|archive-date=March 12, 2017}}</ref>

เออีเอสเป็นส่วนย่อยของกลุ่มบล็อกไซเฟอร์ (block cipher)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | name = BlockCipher |
ใน[[วิทยาการเข้ารหัสลับ]] '''บล็อกไซเฟอร์''' (block cipher) เป็น[[ขั้นตอนวิธี]]เชิงกำหนดที่ปฏิบัติการต่อ[[บิต]]จำนวนตายตัว ซึ่งเรียกว่าบล็อก ด้วยการแปลงอันกำหนดด้วยกุญแจแบบสมมาตร (symmetric key)
บล็อกไซเฟอร์เป็นองค์ประกอบพื้นฐานสำหรับ[[เกณฑ์วิธี]]การเข้ารหัสลับหลายชนิด และใช้อย่างกว้างขวางเพื่อเข้ารหัสลับข้อมูลจำนวนมาก ๆ
}}<!--*** จบเชิงอรรถ ***-->
ที่เรียกว่าเรนดาล (Rijndael)<ref name="Rijndael-ammended.pdf">{{cite web |url=http://csrc.nist.gov/archive/aes/rijndael/Rijndael-ammended.pdf#page=1 |title=AES Proposal: Rijndael |last1=Daemen |first1=Joan |last2=Rijmen |first2=Vincent |date=March 9, 2003 |publisher=National Institute of Standards and Technology |page=1 |access-date=21 February 2013 |url-status=live |archive-url=https://web.archive.org/web/20130305143117/http://csrc.nist.gov/archive/aes/rijndael/Rijndael-ammended.pdf#page=1 |archive-date=5 March 2013 }}</ref>
และพัฒนาโดยนักวิทยาการเข้ารหัสลับ[[ชาวเบลเยียม]]สองท่าน คือ{{nowrap |วินเซ็นต์ เรเม็น}} (Vincent Rijmen) และ{{nowrap |โจน แดเม็น}} (Joan Daemen) ผู้ส่งวิธีการเป็นข้อเสนอ<ref name="Rijndaelv2">{{cite web|url=http://csrc.nist.gov/CryptoToolkit/aes/rijndael/Rijndael.pdf|url-status=dead|archive-url=https://web.archive.org/web/20070203204845/https://csrc.nist.gov/CryptoToolkit/aes/rijndael/Rijndael.pdf|archive-date=February 3, 2007|title=AES Proposal: Rijndael|author=Joan Daemen and Vincent Rijmen|date=September 3, 1999}}</ref>
แก่ NIST เมื่อองค์กรกำลังเลือกไซเฟอร์ (cipher)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | name = cipher |
ใน[[วิทยาการเข้ารหัสลับ]] '''ไซเฟอร์''' (cipher, cypher) เป็น[[ขั้นตอนวิธี]]เพื่อเข้ารหัสลับหรือถอดรหัสลับ เป็นลำดับขั้นตอนที่ระบุอย่างละเอียดเพื่อให้ทำตามได้
คำภาษาอังกฤษอื่นที่ใช้ก็คือ encipherment
คำว่า "to encipher" หรือ "to encode" หมายถึงการแปลงข้อมูลให้เป็นไซเฟอร์คือเป็นรหัสลับ
}}<!--*** จบเชิงอรรถ ***-->
เพื่อใช้เป็น{{nowrap |เออีเอส}}<ref>{{Cite news |title=U.S. Selects a New Encryption Technique |author=John Schwartz |newspaper=New York Times |date=October 3, 2000 |url=https://www.nytimes.com/2000/10/03/business/technology-us-selects-a-new-encryption-technique.html |url-status=live |archive-url=https://web.archive.org/web/20170328215407/http://www.nytimes.com/2000/10/03/business/technology-us-selects-a-new-encryption-technique.html |archive-date=March 28, 2017 }}</ref>
เรนดาลเป็นกลุ่มไซเฟอร์ที่มีกุญแจและบล็อก (block) ขนาดต่าง ๆ 

เพื่อใช้เป็นมาตรฐานเออีเอส NIST ได้เลือกสมาชิก 3 หน่วยจากกลุ่มเรนดาล แต่ละอย่างมีขนาดบล็อก 128 [[บิต]]โดยมีกุญแจขนาดต่าง ๆ คือ 128, 192 และ {{nowrap |256 [[บิต]]}}
[[รัฐบาลกลางสหรัฐ]]ได้เลือกใช้มาตรฐานนี้ และปัจจุบันก็ใช้กันทั่วโลก
เป็นมาตรฐานแทน Data Encryption Standard (DES)<ref>{{cite news|url=http://www.findarticles.com/p/articles/mi_m0IKZ/is_3_107?pnum=2&opg=90984479 |title=NIST reports measurable success of Advanced Encryption Standard |work=Journal of Research of the National Institute of Standards and Technology |first=Harold B. |last=Westlund |date=2002 |url-status=dead |archive-url=https://web.archive.org/web/20071103105501/http://findarticles.com/p/articles/mi_m0IKZ/is_3_107?pnum=2&opg=90984479 |archive-date=2007-11-03 }}</ref>
ซึ่งเผยแพร่ในปี 1977
AES ใช้[[ขั้นตอนวิธี]]แบบกุญแจสมมาตร (symmetric-key algorithm) คือ ใช้กุญแจตัวเดียวกันเพื่อทั้งเข้ารหัสและถอดรหัสข้อมูล

ในสหรัฐ NIST ได้ประกาศเออีเอสเป็นมาตรฐานประมวลข้อมูลรัฐบาลกลางสหรัฐ (FIPS 197) เมื่อปลายปี 2001<ref name="fips-197" />
นี่ทำตามหลังกระบวนการวางมาตรฐาน 
ซึ่งมีแบบที่เข้าแข่งขันกัน 15 แบบ เมื่อประเมินแล้วไซเฟอร์เรนดาลจึงได้เลือกว่าเหมาะสมที่สุด

เออีเอสจึงกลายเป็นมาตรฐานรัฐบาลกลางสหรัฐเมื่อกลางปี 2002 หลังจากได้รับอนุมัติจากเลขาธิการ[[กระทรวงพาณิชย์สหรัฐ]]
เออีเอสได้รวมเข้ามาตรฐานของ[[องค์การระหว่างประเทศว่าด้วยการมาตรฐาน]] ({{abbr |ISO| International Organization for Standardization }}) และ International Electrotechnical Commission (IEC) คือ ISO/IEC 18033-3 standard
เออีเอสมีใช้ในคลัง/โปรแกรมเข้ารหัสสำเร็จหลายอย่าง เป็นไซเฟอร์ที่สาธารณชนเข้าถึงได้เดียวที่[[สำนักงานความมั่นคงแห่งชาติ]]สหรัฐ ({{abbr |NSA| National Security Agency }}) อนุมัติให้ใช้เข้ารหัสข้อมูลราชการลับระดับ "top secret" โดยต้องใช้[[มอดูล]]เข้ารหัสที่องค์กรได้อนุมัติ 

== มาตรฐาน ==
เออีเอสได้กำหนดในมาตรฐานต่าง ๆ ดังต่อไปนี้
* FIPS PUB 197: Advanced Encryption Standard (AES)<ref name="fips-197" />
* ISO/IEC 18033-3: Block ciphers<ref name="ISO_IEC_AES">{{cite web|url = http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?csnumber=54531|title = ISO/IEC 18033-3: Information technology – Security techniques – Encryption algorithms – Part 3: Block ciphers|url-status = live|archive-url = https://web.archive.org/web/20131203003348/http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?csnumber=54531|archive-date = 2013-12-03}}</ref>

== ไซเฟอร์ ==
เออีเอสใช้หลักที่เรียกว่า [[substitution-permutation network]] (เครือข่ายการแทนที่-การเรียงสับเปลี่ยน) ซึ่งมีประสิทธิภาพดีเมื่อ[[ทำให้เกิดผล]]ทั้งใน[[ซอฟต์แวร์]]และ[[ฮาร์ดแวร์]]<ref>{{cite web |url=http://www.schneier.com/paper-twofish-final.pdf |title=The Twofish Team's Final Comments on AES Selection |display-authors=7 |author=Bruce Schneier |author2=John Kelsey |author3=Doug Whiting |author4=David Wagner |author5=Chris Hall |author6=Niels Ferguson |author7=Tadayoshi Kohno |author8=Mike Stay |date=May 2000 |url-status=live |archive-url=https://web.archive.org/web/20100102041117/http://schneier.com/paper-twofish-final.pdf |archive-date=2010-01-02 }}</ref> ไม่เหมือนกับมาตรฐานก่อนคือ DES {{nowrap |เออีเอส}}ไม่ได้ใช้เครือข่ายฟายสเติล (Feistel network)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ใน[[วิทยาการเข้ารหัสลับ]] '''ไซเฟอร์ฟายสเติล''' (Feistel cipher) เป็นโครงสร้างสมมาตรที่ใช้สร้างบล็อกไซเฟอร์
เป็นชื่อตามนักฟิสิกส์และนักวิทยาการเข้ารหัสลับชาวเยอรมัน คือ ฮอร์สต์ ฟายสเตล ซึ่งได้ทำงานวิจัยรุ่นบุกเบิกที่บริษัท[[ไอบีเอ็ม]] (สหรัฐ)
ไซเฟอร์นี่มีชื่ออีกอย่างว่า {{nowrap |'''เครือข่ายฟายสเตล'''}}
บล็อกไซเฟอร์จำนวนมากใช้กลยุทธ์นี้ รวมทั้ง Data Encryption Standard (DES)
มีข้อดีตรงที่ว่า การเข้ารหัสและการถอดรหัสคล้ายกันมาก ในบางกรณีเหมือนกันเลย เพียแต่ต้องใช้ key schedule กลับทางเท่านั้น
ดังนั้น ขนาดคำสั่งหรือวงจรที่จำเป็นเพื่อทำให้เกิดผลจึงเหลือเกือบครึ่งเดียว

เครือข่ายฟายสเตลเป็นไซเฟอร์แบบวนซ้ำ (iterated) 
ซึ่งมีฟังกชันที่เรียกว่า round function<ref>{{cite book | authors = Menezes, Alfred J.; van Oorschot, Paul C; Vanstone, Scott A | year = 2001 | title = Handbook of Applied Cryptography | edition = 5th | isbn = 0849385237 | pages = 251 }}</ref>
}}<!--*** จบเชิงอรรถ ***-->
เออีเอสเป็นรูปแปรของเรนดาลแต่มีขนาดบล็อกตายตัวที่ {{nowrap |128 บิต}} และขนาดกุญแจที่ 128, 192 หรือ {{nowrap |256 บิต}}
เทียบกับเรนดาลที่กำหนดขนาดบล็อกและขนาดกุญแจที่เป็น[[พหุคูณ]] {{nowrap |32 บิต}}ใด ๆ ก็ได้โดยน้อยสุดที่ {{nowrap |128 บิต}}และมากสุดที่ {{nowrap |256 บิต}}
เออีเอสคำนวณโดยใช้[[แถวลำดับ]]ขนาด {{nowrap |4 × 4}} เก็บต่อกันในความจำเรียงอันดับตามสดมภ์ (column-major order<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ใน[[วิทยาการคอมพิวเตอร์]] '''row-major order''' (อันดับตามแถว) และ '''column-major order''' (อันดับตามสดมภ์) เป็นวิธีเก็บ[[แถวลำดับ]]หลายมิติ (multidimensional array) ในหน่วยเก็บเชิงเส้นเช่น[[แรม]] 
อันดับต่างกันตรงที่ว่าสมาชิกไหนของแถวลำดับจะเก็บต่อกันในความจำ
สำหรับอันดับตามแถว สมาชิกติดกันของแถวจะเก็บต่อกัน เทียบกับอันดับตามสดมภ์ที่สมาชิกติดกันของสดมภ์จะเก็บต่อกัน
}}<!--*** จบเชิงอรรถ ***-->) เป็นหน่วยที่เรียกว่า "สเตต" (''state'')<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
รูปแปรของเรนดาลที่มีบล็อกใหญ่จะใช้แถวลำดับที่มีสดมภ์เพิ่มขึ้น แต่จะมีแถว 4 แถวเท่านั้น
}}<!--*** จบเชิงอรรถ ***-->
การคำนวณเออีเอสโดยมากจะทำในฟิลด์จำกัด (finite field)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ในสาขา[[คณิตศาสตร์]] คำว่า '''ฟิลด์จำกัด''' ภายในคำว่า '''[[เลขคณิต]]ในฟิลด์จำกัด''' (finite field arithmetic) หมายถึงฟิลด์ที่มีสมาชิกจำนวนจำกัด (finite) นี่เทียบกับ เลขคณิตในฟิลด์อนันต์ (infinite) ที่ไม่จำกัดจำนวนสมาชิก เช่น ฟิลด์ของ[[จำนวนตรรกยะ]]

แม้จะไม่มีฟิลด์จำกัดที่เป็นอนันต์ แต่ก็มีฟิลด์จำกัดเป็นจำนวนอนันต์
จำนวนสมาชิกย่อมอยู่ในรูป ''p<sup>n</sup>'' โดย ''p'' เป็น[[จำนวนเฉพาะ]]และ ''n'' เป็น[[จำนวนเต็ม]]บวก และฟิลด์จำกัดที่มีขนาดเดียวกันย่อมเป็นสมสัณฐาน (isomorphic) กับกันและกัน
จำนวนเฉพาะ ''p'' เรียกว่า characteristic of the field และจำนวนเต็มบวก ''n'' เรียกว่า dimension of the field over its prime field
}}<!--*** จบเชิงอรรถ ***-->
ยกตัวอย่างเช่น ถ้ามี[[ไบต์]] {{nowrap |16 ไบต์}} คือ <math>b_0, b_1, ..., b_{15}</math> ก็สามารถแสดงเป็นแถวลำดับสองมิติ คือ 
::<math>
\begin{bmatrix}
b_0 & b_4 & b_8 & b_{12} \\
b_1 & b_5 & b_9 & b_{13} \\
b_2 & b_6 & b_{10} & b_{14} \\
b_3 & b_7 & b_{11} & b_{15}
\end{bmatrix}
</math>
ขนาดกุญแจที่ใช้ในไซเฟอร์เออีเอสจะระบุจำนวนรอบการแปลง (transformation round) ที่เปลี่ยน[[อินพุต]]ซึ่งเรียกว่า ข้อความธรรมดา (plaintext) เป็น[[เอาต์พุต]]สุดท้ายซึ่งเรียกว่า ข้อความไซเฟอร์ (ciphertext)
จำนวนรอบที่ต้องคำนวณ คือ
* 10 รอบสำหรับกุญแจขนาด 128 บิต
* 12 รอบสำหรับกุญแจขนาด 192 บิต
* 14 รอบสำหรับกุญแจขนาด 256 บิต

แต่ละรอบจะมีขั้นประมวลผลหลายขั้น รวมทั้งขั้นที่ต้องอาศัยกุญแจการเข้ารหัส
การถอดรหัสจะใช้รอบกลับกันเพื่อเปลี่ยนข้อความไซเฟอร์กลับไปเป็นข้อความธรรมดาดั้งเดิมด้วยกุญแจเดียวกัน

=== ขั้นตอนวิธีคร่าว ๆ ===
# {{mono | KeyExpansion}} (การขยายจำนวนกุญแจ) —กุญแจที่ใช้ในแต่ละรอบจะทำจากกุญแจสมมาตรด้วยขั้นตอนวิธี Rijndael key schedule<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | name = RijndaelKeySchedule | เออีเอส (เรนดาล) ใช้ขั้นตอนวิธี '''key schedule''' เพื่อขยายกุญแจสั้นตัวหนึ่งเป็นกุญแจรอบที่ต่างกันจำนวนหนึ่ง นี่เป็นขั้นตอนที่เรียกว่า '''Rijndael key schedule''' รูปแปรของเออีเอสสามอย่างมีจำนวนรอบที่ต่างกัน รูปแปรแต่ละอย่างจะต้องมีกุญแจรอบขนาด 128 บิตสำหรับแต่ละรอบ บวกเพิ่มอีกหนึ่งตัว ขั้นตอนนี้ผลิตกุญแจรอบจำนวณตามที่จำเป็นโดยได้จากกุญแจสมมาตร }}<!--*** จบเชิงอรรถ ***--> เออีเอสต้องใช้บล็อกกุญแจขนาด 128 บิตหนึ่งบล็อกต่างหาก (round key block - บล็อกกุญแจรอบ) สำหรับการคำนวณแต่ละรอบ บวกเพิ่มอีกหนึ่งตัว
# การบวก''กุญแจรอบ''เบื้องต้น
## {{mono | AddRoundKey}}—ไบต์แต่ละไบต์ของ''สเตต''จะรวมเข้ากับบล็อกหนึ่งของ''กุญแจรอบ''ด้วย bitwise xor
# ทำดังนี้ 9, 11 หรือ 13 รอบ
## {{mono | SubBytes}} (แทนที่ไบต์)—ขั้นการแทนที่แบบไม่เชิงเส้น (non-linear)—ไบต์แต่ละไบต์จะแทนที่ด้วยไบต์อีกไบต์หนึ่งตามตารางค้นหา คือ Rijndael S-box<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | '''Rijndael S-box''' เป็นเมทริกซ์จัตุรัสที่ใช้ในไซเฟอร์เรนดาล ซึ่งขั้นตอนวิธีเออีเอสเป็นอนุพันธ์ โดยใช้เป็นตารางค้นหา }}<!--*** จบเชิงอรรถ ***-->
## {{mono | ShiftRows}} (เลื่อนแถว) —ขั้นการย้ายสดมภ์—แถวสุดท้าย 3 แถวของ''สเตต''จะเลื่อนหมุนเป็นจำนวนหนึ่ง
## {{mono | MixColumns}} (ผสมสดมภ์) —เป็นปฏิบัติการผสมเชิงเส้น ซึ่งดำเนินการต่อสดมภ์ของ''สเตต'' เป็นการรวมไบต์ 4 ไบต์ของสดมภ์แต่ละสดมภ์
## {{mono | AddRoundKey}}
# รอบสุดท้าย (จึงรวมเป็น 10, 12 หรือ 14 รอบทั้งหมด)
## {{mono | SubBytes}}
## {{mono | ShiftRows}}
## {{mono | AddRoundKey}}

=== ขั้น {{mono | SubBytes}} ===
[[ไฟล์:AES-SubBytes.svg|right|320px|thumbnail|
ในขั้น {{mono | SubBytes}} ไบต์แต่ละไบต์ของ''สเตต''จะแทนด้วยเลขในตารางค้นหาแบบ 8 บิต คือ ''S'' 
ดังนั้น ''b<sub>ij</sub>'' = ''S(a<sub>ij</sub>)''
]]
ในขั้น {{mono | SubBytes}} ไบต์แต่ละไบต์ คือ <math>a_{i,j}</math> ของ''สเตต''จะแทนที่ด้วย {{mono | SubByte}} <math>S(a_{i,j})</math> โดยใช้ตารางค้นหา คือ substitution box (S-box)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ในวิทยาการเข้ารหัสลับ '''S-box''' หรือ '''substitution box''' (กล่องการแทนที่) เป็นองค์ประกอบพื้นฐานของขั้นตอนวิธีการเข้ารหัสลับด้วยกุญแจสมมาตร เป็นองค์ประกอบที่ใช้สำหรับแทนที่
สำหรับบล็อกไซเฟอร์ นี้ทำเพื่อปิดบังความสัมพันธ์ระหว่างกุญแจกับข้อความไซเฟอร์ (เป็น Shannon's property of confusion)

โดยทั่วไป S-box รับบิตอินพุตจำนวนหนึ่ง คือ m แล้วแปลงมันเป็นบิตเอาต์พุตอีกจำนวนหนึ่งคือ n ซึ่งไม่ต้องเท่ากับ m<ref>{{cite conference | author = Chandrasekaran, J.|display-authors=et al| date = 2011 | title = A Chaos Based Approach for Improving Non Linearity in the S-Box Design of Symmetric Key Cryptosystems | book-title = Advances in Networks and Communications: First International Conference on Computer Science and Information Technology, CCSIT 2011, Bangalore, India, January 2-4, 2011 |editor= Meghanathan, N.|display-editors=et al| at = Part 2, p. 516 | isbn = 978-3-642-17877-1 }}</ref>
S-box แบบ {{nowrap |m×n}} สามารถ[[ทำให้เกิดผล]]โดยเป็นตารางค้นหาโดยมีคำ 2<sup>m</sup> แต่ละคำมีขนาด {{nowrap |n บิต}}
ปกติจะใช้ตารางตายตัว เช่น ใน Data Encryption Standard (DES) แต่ไซเฟอร์บางอย่างก็สร้างตารางอย่างไม่ตายตัวจากกุญแจ (เช่น ขั้นตอนวิธีการเข้ารหัสลับของ Blowfish และ Twofish)
}}<!--*** จบเชิงอรรถ ***-->
แบบ 8 บิต
ปฏิบัติการนี้ทำให้ได้ความไม่เป็นเชิงเส้น (non-linearity) ในไซเฟอร์
S-box ที่ใช้ได้มาจาก[[ตัวผกผันการคูณ]]ของฟิลด์จำกัด (2<sup>8</sup>) ซึ่งรู้ว่ามีคุณสมบัติไม่ใช่เชิงเส้น (non-linearity) ที่ดี 
เพื่อหลีกเลี่ยงการโจมตีอาศัยคุณสมบัติพีชคณิตที่ง่าย ๆ S-box สร้างโดยรวมฟังก์ชันผกผัน (inverse function) กับการแปลงสัมพรรคที่หาตัวผกผันได้ (invertible affine transformation<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ใน[[เรขาคณิต]] '''การแปลงสัมพรรค''' (affine transformation, affine map, affinity)
(จากคำละตินว่า affinis แปลว่า เชื่อมต่อกับ) เป็น[[ฟังก์ชัน (คณิตศาสตร์)|ฟังก์ชัน]]ระหว่างปริภูมิสัมพรรค (affine spaces) ซึ่งคงสภาพ[[จุด (เรขาคณิต)|จุด]] [[เส้นตรง]] และ[[ระนาบ]]
อนึ่ง [[เซต (คณิตศาสตร์)|เซต]]ของเส้นขนานก็จะคงขนานกันหลังการแปลง
แต่การแปลงสัมพรรคอาจไม่คงสภาพ[[มุม]]ระหว่างเส้นหรือ[[ระยะทาง]]ระหว่างจุด แม้จะคงอัตราของระยะทางระหว่างจุดที่อยู่บนเส้นตรงเดียวกัน
}}<!--*** จบเชิงอรรถ ***-->)
S-box ยังเลือกไม่ให้มีจุดตรึง (ดังนั้นจึงเป็น derangement<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ใน[[คณิตศาสตร์เชิงการจัด]] '''derangement''' เป็น[[การเรียงสับเปลี่ยน]]สมาชิกของ[[เซต (คณิตศาสตร์)|เซต]]โดยไม่ให้สมาชิกอยู่ในตำแหน่งเดิม
กล่าวอีกอย่างก็คือ derangement เป็นการเรียงสับเปลี่ยนที่ไร้จุดตรึง (fixed point)
}}<!--*** จบเชิงอรรถ ***-->) 
คือ <math> S(a_{i,j}) \neq a_{i,j} </math> และไม่ให้มีจุดตรึงตรงกันข้าม คือ <math> S(a_{i,j}) \oplus a_{i,j} \neq \text{FF}_{16} </math>
เมื่อถอดรหัส ขั้น {{mono | InvSubBytes}} (ซึ่งเป็น[[ฟังก์ชันผกผัน]]ของ {{mono | SubBytes}}) จะต้องหาค่าผกผันของการแปลงสัมพรรคก่อนแล้วจึงหาตัวผกผันการคูณ 

=== ขั้น {{mono | ShiftRows}} ===
[[ไฟล์:AES-ShiftRows.svg|right|320px|thumbnail|
ในขั้น {{mono | ShiftRows}} ไบต์จากแต่ละแถวของ''สเตต''จะเลื่อนหมุนไปทางซ้าย
จำนวนที่เลื่อนจะต่างกันในแต่ละแถว
]]
ขั้น {{mono | ShiftRows}} ปฏิบัติการต่อแถวของ''สเตต''
คือเลื่อนหมุนไบต์แต่ละไบต์ของแถวไปช่วงระยะหนึ่ง 
โดยแถวแรกจะไม่เลื่อน
แถวสองเลื่อนหมุนไปทางซ้ายหนึ่งช่อง
โดยนัยเดียวกัน แถวสามและแถวสี่จะเลื่อนหมุนไป 2 และ 3 ช่องตามลำดับ<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
รูปแปรของเรนดาลที่มีบล็อกใหญ่กว่ามีระยะการเลื่อนที่ต่างกันบ้าง
สำหรับบล็อกขนาด 128 และ 192 บิต วิธีการเลื่อนจะเหมือนกัน
คือ แถว <math>n</math> จะเลื่อนหมุนไปทางซ้ายเป็นจำนวน <math>n-1</math> ช่อง/ไบต์
สำหรับบล็อกขนาด 256 บิต แถวแรกไม่เลื่อน แถวสอง สาม และสี่ จะเลื่อนไป 1, 3 และ 4 ไบต์ตามลำดับ โดยนี่ใช้กับไซเฟอร์เรนดาลเมื่อใช้บล็อกขนาด 256 บิต เทียบกับเออีเอสที่ไม่ใช้บล็อกขนาดนี้
}}<!--*** จบเชิงอรรถ ***-->
ด้วยวิธีนี้ สดมภ์แต่ละสดมภ์ของ''สเตต''ที่เป็นเอาต์พุตของขั้น {{mono | ShiftRows}} จะประกอบด้วยไบต์จากสดมภ์ทุกสดมภ์ของ''สเตต''ที่เป็นอินพุต
ขั้นนี้สำคัญเพราะเลี่ยงไม่ให้สดมภ์แต่ละสดมภ์เข้ารหัสลับอย่างเป็นอิสระจากกันและกัน ไม่งั้นแล้วเออีเอสก็จะเสื่อมเป็นบล็อกไซเฟอร์{{Efn-ua | name = BlockCipher}} {{nowrap |4 บล็อก}}ที่เป็นอิสระจากกันและกัน

=== ขั้น {{mono | MixColumns}} ===
[[ไฟล์:AES-MixColumns.svg|right|320px|thumbnail|
ในขั้น {{mono | MixColumns}} สดมภ์แต่ละสดมภ์ของ''สเตต''จะคูณด้วย[[พหุนาม]]ตายตัว คือ <math>c(x)</math>
]]
{{โครงส่วน}}
ในขั้น {{mono | MixColumns}} ไบต์สี่ไบต์จากสดมภ์แต่ละสดมภ์จะนำมารวมกันโดยใช้การแปลงเชิงเส้นที่หาตัวผกผันได้ (invertible linear transformation) 
ฟังก์ชัน {{mono | MixColumns}} รับไบต์สี่ไบต์เป็นอินพุต และออกไบต์สี่ไบต์เป็นเอาต์พุต โดยไบต์อินพุตแต่ละไบต์จะมีผลต่อไบต์เอาต์พุตทั้งหมด
เมื่อรวมกับขั้น {{mono | ShiftRows}} ขั้น {{mono | MixColumns}} นี้ให้คุณสมบัติความแพร่ (diffusion)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
ใน[[วิทยาการเข้ารหัสลับ]] '''confusion''' (ความสับสน) และ '''diffusion''' (ความแพร่) เป็นคุณสมบัติสองอย่างของปฏิบัติการไซเฟอร์ที่ปลอดภัย ดังที่ Claude Shannon ได้ระบุในรายงานราชการลับ ''A Mathematical Theory of Cryptography''<ref>{{Cite journal | doi = 10.1007/978-0-387-74075-1_3 | title = Model Based Inference in the Life Sciences: A Primer on Evidence | year = 2008 | pp = 51-82 }}<!-- Model Based Inference in the Life Sciences: A Primer on Evidence. Springer New York. 2008-01-01. pp. 51-82. ISBN 9780387740737. doi:10.1007/978-0-387-74075-1_3 --></ref>
คุณสมบัติเหล่านี้ช่วยป้องกันการเจาะวิเคราะห์การเข้ารหัสลับด้วยวิธีทางสถิติและวิธีอื่น ๆ

แนวคิดเหล่านี้สำคัญในการออกแบบ[[ฟังก์ชันแฮช]]และฟังก์ชันสร้างเลขสุ่มเทียม (pseudorandom number) ที่ความไม่สัมพันธ์กันระหว่างค่าต่าง ๆ ที่สร้างเป็นเรื่องสำคัญอย่างยิ่งยวด
}}<!--*** จบเชิงอรรถ ***-->
ต่อไซเฟอร์

ในปฏิบัติการนี้ สดมภ์แต่ละสดมภ์จะแปลงด้วยเมทริกซ์ เป็นการคูณเมทริกซ์มีค่าตายตัวกับสดมภ์โดยได้ผลเป็นค่าสดมภ์ใหม่ใน''สเตต''
::<math>
\begin{bmatrix}
b_{0,j} \\ b_{1,j} \\ b_{2,j} \\ b_{3,j}
\end{bmatrix} = \begin{bmatrix}
2 & 3 & 1 & 1 \\
1 & 2 & 3 & 1 \\
1 & 1 & 2 & 3 \\
3 & 1 & 1 & 2
\end{bmatrix} \begin{bmatrix}
a_{0,j} \\ a_{1,j} \\ a_{2,j} \\ a_{3,j}
\end{bmatrix}
\qquad 0 \le j \le 3
</math>
การ "คูณ" เมทริกซ์ประกอบด้วยการคูณและการบวกช่องในเมทริกซ์ การบวกใช้ปฏิบัติการ XOR ส่วนการคูณเป็นปฏิบัติการที่ซับซ้อน บทความนี้ไม่กล่าวถึงรายละเอียด

=== ขั้น {{mono | AddRoundKey}} ===
[[ไฟล์:AES-AddRoundKey.svg|right|320px|thumbnail|
ในขั้น {{mono | AddRoundKey}} ไบต์แต่ละไบต์ของ''สเตต''จะรวมเข้ากับไบต์ของกุญแจรอบย่อย (round subkey) ด้วยปฏิบัติการ {{nowrap |{{abbr |XOR| Exclusive or }} (⊕)}}
]]
ในขั้น {{mono | AddRoundKey}} กุญแจย่อย (subkey) จะรวมเข้ากับ''สเตต''
ในแต่ละรอบ กุญแจย่อยจะทำมาจากกุญแจหลักด้วยขั้นตอนวิธี Rijndael key schedule{{Efn-ua | name = RijndaelKeySchedule }}
กุญแจย่อยแต่ละตัวมีขนาดเท่ากับ''สเตต''
ไบต์แต่ละไบต์ของ''สเตต''จะรวมเข้ากับไบต์ของกุญแจย่อยที่ตรงกันด้วย bitwise XOR

=== การเร่งความเร็ว ===
ในระบบที่ใช้คำ (word) มีขนาด {{nowrap |32 บิต}}หรือยาวกว่า สามารถเร่งปฏิบัติการของไซเฟอร์นี้ด้วยการรวมขั้นตอน {{mono | SubBytes}} และ {{mono | ShiftRows}} กับ {{mono | MixColumns}} โดยแปลงให้เป็นการค้นหาในตารางตามลำดับ
ซึ่งใช้[[ตาราง]]เก็บค่า {{nowrap |32 บิต}} มีรายการ {{nowrap |256 รายการ}} ทั้งหมด {{nowrap |4 ตาราง}} รวมใช้ที่ {{nowrap |4096 ไบต์}}
การคำนวณรอบหนึ่งจึงสามารถทำด้วยการค้นหาตาราง 16 ครั้ง และปฏิบัติการ XOR แบบ 32 บิต 12 ครั้ง ตามด้วยปฏิบัติการ XOR แบบ 32 บิต 4 ครั้งในขั้น {{mono | AddRoundKey}}<ref>{{cite web | authors = Bertoni, Guido; Breveglieri, Luca; Fragneto, Pasqualina; Macchetti, Marco; Marchesin, Stefano | date = 2003 | title = Efficient software implementation of AES on 32-bit platforms | series = Lecture Notes in Computer Science: 2523 | url = http://www.springerlink.com/index/UVX5NQGNN55VK199.pdf | format = [[PDF]] | publisher = Springer }}{{ลิงก์เสีย|date=สิงหาคม 2021 |bot=InternetArchiveBot |fix-attempted=yes }}</ref>
อีกอย่างหนึ่ง การค้นหาตารางสามารถทำกับตารางเก็บค่า {{nowrap |32 บิต}}มีรายการ 256 รายการตารางเดียว (รวมใช้ที่ 1024 ไบต์) ตามด้วยการหมุนเป็นวง (circular rotation)

อนึ่ง ถ้าใช้วิธีทำเป็นไบต์ ก็จะสามารถรวมขั้น {{mono | SubBytes}}, {{mono | ShiftRows}} และ {{mono | MixColumns}} เป็นปฏิบัติการเดียวต่อรอบ<ref>{{cite web |url=https://code.google.com/p/byte-oriented-aes |title=byte-oriented-aes – A public domain byte-oriented implementation of AES in C – Google Project Hosting |access-date=2012-12-23 |url-status=live |archive-url=https://web.archive.org/web/20130720155538/http://code.google.com/p/byte-oriented-aes/ |archive-date=2013-07-20 }}</ref>

== ความปลอดภัย ==
จนถึงเดือนพฤษภาคม 2009 มีแต่การโจมตีแบบ side-channel attack<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua | name = SideChannelAttack | 
ใน[[วิทยาการเข้ารหัสลับ]] '''side-channel attack''' หมายถึงการโจมตีใดก็ได้ที่ใช้ข้อมูลจาก[[การทำให้เกิดผล]]บนเครื่องเข้ารหัสลับ แทนที่จะใช้กำลังล้วน ๆ (brute force) หรือที่จะหาจุดอ่อนทางทฤษฎีของ[[ขั้นตอนวิธี]]การเข้ารหัสลับ 
ยกตัวอย่างเช่น ข้อมูลเกี่ยวกับช่วงเวลา การใช้[[พลังงาน]] การรั่วไหลของ[[รังสีแม่เหล็กไฟฟ้า]] หรือแม้แต่[[เสียง]]ก็อาจให้ข้อมูลเพิ่มเพื่อถือโอกาสใช้เจาะทำลายระบบ
}}<!--*** จบเชิงอรรถ ***-->
เท่านั้นที่สามารถเจาะเออีเอสซึ่งเข้ารหัสแบบสมบูรณ์อย่างได้ผล โดยทำได้กับ[[การทำให้เกิดผล]]เฉพาะบางอย่างเท่านั้น
[[สำนักงานความมั่นคงแห่งชาติ]]สหรัฐ (NSA) ได้ทบทวนไซเฟอร์{{Efn-ua | name = cipher}}ที่เข้าแข่งขันทั้งหมดรวมทั้งเรนดาล และเบื้องต้นได้ระบุว่า ทั้งหมดปลอดภัยพอเข้ารหัสลับข้อมูลที่ไม่ใช่ราชการลับของรัฐบาลกลางสหรัฐ
ต่อมาในเดือนมิถุนายน 2003 รัฐบาลกลางสหรัฐได้ประกาศว่า จะใช้เออีเอสป้องกันราชการลับ โดยระบุว่า
{{quote|
แบบและความเข้มแข็งของขั้นตอนวิธีเออีเอสโดยใช้กุญแจทุกขนาด (คือ 128, 192 และ {{nowrap |256 บิต}}) เพียงพอป้องกันราชการลับจนถึงระดับ SECRET
ส่วนข้อมูลระดับ TOP SECRET ต้องใช้ขนาดกุญแจ 192 หรือ {{nowrap |256 (บิต)}}
การทำเออีเอสให้เกิดผลในผลิตภัณฑ์ที่มุ่งป้องกันระบบหรือข้อมูลเกี่ยวกับความมั่นคงแห่งชาติต้องได้การทบทวนและการรับรองจากสำนักงานความมั่นคงแห่งชาติ (NSA) ก่อนจัดหามาใช้<ref>{{cite web |url=http://csrc.nist.gov/groups/ST/toolkit/documents/aes/CNSS15FS.pdf |title=National Policy on the Use of the Advanced Encryption Standard (AES) to Protect National Security Systems and National Security Information |author=Lynn Hathaway |date=June 2003 |access-date=2011-02-15 |url-status=live |archive-url=https://web.archive.org/web/20101106122007/http://csrc.nist.gov/groups/ST/toolkit/documents/aes/CNSS15FS.pdf |archive-date=2010-11-06 }}</ref>}}

เออีเอสตามมาตรฐานต้องคำนวณเข้ารหัส {{nowrap |10 รอบ}}สำหรับกุญแจขนาด {{nowrap |128 บิต}}, {{nowrap |12 รอบ}}สำหรับกุญแจ {{nowrap |192 บิต}} และ {{nowrap |14 รอบ}}สำหรับกุญแจ {{nowrap |256 บิต}}
จนถึงปี 2006 วิธีการโจมตีทางทฤษฎีซึ่งจัดว่าดีที่สุดและตีพิมพ์เป็นผลงาน ใช้โจมตีเออีเอสที่มีกุญแจ 128 บิตและคำนวณเข้ารหัส 7 รอบ, กุญแจ 192 บิตที่คำนวณ 8 รอบ และกุญแจ 256 บิตที่คำนวณ 9 รอบ<ref name="improved">[[John Kelsey (cryptanalyst)|John Kelsey]], [[Stefan Lucks]], [[Bruce Schneier]], [[Mike Stay]], [[David A. Wagner|David Wagner]], and [[Doug Whiting]], ''Improved Cryptanalysis of Rijndael'', [[Fast Software Encryption]], 2000 pp213–230 {{cite web |url=http://www.schneier.com/paper-rijndael.html |title=Academic: Improved Cryptanalysis of Rijndael - Schneier on Security |access-date=2007-03-06 |url-status=live |archive-url=https://web.archive.org/web/20070223215007/http://www.schneier.com/paper-rijndael.html |archive-date=2007-02-23 }}</ref>

=== วิธีการโจมตีที่รู้ ===
สำหรับนักวิทยาการเข้ารหัสลับ การทอน (break) การเข้ารหัสลับก็คือปฏิบัติการโจมตีที่ทำได้เร็วกว่าการใช้กำลังล้วน ๆ ซึ่งเป็นการลองถอดรหัสด้วยกุญแจที่อาจจะใช่เป็นลำดับ
ดังนั้น การทอนจึงรวมวิธีที่จริง ๆ ยังทำไม่ได้ด้วยเทคโนโลยีปัจจุบัน
ซึ่งแม้จะปฏิบัติไม่ได้ แต่ก็ช่วยให้เข้าใจรูปแบบของความอ่อนแอ
การโจมตีด้วยกำลังล้วน ๆ ซึ่งได้ผลที่สุด ปรากฏต่อสาธารณชน ทำต่อขั้นตอนวิธีการเข้ารหัสลับแบบบล็อกไซเฟอร์{{Efn-ua | name = BlockCipher}}ซึ่งได้[[ทำให้เกิดผล]]อย่างกว้างขวางที่สุด เป็นการโจมตีกุญแจ RC5 ขนาด {{nowrap |64 บิต}} โดย distributed.net<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
'''distributed.net''' เป็นโครงการคอมพิวเตอร์แบบกระจาย (distributed computing) ที่พยายามแก้ปัญหาที่ต้องคำนวณมากโดยใช้ไซเคิลซีพียูหรือจีพียูที่ไม่งั้นแล้วก็เท่ากับอยู่เฉย ๆ 
เป็นโครงการที่บริหารโดย[[องค์การไม่แสวงหาผลกำไร]]สหรัฐ คือ Distributed Computing Technologies, Incorporated (DCTI)
}}<!--*** จบเชิงอรรถ ***-->
ในปี 2006<ref name=ZD20060430>{{cite web|url=http://www.zdnet.com/blog/ou/is-encryption-really-crackable/204|title=Is encryption really crackable?|first1=George|last1=Ou|publisher=Ziff-Davis|date=April 30, 2006|archive-url=https://web.archive.org/web/20100808173034/http://www.zdnet.com/blog/ou/is-encryption-really-crackable/204|archive-date=August 8, 2010|access-date=August 7, 2010|url-status=live}}</ref>

ขนาดของกุญแจเท่ากับเพิ่มเป็นสองเท่าต่อ[[บิต]]ทุกบิตที่เพิ่มในกุญแจ และถ้ากุญแจอาจมีค่าอะไรก็ได้ใน[[ความน่าจะเป็น|โอกาส]]เท่า ๆ กัน การโจมตีด้วยกำลังล้วน ๆ เพื่อหากุญแจเท่ากับต้องเพิ่มเวลาเป็นสองเท่าโดยเฉลี่ย
ซึ่งเท่ากับต้องเพิ่มเวลาเป็น[[เลขชี้กำลัง]]ตามขนาดกุญแจ
แต่ขนาดกุญแจเพียงอย่างเดียวไม่ได้แน่นอนว่าปลอดภัยเพราะก็มีไซเฟอร์{{Efn-ua | name = cipher}}ที่มีกุญแจใหญ่มากแต่พบว่าอ่อนแอ

เออีเอสใช้หลักพีชคณิตที่ค่อนข้างง่าย<ref>{{cite web |url=http://www.isg.rhul.ac.uk/~sean/ |title=Sean Murphy |publisher=University of London |access-date=2008-11-02 |url-status=live |archive-url=https://web.archive.org/web/20090131145521/http://www.isg.rhul.ac.uk/~sean/ |archive-date=2009-01-31 }}</ref>
ในปี 2002 นักวิทยาการเข้ารหัสชาวอังกฤษและออสเตรเลียได้แสดงการโจมตีโดยทฤษฎีซึ่งเรียกว่า XSL attack เพื่อแสดงจุดอ่อนของขั้นตอนวิธีเออีเอส โดยส่วนหนึ่งก็เพราะความซับซ้อนไม่มากของการคำนวณแบบไม่ใช่เชิงเส้นของมัน<ref>{{cite web | url = http://www.schneier.com/crypto-gram-0209.html | title = AES News, Crypto-Gram Newsletter, September 15, 2002 | author = Bruce Schneier | access-date = 2007-07-27| archive-url= https://web.archive.org/web/20070707105715/http://www.schneier.com/crypto-gram-0209.html| archive-date= 7 July 2007 | url-status= live}}</ref>
แต่ต่อมานักวิชาการอื่น ๆ ก็ได้แสดงว่า การโจมตีที่กล่าวนี้ทำให้ได้ผลไม่ได้

ในช่วงการเลือกไซเฟอร์เพื่อเป็นมาตรฐานเออีเอส ผู้พัฒนาวิธีคู่แข่งได้เขียนถึงขั้นตอนวิธีเรนดาลไว้ว่า "...พวกผมเป็นห่วงเรื่องการใช้ (ไซเฟอร์นี้) ...
ในโปรแกรมประยุกต์ที่ความปลอดภัยสำคัญขีดสุด"<ref name="rijndael-algebraic">
{{cite conference|author = Niels Ferguson|author-link = Niels Ferguson|author2 = Richard Schroeppel|author2-link = Richard Schroeppel|author3 = Doug Whiting|title = A simple algebraic representation of Rijndael|book-title = Proceedings of Selected Areas in Cryptography, 2001, Lecture Notes in Computer Science|pages = 103–111|publisher = [[Springer-Verlag]]|date = 2001|url = http://www.macfergus.com/pub/rdalgeq.html|format = PDF/[[PostScript]]|access-date = 2006-10-06|archive-url= https://web.archive.org/web/20061104080748/http://www.macfergus.com/pub/rdalgeq.html|archive-date= 4 November 2006| citeseerx = 10.1.1.28.4921}}</ref>
แต่ในปลายปี 2000 หลังจากได้ตั้งเออีเอสแล้ว ผู้พัฒนาขั้นตอนวิธีคู่แข่งคือ Twofish ได้เขียนว่า แม้เขาคิดว่า วันหนึ่งจะเกิดการโจมตีเชิงวิชาการ (คือโดยทฤษฎีที่นำไปใช้จริง ๆ ไม่ได้ด้วยเทคโนโลยีปัจจุบัน) ต่อเรนดาลที่ได้ผล แต่เขา "ไม่เชื่อว่า จะมีใครค้นพบการโจมตีที่ทำให้สามารถอ่านการสื่อสารที่เข้ารหัสโดยเรนดาลได้"<ref>Bruce Schneier, [http://www.schneier.com/crypto-gram-0010.html AES Announced] {{webarchive|url=https://web.archive.org/web/20090201005720/http://www.schneier.com/crypto-gram-0010.html |date=2009-02-01 }}, October 15, 2000</ref>

ในปี 2009 มีการค้นพบ related-key attack{{Efn-ua | name = RelatedKeyAttack }} (การโจมตีโดยมีกุญแจสัมพันธ์) แบบหนึ่งที่ถือเอาประโยชน์จากความเรียบง่ายของ AES key schedule{{Efn-ua | name = RijndaelKeySchedule }} โดยมีความซับซ้อนที่ 2<sup>119</sup>
ซึ่งเมื่อถึงปลายปีได้ทำให้เร็วขึ้นเหลือ 2<sup>99.5</sup><ref name=relkey />
แต่ related-key attack ก็ไม่เป็นปัญหาในเกณฑ์วิธีการเข้ารหัสลับที่ออกแบบและทำให้เกิดผลอย่างเหมาะสม เพราะโปรแกรมย่อมไม่ยอมให้ใช้กุญแจที่สัมพันธ์กัน 

ในปี 2009 นักวิชาการได้ตีพิมพ์ (เป็นเอกสารที่ยังไม่ได้[[ทบทวนโดยผู้รู้เสมอกัน]]) การโจมตีเออีเอส-256 โดยใช้กุญแจที่สัมพันธ์กันเพียงแค่ {{nowrap |2 ตัว}} ใช้การคำนวณ{{nowrap |ซับซ้อนระดับ 2<sup>39</sup>}} เพื่อเจาะกุญแจขนาด {{nowrap |256 บิต}}เมื่อคำนวณเข้ารหัสเพียงแค่ 9 รอบ หรือ 2<sup>45</sup> เมื่อคำนวณเข้ารหัส 10 รอบโดยใช้การโจมตีแบบ related subkey attack ที่กุญแจสัมพันธ์กันยิ่งกว่า หรือ 2<sup>70</sup> เมื่อเจาะการเข้ารหัสที่คำนวณ 11 รอบ<ref>{{cite web
|url=http://eprint.iacr.org/2009/374|title=Key Recovery Attacks of Practical Complexity on AES Variants With Up To 10 Rounds|author=Alex Biryukov|author2=Orr Dunkelman|author3= Nathan Keller|author4= Dmitry Khovratovich|author5= Adi Shamir|date=2009-08-19|access-date=2010-03-11| archive-url= https://web.archive.org/web/20100128050656/http://eprint.iacr.org/2009/374| archive-date= 28 January 2010 | url-status= live}}</ref>
แต่จริง ๆ เออีเอส {{nowrap |256 บิต}}ต้องเข้ารหัส {{nowrap |14 รอบ}} การโจมตีเยี่ยงนี้จึงไม่ได้ผลต่อเออีเอสที่ใช้จริง ๆ 
การนำไปใช้ได้จริง ๆ ของการโจมตีที่มีกุญแจสัมพันธ์กันยิ่งกว่าก็ถูกวิจารณ์<ref>{{Cite book|title=On Some Symmetric Lightweight Cryptographic Designs|last=Agren|first=Martin|publisher=Dissertation, Lund University|year=2012|pages=38–39}}</ref>
แม้โดยวินเซ็นต์ เรเม็นเอง<ref>{{cite journal |url=http://eprint.iacr.org/2010/337.pdf |title=Practical-Titled Attack on AES-128 Using Chosen-Text Relations |author=Vincent Rijmen |date=2010 |url-status=live |archive-url=https://web.archive.org/web/20100702184311/http://eprint.iacr.org/2010/337.pdf |archive-date=2010-07-02 }}</ref>

ในปลายปี 2009 มีการตีพิมพ์การโจมตีแบบ known-key distinguishing attack แรกต่อเออีเอส-128 ที่เข้ารหัส 8 รอบ<ref>{{cite web|url = http://eprint.iacr.org/2009/531|title = Super-Sbox Cryptanalysis: Improved Attacks for AES-like permutations|author = Henri Gilbert|author2 = Thomas Peyrin|date = 2009-11-09|access-date = 2010-03-11|url-status = live|archive-url  = https://web.archive.org/web/20100604095754/http://eprint.iacr.org/2009/531|archive-date = 2010-06-04}}</ref>
โดยมีความซับซ้อนเชิงเวลาที่ 2<sup>48</sup> และความซับซ้อนเชิงความจำที่ 2<sup>32</sup>
แต่เพราะเออีเอส-128 ต้องเข้ารหัส 10 รอบ การโจมตีนี้จึงไม่มีผลต่อเออีเอสที่ใช้กันจริง ๆ

การโจมตีโดยกู้คืนกุญแจ (key-recovery attack) ต่อเออีเอสเต็ม ๆ ได้พิมพ์ในงานปี 2011<ref>{{cite web|url=http://research.microsoft.com/en-us/projects/cryptanalysis/aesbc.pdf |title=Biclique Cryptanalysis of the Full AES |author=Andrey Bogdanov |author2=Dmitry Khovratovich |author3=Christian Rechberger |name-list-style=amp |date=2011 |url-status=dead |archive-url=https://web.archive.org/web/20120905154705/http://research.microsoft.com/en-us/projects/cryptanalysis/aesbc.pdf |archive-date=2012-09-05 }}</ref>
การโจมตีเป็นแบบ biclique attack และเร็วกว่าการโจมตีที่ใช้กำลังอย่างเดียวถึง 4 เท่า
โดยต้องใช้การดำเนินการ 2<sup>126.2</sup> ครั้งเพื่อกู้คืนกุญแจ AES-128
สำหรับ AES-192 และ AES-256 ต้องใช้การดำเนินการ 2<sup>190.2</sup> และ 2<sup>254.6</sup> ครั้งตามลำดับ
ต่อมาผลจึงได้ทำเร็วขึ้นเป็น 2<sup>126.0</sup> สำหรับ AES-128, 2<sup>189.9</sup> สำหรับ AES-192 และ 2<sup>254.3</sup> สำหรับ AES-256<ref name=":0">{{cite book |author=Biaoshuai Tao |title = Information Security and Privacy|volume = 9144|pages = 39–56|author2=Hongjun Wu |name-list-style=amp |date=2015|doi=10.1007/978-3-319-19962-7_3 |series = Lecture Notes in Computer Science|isbn = 978-3-319-19961-0}}</ref> เหล่านี้เป็นผลที่ได้ดีสุดสำหรับการโจมตีโดยกู้คืนกุญแจต่อเออีเอส

นี่เป็นประโยชน์เพียงเล็กน้อย เพราะกุญแจขนาด {{nowrap |126 บิต}} (แทนที่อาจใช้คือ {{nowrap |128 บิต}}) ยังต้องใช้เวลาเป็น{{nowrap |พัน ๆ ล้านปี}}ถ้าใช้ฮาร์ดแวร์ปัจจุบันหรือแบบที่ยังพอเล็งเห็นล่วงหน้าได้
อนึ่ง ผู้เขียนคำนวณว่า การโจมตีเร็วสุดโดยใช้เทคนิกของผู้เขียนต่อเออีเอสที่ใช้กุญแจ {{nowrap |128 บิต}}ยังต้องเก็บข้อมูล {{nowrap |2<sup>88</sup> บิต}}
เท่ากับข้อมูล {{nowrap |38 ล้านล้าน[[เทระไบต์]]}} ซึ่งมากกว่าข้อมูลที่เก็บบนคอมพ์ทั้งหมดในโลกในปี 2016 
ดังนั้น นี่จึงไม่ทำลายความปลอดภัยของเออีเอส<ref>{{cite web|author=Jeffrey Goldberg|title=AES Encryption isn't Cracked|url=https://blog.agilebits.com/2011/08/18/aes-encryption-isnt-cracked/|access-date=30 December 2014|url-status=dead|archive-url=https://web.archive.org/web/20150108165723/https://blog.agilebits.com/2011/08/18/aes-encryption-isnt-cracked/|archive-date=8 January 2015|date=2011-08-18}}</ref>
ต่อมา ข้อมูลที่ต้องเก็บลดได้เหลือ {{nowrap |2<sup>56</sup> บิต}}<ref name=":0"/>
ซึ่งเท่ากับ {{nowrap |9,007 เทระไบต์}}

ตามข้อมูลรั่วของ[[เอ็ดเวิร์ด สโนว์เดน]] สำนักงานความมั่นคงแห่งชาติสหรัฐ (NSA) กำลังวิจัยว่า การโจมตีการเข้ารหัสลับโดยใช้สถิติเทา (tau statistic) อาจช่วยเจาะเออีเอสได้หรือไม่<ref>{{cite news|url=http://www.spiegel.de/international/germany/inside-the-nsa-s-war-on-internet-security-a-1010361.html|title=Inside the NSA's War on Internet Security|author=((SPIEGEL ONLINE, Hamburg, Germany))|date=28 December 2014|newspaper=SPIEGEL ONLINE|access-date=4 September 2015|url-status=live|archive-url=https://web.archive.org/web/20150124202809/http://www.spiegel.de/international/germany/inside-the-nsa-s-war-on-internet-security-a-1010361.html|archive-date=24 January 2015}}</ref>

ดังนั้นในปัจจุบัน จึงยังไม่มีการโจมตีที่ปฏิบัติได้ซึ่งช่วยให้บุคคลที่ไม่มีกุญแจสามารถอ่านข้อมูลที่เข้ารหัสลับด้วยเออีเอสเมื่อ[[ทำให้เกิดผล]]อย่างถูกต้อง

=== Side-channel attack ===
side-channel attack{{Efn-ua | name = SideChannelAttack}} เป็นการโจมตีไซเฟอร์แบบไม่ได้ทำต่อกล่องดำ ดังนั้น ไซเฟอร์ต่าง ๆ จึงไม่ได้ออกแบบต่อต้านการโจมตีเช่นนี้โดยตรง แต่ก็มีผลทางการปฏิบัติ
คือ มันโจมตี[[การทำให้เกิดผล]]ของไซเฟอร์ที่ฮาร์ดแวร์หรือซอฟต์แวร์มีข้อมูลรั่วไหลอย่างไม่ได้ตั้งใจ
มีการโจมตีเช่นนี้หลายอย่างที่รู้สำหรับเออีเอส

ในกลางปี 2005 นักวิทยาการเข้ารหัสลับชาวเยอรมัน-อเมริกันประกาศการโจมตีอาศัยเวลาของ[[แคช]] (cache-timing attack) ที่เขาใช้เจาะทำลาย[[เซิร์ฟเวอร์]]ซึ่งทำตามสั่ง (custom server) และใช้การเข้ารหัสลับเออีอัสด้วยคลัง OpenSSL<ref name="bernstein_timing">{{cite web |url=http://cr.yp.to/papers.html#cachetiming |title=Index of formal scientific papers |publisher=Cr.yp.to |access-date=2008-11-02 |url-status=live |archive-url=https://web.archive.org/web/20080917042758/http://cr.yp.to/papers.html#cachetiming |archive-date=2008-09-17 }}</ref>
โดยต้องใช้ข้อความธรรมดา {{nowrap |200 ล้านข้อความ}}<ref>{{cite web | url = http://www.schneier.com/blog/archives/2005/05/aes_timing_atta_1.html | title = AES Timing Attack | author = Bruce Schneier | access-date = 2007-03-17| archive-url= https://web.archive.org/web/20070212015727/http://www.schneier.com/blog/archives/2005/05/aes_timing_atta_1.html| archive-date= 12 February 2007 | url-status= live}}</ref>
และเซิฟเวอร์ได้ตั้งให้รั่วข้อมูลเกี่ยวกับเวลาให้มากสุดเท่าที่จะเป็นไปได้ (คือ มันรายงานจำนวนไซเคิลที่ต้องใช้เพื่อเข้ารหัส)
นักวิชาการผู้นี้ชี้ว่า "การลดความแม่นยำของตราเวลาเซิร์ฟเวอร์ หรือการกำจัดมันจากคำตอบสนองของเซิฟเวอร์ ไม่สามารถระงับการโจมตีได้ เพราะระบบลูกข่ายเพียงต้องจับเวลาไปกลับ (round-trip timing) ที่กำหนดด้วยนาฬิกาตนเอง แล้วชดเชยข้อมูลรบกวนที่มีเพิ่มขึ้นโดยสร้าง[[ค่าเฉลี่ย]]ของตัวอย่างเป็นจำนวนเพิ่มขึ้น"<ref name="bernstein_timing" />

ในปลายปี 2005 นักวิทยาการเข้ารหัสลับสามท่านตีพิมพ์เอกสารแสดงการโจมตีอาศัยเวลาของแคชต่อการทำเออีเอสให้เกิดผลที่พบใน OpenSSL และฟังกชันเข้ารหัสลับส่วนดิสก์ของ[[ลินุกซ์]] คือ {{nowrap |<code>dm-crypt</code>}}<ref>{{cite journal |url=http://www.wisdom.weizmann.ac.il/~tromer/papers/cache.pdf |title=Cache Attacks and Countermeasures: the Case of AES |date=2005-11-20 |author=Dag Arne Osvik |author2=Adi Shamir |author3=Eran Tromer |access-date=2008-11-02 |url-status=live |archive-url=https://web.archive.org/web/20060619221046/http://www.wisdom.weizmann.ac.il/%7Etromer/papers/cache.pdf |archive-date=2006-06-19 }}</ref>
การโจมตีหนึ่งสามารถได้กุญแจเออีเอสหลังจากเพียงแค่การเข้ารหัสลับเพียง 800 ครั้งโดยใช้เวลาเพียงแค่ 65 มิลลิวินาที
แต่ผู้โจมตีก็จำเป็นต้องดำเนินงานโปรแกรมในระบบหรือแพล็ตฟอร์มที่เข้ารหัสเออีเอสได้

ในปลายปี 2009 มีการตีพิมพ์การโจมตีต่อการทำให้เกิดผลบนฮาร์ดแวร์โดยใช้การวิเคราะห์ความผิดพร่องต่าง (differential fault analysis)<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
'''การวิเคราะห์ความผิดพร่องต่าง''' (differential fault analysis, DFA) เป็นการโจมตีแบบ side channel attack ในวิทยาการเข้ารหัสลับ
หลักก็คือเหนี่ยวนำให้เกิดความผิดพร่อง (fault) คือภาวะสิ่งแวดล้อมที่ไม่ได้คาดหวัง ในการทำการเข้ารหัสลับให้เกิดผล เพื่อให้มันแสดงสถานะภายใน
}}<!--*** จบเชิงอรรถ ***-->
ซึ่งทำให้สามารถกู้คืนกุญแจด้วยความซับซ้อน 2<sup>32</sup><ref>{{cite journal |url=http://eprint.iacr.org/2009/581.pdf |title=A Diagonal Fault Attack on the Advanced Encryption Standard |author=Dhiman Saha |author2=Debdeep Mukhopadhyay |author3=Dipanwita RoyChowdhury |access-date=2009-12-08| archive-url= https://web.archive.org/web/20091222070135/http://eprint.iacr.org/2009/581.pdf| archive-date= 22 December 2009 | url-status= live}}</ref>

ในปลายปี 2010 นักวิชาการได้ตีพิมพ์เอกสารอธิบายวิธีการที่ทำได้เกือบในเวลาจริงเพื่อกู้คืนกุญแจลับจาก AES-128 โดยไม่จำเป็นต้องได้ข้อความธรรมดาหรือข้อความไซเฟอร์
เป็นการโจมตีที่ใช้ได้กับการทำเออีเอส-128 ให้เกิดผลที่ใช้ compression table เช่น OpenSSL<ref>{{cite journal |url=http://eprint.iacr.org/2010/594.pdf |title=Cache Games – Bringing Access-Based Cache Attacks on AES to Practice |author=Endre Bangerter |author2=David Gullasch |author3=Stephan Krenn |name-list-style=amp |date=2010 |url-status=live |archive-url=https://web.archive.org/web/20101214092512/http://eprint.iacr.org/2010/594.pdf |archive-date=2010-12-14 }}</ref>
การโจมตีนี้ก็จำเป็นต้องดำเนินการโปรแกรมที่ไม่เป็นเอกสิทธิบนระบบที่เข้ารหัสลับเหมือนกัน ซึ่งอาจทำได้ด้วย[[มัลแวร์]]อันง่ายกว่าการเข้าถึงบัญชีผู้ดูแลระบบ (root account) มาก<ref>{{cite web |url=http://news.ycombinator.com/item?id=1937902 |title=Breaking AES-128 in realtime, no ciphertext required |publisher=Hacker News |access-date=2012-12-23 |url-status=live |archive-url=https://web.archive.org/web/20111003193004/http://news.ycombinator.com/item?id=1937902 |archive-date=2011-10-03 }}</ref>

ในต้นปี 2016 นักวิชาการได้แสดง side-channel attack{{Efn-ua | name = SideChannelAttack}} ที่มีประสิทธิภาพมากต่อการทำเออีเอสให้เกิดผลซึ่งสามารถกู้คืนกุญแจ {{nowrap |128 บิต}}ทั้งหมดอาศัยเพียงแค่ข้อความธรรมดา/ข้อความไซเฟอร์เพียงแค่ 6-7 บล็อก นี่ดีขึ้นอย่างมากเทียบกับงานก่อน ๆ ที่ต้องอาศัยการเข้ารหัสลับระหว่าง 100-1,000,000 ครั้ง<ref>{{cite book | year=2016 | author1=Ashokkumar C. |title = 2016 IEEE European Symposium on Security and Privacy (EuroS&P)| pages=261–275 | author2=Ravi Prakash Giri | author3=Bernard Menezes | doi=10.1109/EuroSP.2016.29 | isbn=978-1-5090-1751-5 | s2cid=11251391 }}</ref> 
แต่ก็ต้องสามารถดำเนินการโปรแกรมในระดับผู้ใช้เหมือนกันโดยดำเนินการขั้นตอนวิธีเก็บกุญแจเพียงไม่ถึงนาที

อย่างไรก็ดี ซีพียูปัจจุบันจำนวนมากมี[[ชุดคำสั่งเครื่องเออีเอส|ชุดคำสั่งเออีเอสในฮาร์ดแวร์]] (เช่น [[AES-NI]]) ซึ่งช่วยป้องกัน side-channel attack ที่อาศัยเวลาเช่นตามที่ว่า<ref>{{cite web |url=https://cseweb.ucsd.edu/~kmowery/papers/aes-cache-timing.pdf |title=Are AES x86 Cache Timing Attacks Still Feasible? |website=cseweb.ucsd.edu |url-status=live |archive-url=https://web.archive.org/web/20170809152309/http://cseweb.ucsd.edu/~kmowery/papers/aes-cache-timing.pdf |archive-date=2017-08-09 }}</ref><ref>{{cite web |url=https://www.intel.in/content/dam/doc/white-paper/enterprise-security-aes-ni-white-paper.pdf |title=Archived copy |access-date=2017-07-26 |url-status=live |archive-url=https://web.archive.org/web/20130331041411/http://www.intel.in/content/dam/doc/white-paper/enterprise-security-aes-ni-white-paper.pdf |archive-date=2013-03-31 }} Securing the Enterprise with Intel AES-NI.</ref>

== การตรวจรับรองของ NIST/CSEC ==
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ ({{abbr |NIST| National Institute of Standards and Technology }}) ร่วมกับสถาบันความปลอดภัยการสื่อสาร ({{abbr |CSE| Communications Security Establishment }}) ของรัฐบาลกลางแคนาดาดำเนินการโปรแกรม Cryptographic Module Validation Program (CMVP) ซึ่งตรวจรับรอง[[มอดูล]]การเข้ารหัสลับ (cryptographic modules) 
ข้อมูลราชการรัฐบาลกลางสหรัฐที่อ่อนไหวแต่ไม่จัดว่าลับต้องเข้ารหัสลับด้วยมอดูลการเข้ารหัสลับที่ได้การตรวจรับรองตาม {{abbr |FIPS| Federal Information Processing Standard }} 140-2 (มาตรฐานการประมวลข้อมูลของรัฐบาลกลางสหรัฐ) ซึ่ง NIST เป็นผู้กำหนด
คือ "ผลิตภัณฑ์การเข้ารหัสลับเพื่อป้องกันข้อมูลลับจะต้องรับรองโดยสำนักงานความมั่นคงแห่งชาติ (NSA) และผลิตภัณฑ์การเข้ารหัสลับที่หมายป้องกันข้อมูลที่อ่อนไหวจะต้องรับรองตาม FIPS 140-2 ของ NIST"<ref name="cnss.gov">{{cite web |url=http://www.cnss.gov/Assets/pdf/nstissp_11_fs.pdf |title=Archived copy |access-date=2012-05-29 |url-status=dead |archive-url=https://web.archive.org/web/20120421103818/http://www.cnss.gov/Assets/pdf/nstissp_11_fs.pdf |archive-date=2012-04-21 }}</ref>

รัฐบาลแคนาดายังแนะนำให้กระทรวงต่าง ๆ ของแคนาดาใช้มอดูลเข้ารหัสลับที่ได้ตรวจรับรองตาม {{nowrap |FIPS 140}} สำหรับข้อมูลที่ไม่จัดว่าลับ (unclassified)

แม้ FIPS 197 จะเป็นเอกสารที่เจาะจงขั้นตอนวิธีเออีเอสโดยเฉพาะ ผู้ขายสินค้ามักจะขอให้ CMVP ตรวจรับรองขั้นตอนวิธีหลายอย่างพร้อมกัน ๆ (เช่น Triple&nbsp;DES หรือ SHA1) ภายใต้ระเบียบของ {{nowrap |FIPS 140}}
ดังนั้น จึงไม่ค่อยมีมอดูลเข้ารหัสลับที่ตรวจรับรองโดยเฉพาะเพียงของ {{nowrap |FIPS 197}} และองค์กร NIST เองก็ไม่ได้ระบุมอดูลที่ผ่านการตรวจรับรองแบบ {{nowrap |FIPS 197}} ในรายการเฉพาะตนเองบน[[เว็บไซต์]]ขององค์กร
โดยทั่วไป มอดูลที่ผ่านการตรวจรับรองแบบ {{nowrap |FIPS 197}} จะระบุด้วยสัญกรณ์ {{nowrap |"FIPS approved: AES"}} พร้อมกับหมายเลขรับรองภายในรายการมอดูลที่ผ่านการตรวจรับรองแบบ {{nowrap |FIPS 140}}

ส่วนโปรแกรม Cryptographic Algorithm Validation Program (CAVP) ของ NIST เช่นกัน<ref>{{cite web |url=http://csrc.nist.gov/groups/STM/cavp/index.html |title=NIST.gov – Computer Security Division – Computer Security Resource Center |publisher=Csrc.nist.gov |access-date=2012-12-23 |url-status=live |archive-url=https://web.archive.org/web/20130102044410/http://csrc.nist.gov/groups/STM/cavp/index.html |archive-date=2013-01-02 }}</ref>
อนุญาตให้องค์กรอื่น ๆ ตรวจความถูกต้องของการทำขั้นตอนวิธีเออีเอสให้เกิดผลโดยมีค่าใช้จ่ายน้อยกว่า{{ต้องการอ้างอิงเฉพาะส่วน | date = December 2010}}
มอดูลที่ได้ตรวจรับรองสำเร็จก็จะปรากฏเป็นรายการในเว็บเพจของ NIST เช่นกัน<ref>{{cite web|url=http://csrc.nist.gov/groups/STM/cmvp/documents/140-1/140val-all.htm|title=Validated FIPS 140-1 and FIPS 140-2 Cryptographic Modules|url-status=dead|archive-url=https://web.archive.org/web/20141226152243/http://csrc.nist.gov/groups/STM/cmvp/documents/140-1/140val-all.htm|archive-date=2014-12-26|access-date=2014-06-26}}</ref>
การทดสอบตามที่ว่าต้องทำก่อนจะตรวจรับรองตามระเบียบ {{nowrap |FIPS 140-2}} ที่จะว่าต่อไป
เพราะการรับรองของ CAVP ไม่ได้บ่งว่ามอดูลได้ทำขั้นตอนวิธีให้เกิดผลอย่างปลอดภัย
ดังนั้น มอดูลที่ยังไม่ผ่านการตรวจรับรองแบบ {{nowrap |FIPS 140-2}} หรือการอนุมัติโดยเฉพาะจาก NSA จึงไม่จัดว่าปลอดภัยเพื่อใช้ป้องกันข้อมูลราชการของรัฐบาลกลางสหรัฐ<ref name="cnss.gov"/>

การได้การรับรองตาม {{nowrap |FIPS 140-2}} ทำได้ยากทั้งโดยเทคนิกและโดยค่าใช้จ่าย<ref name="openssl">{{cite web |author=OpenSSL, openssl@openssl.org |url=http://openssl.org/docs/fips/fipsnotes.html |title=OpenSSL's Notes about FIPS certification |publisher=Openssl.org |access-date=2012-12-23 |url-status=dead |archive-url=https://web.archive.org/web/20130102203126/http://www.openssl.org/docs/fips/fipsnotes.html |archive-date=2013-01-02 }}</ref>
เพราะมีชุดการทดสอบมาตรฐานและมีการทบทวนรหัสคำสั่งที่ต้องผ่านภายในไม่กี่อาทิตย์
ค่าใช้จ่ายเพื่อทดสอบในแล็บที่อนุมัติอาจสูงมาก (เช่น มากกว่า {{nowrap |30,000 [[เหรียญสหรัฐ]]}} หรือประมาณ {{nowrap |9 แสนบาท}})<ref name="openssl" />
ซึ่งยังไม่รวมเวลาที่ต้องใช้เขียนและตรวจสอบมอดูล ทำเอกสาร และเตรียมมอดูลเพื่อตรวจรับรอง
หลังจากได้การรับรองแล้ว ยังต้องกลับทำอีกถ้ามอดูลเปลี่ยน
ซึ่งอาจจะเป็นแค่การอัปเดตเอกสารง่าย ๆ เมื่อการเข้ารหัสลับไม่ได้เปลี่ยนไป หรืออาจจะต้องตรวจสอบใหม่ถ้าการเปลี่ยนแปลงมีผลต่อการเข้ารหัสลับ

== เวกเตอร์การทดสอบ ==
เวกเตอร์การทดสอบเป็นชุดข้อความไซเฟอร์บวกกับข้อความธรรมดาและกุญแจเข้ารหัส
NIST เผยแพร่เวกเตอร์การทดสอบเป็นตัวชุดอิงที่เรียกว่า AES Known Answer Test (KAT) Vectors<!--*** เริ่มเชิงอรรถ ***-->{{Efn-ua |
'''AES Known Answer Test (KAT) Vectors''' อยู่ในซิปไฟล์ที่เว็บไซต์ของ {{abbr |NIST| National Institute of Standard and Technology }} คือ [http://csrc.nist.gov/groups/STM/cavp/documents/aes/KAT_AES.zip KAT_AES.zip] หรือ {{webarchive | url = https://web.archive.org/web/20091023001419/http://csrc.nist.gov/groups/STM/cavp/documents/aes/KAT_AES.zip | date = 2009-10-23 }}
}}<!--*** จบเชิงอรรถ ***-->

== ความเร็ว ==
การทำได้เร็วในเครื่องที่มี[[แรม]]น้อยเป็นเกณฑ์ในการเลือกไซเฟอร์เพื่อเป็นเออีเอส
ซึ่งทำงานได้ดีใน[[ฮาร์ดแวร์]]หลายอย่างมากมาย เริ่มตั้งแต่[[สมาร์ตการ์ด]]ขนาด 8 บิตไปจนถึง[[คอมพิวเตอร์]]กำลังแรงสูง

ในเครื่อง[[เพนเทียมโปร]] การเข้ารหัสลับเออีเอสต้องใช้รอบซีพียู 18 รอบ (ไซเคิล) ต่อ[[ไบต์]]<ref>{{cite web |url=http://www.schneier.com/paper-aes-performance.pdf |title=Performance Comparisons of the AES submissions |last1=Schneier |first1=Bruce |last2=Kelsey |first2=John |last3=Whiting |first3=Doug |last4=Wagner |first4=David |last5=Hall |first5=Chris |last6=Ferguson |first6=Niels |date=1999-02-01 |access-date=2010-12-28 |url-status=live |archive-url=https://web.archive.org/web/20110622084238/http://www.schneier.com/paper-aes-performance.pdf |archive-date=2011-06-22 }}</ref>
ซึ่งเสมอกับปริมาณงาน (throughput) ประมาณ {{nowrap |11 [[เมกะบิตต่อวินาที]]}}สำหรับ[[ซีพียู]] {{nowrap |200 [[เมกะเฮิรตซ์]]}}
สำหรับซีพียู {{nowrap |Pentium M 1.7&nbsp;กิกะเฮิรตซ์}} ปริมาณงานอยู่ที่ {{nowrap |60 เมกะบิตต่อวินาที}}

สำหรับซีพียู{{nowrap |[[อินเทล]] Core i3/i5/i7}} และ{{nowrap |[[เอเอ็มดี]] Ryzen}} รุ่นที่สนับสนุน[[ชุดคำสั่งเออีเอส]] (AES-NI instruction set) ปริมาณงานอาจเป็นหลายจิกะบิตต่อวินาที (มีแม้ที่มากกว่า {{nowrap |10 จิกะบิตต่อวินาที}})<ref>{{cite web |url=https://www.vortez.net/articles_pages/amd_ryzen_7_1700x_review,7.html |title=AMD Ryzen 7 1700X Review}}</ref>

== การทำให้เกิดผล ==
{{บทความหลัก |การทำเออีเอสให้เกิดผล}}
มีการทำเออีเอสให้เกิดผลในรูปแบบต่าง ๆ มากมายรวมทั้ง[[คลังโปรแกรม]] [[โปรแกรมประยุกต์]]ต่าง ๆ และในฮาร์ดแวร์เอง 

;คลังโปรแกรม
{{Div col | colwidth = 20em}}
* [[ภาษาซี|C]]/[[ภาษาแอสเซมบลี|ASM]], 
* [[ภาษาซีพลัสพลัส|C++]], 
* [[ภาษาซีชาร์ป|C#]]/[[.NET]], 
* Go, 
* [[ภาษาจาวา|จาวา]], 
* [[ภาษาไพทอน|ไพทอน]], 
* [[จาวาสคริปต์]] 
* LabVIEW {{Div col end}}

;โปรแกรมประยุกต์
{{Div col | colwidth = 30em}}
* โปรแกรมอัดไฟล์ (เช่น 7z, PKZIP, RAR, WinZip)
* โปรแกรมเข้ารหัสลับไฟล์ (เช่น Gpg4win, Ncrypt)
* ระบบไฟล์เข้ารหัสลับ (เช่น NTFS)
* โปรแกรมเข้ารหัสลับดิสก์หรือส่วนดิสก์ (เช่น BitLocker, [[VeraCrypt]])
* การสื่อสารอย่างปลอดภัยภายในเครือข่าย[[แลน]] (เช่น 802.11i, {{nowrap |ITU-T G.hn}}){{Div col end}}

;ฮาร์ดแวร์
* ซีพียู[[อินเทล]]และ[[เอเอ็มดี]]ที่สนับสนุน[[ชุดคำสั่งเออีเอส]] (AES-NI)
* [[เมนเฟรม]]ไอบีเอ็ม zSeries
* ซีพียู SPARC S3 ที่สนับสนุน[[ชุดคำสั่งเออีเอส]] (AES-NI)

'''{{ข้อมูลเพิ่มเติม |ชุดคำสั่งเครื่องเออีเอส}}'''

== เชิงอรรถ ==
{{notelist | group = upper-alpha |30em}}

== อ้างอิง ==
{{รายการอ้างอิง}}
{{refbegin}}
* {{cite book |first1=Nicolas |last1=Courtois |first2=Josef |last2=Pieprzyk |chapter=Cryptanalysis of Block Ciphers with Overdefined Systems of Equations |editor-first=Yuliang |editor-last=Zheng |title=Advances in Cryptology – ASIACRYPT 2002: 8th International Conference on the Theory and Application of Cryptology and Information Security, Queenstown, New Zealand, December 1–5, 2002, Proceedings |chapter-url=https://books.google.com/books?id=OZ1qCQAAQBAJ&pg=PA268 |date=2003 |publisher=Springer |isbn=978-3-540-36178-7 |pages=268–287|title-link=ASIACRYPT }}
* {{cite book |first1=Joan |last1=Daemen |first2=Vincent |last2=Rijmen |title=The Design of Rijndael: AES – The Advanced Encryption Standard |url=https://books.google.com/books?id=tfjd6icCUoYC&pg=PR4 |date=2002 |publisher=Springer |isbn=978-3-540-42580-9 }}
* {{cite book |first1=Christof |last1=Paar |first2=Jan |last2=Pelzl |title=Understanding Cryptography: A Textbook for Students and Practitioners |url=https://books.google.com/books?id=f24wFELSzkoC&pg=PA87 |date=2009 |publisher=Springer |isbn=978-3-642-04101-3 |pages=87–122}} [https://archive.today/20130105232834/http://wiki.crypto.rub.de/Buch/sample_chapters.php alternate link] (companion web site contains online lectures on AES)
{{refend}}

== แหล่งข้อมูลอื่น ==
{{refbegin |30em}}
*{{cite web | title = 256bit key — 128bit block — AES | work = Cryptography — 256 bit Ciphers: Reference source code and submissions to international cryptographic designs contests | publisher = EmbeddedSW | url = http://embeddedsw.net/Cipher_Reference_Home.html }}
*{{cite journal | title = Advanced Encryption Standard (AES) | date = 2001-11-26 | journal = Federal Information Processing Standards | id = 197 | url = http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf | doi = 10.6028/NIST.FIPS.197 }}
* [http://csrc.nist.gov/archive/aes/rijndael/wsdindex.html AES algorithm archive information - (old, unmaintained)]
*{{cite web | title = Part 3: Block ciphers | date = 2010-12-15 | work = Information technology — Security techniques — Encryption algorithms | publisher = ISO | edition = 2nd | id = ISO/IEC 18033-3:2010(E) | url = https://webstore.iec.ch/preview/info_isoiec18033-3%7Bed2.0%7Den.pdf | access-date = 2019-07-01 | archive-date = 2022-10-09 | archive-url = https://ghostarchive.org/archive/20221009/https://webstore.iec.ch/preview/info_isoiec18033-3%7Bed2.0%7Den.pdf | url-status = dead }}
* [http://www.formaestudio.com/rijndaelinspector/archivos/Rijndael_Animation_v4_eng.swf Animation of Rijndael] - AES deeply explained and animated using Flash (by Enrique Zabala / University ORT / Montevideo / Uruguay). This animation (in English, Spanish, and German) is also part of [[CrypTool|CrypTool 1]] (menu Indiv. Procedures -> Visualization of Algorithms -> AES).
{{refend}}
[[หมวดหมู่:เออีเอส]]