例如：明文分组0,1,2…15，变成明文矩阵，每个数字是一个字节

0，4，8，12

1，5，9，13

2，6，10，14

3，7，11，15

以字节为单位分成16B，再把16B填入4*4的方阵中

A、初始轮

将128bit的明文矩阵与128位的初始密钥进行异或变成状态矩阵

B、重复轮

把字节替代、行移位、列混淆和轮密钥加这四个操作重复执行好几轮。

重复次数和Key的长度有关，128bit重复10轮、192-12轮、AES256-14轮，前面几轮操作一样，最后一轮去掉列混淆

字节替代

把初始轮得到的状态矩阵经过一个置换盒S，会输出一个新的矩阵，叫它为字节混淆矩

置换方式，想置换的字节为0x

1


2

,则查S盒表的第0x

01


行

和0x

02


列

，得到值0xc9,然后把0x12替换为0xc9

PS：可以不查表，通过求乘法逆元、仿射得到

行移位

把矩阵每一行

循环

左移（第一行不动，第二行左移1B，第三行左移2B，第四行左移3B，移出的元素拼接到右侧），变成一个新矩阵/行移位矩阵

列混淆

用模不可约多项式将每列混乱，得到一个新的矩阵，我们称之为列混乱矩阵

让行移位矩阵

左乘

特定矩阵得到混淆阵

例如a是行移位矩阵的列，b是混淆后的列

在矩阵计算中的加法，乘法是基于GF(2^8)的运算，加法相当于两个字节的异或

乘法用移位计算，例如0x03*a1，0x03=00000011，

1、把0x03拆分成(0000 0001)和(0000 0010)，

2、让a1分别乘以这两个数，再将两个乘积异或

如果a1再左移时发生溢出，让移位后结果

异或上0x1B

轮密钥加

在每一轮结束的时候，把列混淆阵和下一轮的密钥做异或，得到新的矩阵，称之为加轮秘钥矩阵，就是下一轮的状态矩阵

每执行一次AES加密，其实内部一共进行了11轮加密，包括1个初始轮，9个拥有4个操作的重复轮，1个拥有3个操作的最终轮，才算得到密文

密钥扩展算法

当分组长度和密钥长度都是128位时,AES的加密算法共迭代10轮，需要10个子密钥

AES的密钥扩展的目的是将输入的128位密钥扩展成11个128位的子密钥

AES的密钥扩展算法是以

字（4B）

为一个基本单位

一个字刚好是密钥矩阵的一列，最后要变成11个密钥，共44个字。

AES首先将初始密钥输入到一个4*4的状态矩阵中

扩展过程说明：将初始密钥以列为主，转化为4个32 bit的字，分别记为w[0，1，2，3]；按照如下方式，依次求解w[i]，其中i是整数并且属于[4,43]

这个4*4矩阵的每一列的4个字节组成一个字，矩阵4列的4个字依次命名为W[0]、W[1]、W[2]和W[3]，它们构成一个以字为单位的数组W。例如，设密钥K为”abcdefghijklmnop”,则K0 = ‘a’,K1 = ‘b’, K2 = ‘c’,K3 = ‘d’,W[0] = “abcd”。

接着，对W数组扩充40个新列，构成总共44列的扩展密钥数组。新列以如下的递归方式产生：

1.如果i不是4的倍数，那么第i列由如下等式确定：

W[i]=W[i-4]⨁W[i-1]

2.如果i是4的倍数，那么第i列由如下等式确定：

W[i]=W[i-4]⨁T(W[i-1])

其中，T是一个有点复杂的函数。

函数T由3部分组成：字循环、字节代换和轮常量异或，这3部分的作用分别如下。

a.字循环：将1个字中的4个字节循环左移1个字节。即将输入字[b0, b1, b2, b3]变换成[b1,b2,b3,b0]。

b.字节代换：对字循环的结果使用S盒进行字节代换。

c.轮常量异或：将前两步的结果同轮常量Rcon[j]进行异或，其中j表示轮数。

轮常量Rcon[j]是一个字，其值见下表。

下面举个例子：

设初始的128位密钥为：

3C A1 0B 21 57 F0 19 16 90 2E 13 80 AC C1 07 BD

那么4个初始值为：

W[0] = 3C A1 0B 21

W[1] = 57 F0 19 16

W[2] = 90 2E 13 80

W[3] = AC C1 07 BD

下面求扩展的第1轮的子密钥(W[4],W[5],W[6],W[7])。

由于4是4的倍数，所以：

W[4] = W[0] ⨁ T(W[3])

T(W[3])的计算步骤如下：

1. 循环地将W[3]的元素移位：AC C1 07 BD变成C1 07 BD AC;

2. 将 C1 07 BD AC 作为S盒的输入，输出为78 C5 7A 91;

3. 将78 C5 7A 91与第一轮轮常量Rcon[1]进行异或运算，将得到79 C5 7A 91，因此，T(W[3])=79 C5 7A 91，故

W[4] = 3C A1 0B 21 ⨁ 79 C5 7A 91 = 45 64 71 B0

其余的3个子密钥段的计算如下：

W[5] = W[1] ⨁ W[4] = 57 F0 19 16 ⨁ 45 64 71 B0 = 12 94 68 A6

W[6] = W[2] ⨁ W[5] =90 2E 13 80 ⨁ 12 94 68 A6 = 82 BA 7B 26

W[7] = W[3] ⨁ W[6] = AC C1 07 BD ⨁ 82 BA 7B 26 = 2E 7B 7C 9B

所以，第一轮的密钥为 45 64 71 B0 12 94 68 A6 82 BA 7B 26 2E 7B 7C 9B。