Como cifrar e decifrar texto com AES-256-GCM

Para que serve o AES Cipher

O AES Cipher permite cifrar e decifrar texto com AES-256-GCM, utilizando uma chave de 32 bytes derivada da palavra-passe. É adequado quando precisa de transformar um texto num token e, mais tarde, recuperar o conteúdo com a mesma palavra-passe. A ferramenta aceita texto, palavra-passe e uma escolha entre cifragem e decifragem.

Como cifrar e decifrar texto

1. Introduza o texto na área de entrada. Pode inserir o conteúdo original para o cifrar ou colar um token completo para o decifrar.

2. Introduza a palavra-passe. Quando o texto não está vazio, a palavra-passe é necessária tanto para cifrar como para decifrar. Se deixar o texto vazio, a ferramenta devolve um resultado vazio com sucesso antes de verificar se foi fornecida uma palavra-passe.

3. Selecione a operação de cifragem ou de decifragem.

4. Execute a operação. Para cifragem, o resultado é um token de texto em Base64 seguro para URLs. Esse token inclui um prefixo de versão, o salt, o nonce e o texto cifrado autenticado. Para decifragem, forneça o token completo e a mesma palavra-passe usada na cifragem.

5. Guarde o token sem o alterar e mantenha a palavra-passe separada. Não corte caracteres, não acrescente espaços e não junte a palavra-passe ao token.

Como interpretar o resultado

O mesmo texto cifrado com a mesma palavra-passe pode produzir tokens diferentes. Cada cifragem cria um salt aleatório de 16 bytes e um nonce aleatório de 12 bytes; por isso, a diferença entre dois tokens não indica, por si só, que a operação falhou.

Uma decifragem válida recupera o texto UTF-8 original, mas apenas quando o token completo e a palavra-passe correspondente são fornecidos. Um token malformado, alterado ou acompanhado de uma palavra-passe errada conduz ao mesmo erro combinado de token inválido ou palavra-passe incorreta. O resultado não identifica qual dessas condições causou a falha.

A cifragem usa AES-256-GCM. A chave é derivada da palavra-passe através de PBKDF2-HMAC-SHA256, com 600 000 iterações e um salt aleatório de 16 bytes.

Exemplo prático

Uma pessoa quer transformar o texto «Relatório de março» num token e recuperar esse conteúdo mais tarde com a mesma palavra-passe.

Introduza «Relatório de março», forneça uma palavra-passe escolhida para o efeito e selecione a cifragem. Depois, use o token completo e a mesma palavra-passe numa operação de decifragem.

A cifragem devolve um único token de texto em Base64 seguro para URLs, com prefixo de versão, salt, nonce e texto cifrado autenticado. Uma decifragem válida devolve o texto UTF-8 original.

Limitações

• A recuperação do texto depende do token completo e da palavra-passe usada na cifragem. Perante um token malformado, alterado ou uma palavra-passe errada, o erro combinado não revela qual condição falhou.

Erros comuns

• Se a decifragem falhar, uma causa possível é ter sido colado um token incompleto ou alterado, ou ter sido introduzida uma palavra-passe diferente. Confirme o token completo e repita a operação com a palavra-passe usada na cifragem; a mensagem combinada não distingue entre estas causas.

Perguntas frequentes

É necessária uma palavra-passe para usar a ferramenta?

Quando o texto não está vazio, sim: é necessária uma palavra-passe para cifrar e para decifrar. Com o texto vazio, a ferramenta devolve primeiro um resultado vazio com sucesso, sem verificar a palavra-passe.

O mesmo texto gera sempre o mesmo token?

Não necessariamente. A mesma combinação de texto e palavra-passe pode gerar um token diferente em cada cifragem, porque é criado um salt e um nonce aleatórios para cada operação.

Posso decifrar um token sem a palavra-passe original?

Não. A decifragem precisa do token completo e da mesma palavra-passe usada na cifragem. Um token malformado ou alterado e uma palavra-passe errada produzem o mesmo erro combinado de token inválido ou palavra-passe incorreta.