不是标准。开放评审。

XAES-512 基于最早于 2007 年发布的 Protectstar Extended AES。它使用 4×16 状态矩阵 (512 位)，而不是标准 AES 使用的 4×4 矩阵 (128 位)，并保持 Rijndael 的 AddRoundKey、MixColumns 和 SubBytes S-box 不变；ShiftRows 偏移、轮数和密钥扩展均已扩展。

如今，该名称代表 “Extended Algorithm, Enhanced Security.” XAES-512 不是 FIPS 197 所定义的 AES，也不是其替代品。

XAES-512 提供单一认证构造 — 而不是多个可自由选择的运行模式。保密性由 Counter mode (CTR) 提供；完整性和真实性由 HMAC-SHA-512 按 Encrypt-then-MAC 方案提供（依据 Bellare–Namprempre 的通用组合）。认证标签会在每次解密前被验证。

消息格式定义为 Wire Format v1 (配置文件 0x02)。关联数据 (Associated Data) 被纳入认证。

密钥通过 PBKDF2-HMAC-SHA-512 从密码派生 — 每条消息使用随机 salt，并进行 220,000 次迭代 (配置文件 0x02)。随后 HKDF-SHA-512 将密钥分离为加密密钥和认证密钥。密码采用 UTF-8 编码并进行 Unicode NFC 规范化，以便相同输入在不同平台上生成相同密钥。

头部中传输的迭代字段设置了上限（实现限制），因此消息无法在标签验证前强制执行过量计算。

轮数遵循文档中描述的 Rijndael 派生推导：由分组大小和密钥大小得到的较大字数起决定作用。对于 512 位分组，该值为 16 个字 → 22 轮；配置文件 0x02 结合扩展 ShiftRows 结构再增加两轮，因此总计 24 轮。

基于 Rijndael 规格的扩展 KeyExpansion 过程：

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

使用标准偏移 {0,1,2,3} 时，512 位变体在随附的结构扩散测量中只有在 6 轮后才达到完全扩散。所选偏移 {0,1,4,5} 在该测量中 4 轮后达到完全扩散。

扩散结论可以使用包中的 diffusion_check.py 工具复现。core-kats.json 文件包含 core cipher 的额外已知答案测试。