SubBytes
El paso de AES que sustituye cada byte del estado por otro mediante una S-box fija: la única operación no lineal de todo el cifrado.
La S-box no es una tabla cualquiera. Cada byte se interpreta como un elemento de GF(28), se reemplaza por su inverso multiplicativo y después pasa por una transformación afín. Se eligió así porque su mejor diferencial tiene probabilidad 4/256 y su mejor aproximación lineal es casi igual de débil, y en eso consiste toda la defensa de AES frente al criptoanálisis diferencial y el lineal. Sin SubBytes, AES sería un sistema de ecuaciones lineales, y esos se resuelven antes del almuerzo.
La ironía es que la tabla, tan pulcra en lo matemático, acabó siendo el punto débil de las implementaciones. El software consulta la S-box en memoria, y los accesos que dependen de datos secretos se filtran a través de la caché. Por eso existe AES-NI, que desde 2010 ejecuta el paso en hardware.