[論文レビュー] An Efficient Vectorized Hash Table for Batch Computations

Alakuijala, Jyrki, Bill Cox+1 more|arXiv (Cornell University)|Dec 19, 2016

Cryptographic Implementations and Security参考文献 5被引用数 4

ひとこと要約

この論文では、SIMD乗算および並べ替え命令を活用して、1 KiBの入力に対してSipHashよりも5.2倍速い性能を達成する高パフォーマンスな鍵付きハッシュ関数であるHighwayHashを紹介する。SipHashの回転ベースの混合処理を32ビット乗算およびバイト並べ替えに置き換えることで、強力な拡散性と既知の暗号解析手法に対する耐性を維持しながら、効率的なベクトル化並列処理を実現する。

ABSTRACT

HighwayHash is a new pseudo-random function based on SIMD multiply and permute instructions for thorough and fast hashing. It is 5.2 times as fast as SipHash for 1 KiB inputs. An open-source implementation is available under a permissive license. We discuss design choices and provide statistical analysis, speed measurements and preliminary cryptanalysis. Assuming it withstands further analysis, strengthened variants may also substantially accelerate file checksums and stream ciphers.

研究の動機と目的

• 安全なハッシュに適した強力な擬似乱数的性質を維持しつつ、SipHashの代替としてより高速な関数を設計すること。
• 特に32×32ビット乗算およびバイト並べ替えを含む現代CPUのSIMD命令を活用して、混合処理の改善とスルーレートの向上を図ること。
• メッセージ認証や乱数生成などのバッチ処理および高スルーレートワークロードにおける、従来の安全なハッシュ関数の性能ボトルネックを解消すること。
• 回転攻撃や微分暗号解析などの一般的な攻撃に対して耐性を持つ、暗号的に堅牢でオープンソースのハッシュ関数を提供すること。

提案手法

• AVX2命令を用いた32×32ビット乗算を活用して強力な混合処理を実現し、SipHashの遅い回転-XOR-加算チェーンを置き換える。
• 複数のランの間接ハッシュ状態を組み合わせるための新規な「ジッパー・マージ」技術を採用し、並べ替えおよび乗算演算を用いる。
• 4つの独立したランを備えたツリー・ハッシュ構造を採用し、再帰的ハッシュ処理によって結果を統合して64ビット出力を得る。
• 隣接するランを混合する「並べ替え・更新」ステップを含む独自の最終段階を採用し、全64ビットにわたるアバランチ効果を保証する。
• 秘密鍵依存の並べ替えとベクトル化された演算に依存することで、SATソルバーによる鍵回復攻撃を防止する。
• パディングおよび入力長の処理を組み込むことで、末尾にゼロバイトを含むメッセージの出力が一意になるようにする。

実験結果

リサーチクエスチョン

• RQ1 SIMD乗算および並べ替え命令を活用することで、SipHashよりも高速かつ安全な鍵付きハッシュ関数を設計できるか？
• RQ2 回転ベースの混合処理を乗算に置き換えることで、暗号的に強固な方法で性能と拡散性が向上するか？
• RQ3 回転攻撃や微分暗号解析といった既知の暗号解析手法に対して、そのハッシュ関数が耐性を持つのか？
• RQ4 実際のワークロードにおいて、HighwayHashはSipHashおよびMurmur3やCityHashといった他の高速ハッシュ関数と比較して、どのように性能を発揮するか？
• RQ5 メッセージ認証や乱数生成に使用するにあたって、速度を犠牲にせずに十分なセキュリティを確保できるか？

主な発見

• 1 KiBの入力に対して、HighwayHashはSipHashに比べて5.2倍のスルーレートを達成し、測定された性能は約0.20サイクル/バイトである。
• smhasherおよびRDRANDに類似した均一性テストをすべて合格しており、出力分布の高品質性が裏付けられている。
• 平均で128回の有効な32ビット加算があるため、回転攻撃は実行不可能であり、バイアスは2^1024分の1という無視できるほど小さい。
• 乗算に基づく論理の複雑さのため、SATソルバーを用いた鍵回復攻撃は極めて困難であり、SipHashのようなARXベースの関数よりも耐性が高い。
• CLHash や Fingerprint64 といった類似関数に見られるような、ゼロ入力パターンでの分布テスト失敗といった既知の弱みに対しても、セキュアである。
• Apache 2.0ライセンスの下でオープンソース実装が提供されており、生産環境での採用が可能である。