[論文レビュー] Hardware Design and Analysis of the ACE and WAGE Ciphers

Mark D. Aagaard, Marat Sattarov+1 more|arXiv (Cornell University)|Sep 26, 2019

Cryptographic Implementations and Security参考文献 7被引用数 7

ひとこと要約

本論文は、NIST 軽量暗号標準化プロセスに提出された、ACEおよびWAGEという2つの軽量認証付き暗号化方式のハードウェア設計および分析を提示する。両方式ともsLiSCPスポンジデュプレックスモードを採用しており、ACE（320ビット状態）およびWAGE（259ビット状態）は、効率的なハードウェアマッピングを最適化している。結果として、ACEは7260 GEで最大4 bpcのスループットを達成し、WAGEは11080 GEで4.57 bpcのスループットを実現した。4つのASICライブラリを用いた評価により、高い並列性下でも優れた面積効率およびエネルギー効率を示した。

ABSTRACT

This paper presents the hardware design and analysis of ACE and WAGE, two candidate ciphers for the NIST Lightweight Cryptography standardization. Both ciphers use sLiSCP's unified sponge duplex mode. ACE has an internal state of 320 bits, uses three 64 bit Simeck boxes, and implements both authenticated encryption and hashing. WAGE is based on the Welch-Gong stream cipher and provides authenticated encryption. WAGE has 259 bits of state, two 7 bit Welch-Gong permutations, and four lightweight 7 bit S-boxes. ACE and WAGE have the same external interface and follow the same I/O protocol to transition between phases. The paper illustrates how a hardware perspective influenced key aspects of the ACE and WAGE algorithms. The paper reports area, power, and energy results for both serial and parallel (unrolled) implementations using four different ASIC libraries: two 65 nm libraries, a 90 nm library, and a 130 nm library. ACE implementations range from a throughput of 0.5 bits-per-clock cycle (bpc) and an area of 4210 GE (averaged across the four ASIC libraries) up to 4 bpc and 7260 GE. WAGE results range from 0.57 bpc with 2920 GE to 4.57 bpc with 11080 GE.

研究の動機と目的

• ACEおよびWAGE、NIST LWC候補方式の効率的ハードウェア実装の設計および分析を目的とし、面積、スループット、エネルギー効率に焦点を当てる。
• 複数のASIC技術を用いた、ACEおよびWAGEの並列化（アンロール）によるスケーラビリティを評価すること。
• 標準化された合成結果を用いて、ACEおよびWAGEの他のLWC候補方式との相対的なハードウェア効率を比較すること。
• 特にSボックス、LFSR、およびクリティカルパス遅延に関連する、軽量暗号プリミティブのハードウェアマッピングにおける主な設計トレードオフを同定すること。
• 実際のASICライブラリおよびタイミング正確なエネルギー測定を用いた、ACEおよびWAGEの包括的なハードウェア評価を提供すること。

提案手法

• Simeck SボックスおよびWelch-Gong置換に基づくACEおよびWAGEの置換関数を、認証付き暗号化およびハッシュ化に統一されたsLiSCPスポンジデュプレックスモードでハードウェアにマッピングした。
• 並列化（並列度p=1からp=8）を可変とした、シリアルおよびアンロール（並列）アーキテクチャを実装し、スループットを0.5から4.57 bpcまでスケーリング可能とした。
• 異なるファブリケーションハウスの4つのASICライブラリ（65 nm、90 nm、130 nm）を用い、面積、消費電力、エネルギー指標の技術依存性のない評価を実現した。
• 論理合成およびポストプレイス・アンド・ルーティング解析を実施し、10 MHzでのタイミングシミュレーションから正確なゲートエクイバレント（GE）面積、最大周波数、および1ビットあたりのエネルギーを抽出した。
• アンロール設計において、Sボックス、LFSR、WGP関数などの重要なコンポONENTを複製し、面積の増加およびクリティカルパス遅延を分析した。
• 8192ビットデータブロックを対象としたシミュレーションによりエネルギー消費量を評価し、並列化下での効率的トレードオフを測定するため、平均1ビットあたりのエネルギーを測定した。

実験結果

リサーチクエスチョン

• RQ1 並列化の増加が、ACEおよびWAGEのハードウェアにおける面積、スループット、エネルギー効率に与える影響は何か？
• RQ2 異なるASIC技術および実装スタイル下でのACEおよびWAGEの相対的なハードウェアリソース要件（面積、電力、エネルギー）は何か？
• RQ3 両者とも低面積を最適化しているにもかかわらず、なぜWAGEのエネルギー消費量は並列化に伴い増加するのに対し、ACEのそれは減少するのか？
• RQ4 SボックスおよびWGPコンponentsのクリティカルパス遅延が、アンロール設計におけるパフォーマンスおよびエネルギースケーリングに与える影響は何か？
• RQ5 標準化された合成結果を用いた場合、ACEおよびWAGEは他のNIST LWC候補方式と比較して、どれほど小さなハードウェアフットプリントを実現できるか？

主な発見

• ACEの実装は、4つのライブラリ平均で0.5 bpcおよび4210 GE（最小）から4 bpcおよび7260 GE（最大）まで変動し、スループットが上昇するにつれて1ビットあたりのエネルギーが減少した。
• WAGEの実装は、0.57 bpcおよび2920 GE（最小）から4.57 bpcおよび11080 GE（最大）まで変動し、p=1からp=8へのアンロールによる面積増加率が3.80倍（ACEの1.72倍）に達した。
• WAGEのエネルギー消費量が並列化に伴い増加するのは、WGPのクリティカルパスが10ゲートと長く、グリッチングが顕著であるのに対し、ACEのSボックスは2ゲートと短いためである。
• 最適性（スループット／面積²）はWAGEではp=3でピークに達するが、ACEではp=8を越えても改善が続くため、高並列性下でのスケーラビリティがACEに優れていることが示された。
• 非並列バージョンのWAGEはACEより小さいが、高並列性下では、WGP、Sボックス、フィードバック論理といったより大きなコンポONENTの複製により、面積でACEを上回った。
• STマイクロの65 nmプロセスを用いた予備比較では、ACEおよびWAGEは他のLWC候補方式に比べて非常に小型であり、提出報告ではACEが4.2 kGE、WAGEが1.5 kGEであったが、インターフェースおよび機能の違いにより直接比較は制限された。