[논문 리뷰] A Systematic Study of Lattice-based NIST PQC Algorithms: from Reference Implementations to Hardware Accelerators

Malik Imran, Zain Ul Abideen외 1명|arXiv (Cornell University)|2020. 09. 15.

Cryptography and Data Security참고 문헌 15인용 수 6

한 줄 요약

이 논문은 12종의 래티스 기반 NIST 양자 컴퓨팅 대비 암호화 알고리즘에 대한 체계적인 하드웨어 분석을 수행하며, 65nm 공정에서 500MHz로 구현된 ASIC 가속기로서의 면적, 전력 소비 및 자원 요구 사항을 평가한다. 주요 구성 요소로는 승수기, 메모리, 해싱 유닛을 식별하고, 면적 및 전력 소비 추정치를 정밀하게 제공하며, 높은 주파수와 보안 수준에도 불구하고 최신 기술 수준과 유사한 성능을 보인다.

ABSTRACT

Security of currently deployed public key cryptography algorithms is foreseen to be vulnerable against quantum computer attacks. Hence, a community effort exists to develop post-quantum cryptography (PQC) algorithms, i.e., algorithms that are resistant to quantum attacks. In this work, we have investigated how lattice-based candidate algorithms from the NIST PQC standardization competition fare when conceived as hardware accelerators. To achieve this, we have assessed the reference implementations of selected algorithms with the goal of identifying what are their basic building blocks. We assume the hardware accelerators will be implemented in application specific integrated circuit (ASIC) and the targeted technology in our experiments is a commercial 65nm node. In order to estimate the characteristics of each algorithm, we have assessed their memory requirements, use of multipliers, and how each algorithm employs hashing functions. Furthermore, for these building blocks, we have collected area and power figures for 12 candidate algorithms. For memories, we make use of a commercial memory compiler. For logic, we make use of a standard cell library. In order to compare the candidate algorithms fairly, we select a reference frequency of operation of 500MHz. Our results reveal that our area and power numbers are comparable to the state of the art, despite targeting a higher frequency of operation and a higher security level in our experiments. The comprehensive investigation of lattice-based NIST PQC algorithms performed in this paper can be used for guiding ASIC designers when selecting an appropriate algorithm while respecting requirements and design constraints.

연구 동기 및 목표

• 래티스 기반 NIST PQC 알고리즘의 ASIC 가속기로서의 하드웨어 실현 가능성을 평가하기 위해.
• 12개의 NIST PQC 후보자들 사이에서 핵심 계산 구성 요소(승수기, 메모리, 해싱)를 식별하고 특성화하기 위해.
• 65nm 공정 노드를 사용하여 500MHz에서 ASIC 구현을 위한 정확한 면적 및 전력 소비 추정치를 제공하기 위해.
• 하드웨어 효율성 및 설계 제약 조건을 기반으로 ASIC 설계자가 최적의 PQC 알고리즘을 선택할 수 있도록 안내하기 위해.
• 주파수, 보안 수준, 공정 노드와 같은 평가 매개변수를 표준화하여 PQC 후보자들 간의 공정한 비교를 가능하게 하기 위해.

제안 방법

• 12종의 래티스 기반 NIST PQC 알고리즘의 C/C++ 기반 레퍼런스 구현에서 산술 연산을 추출하였다.
• 다양한 파rameter를 가진 50개 이상의 ROM 및 RAM 인스턴스를 생성하기 위해 상용 메모리 컴파일러를 사용하였다.
• 표준 셀 라이브러리를 사용하여 승수기 및 해싱 코어를 합성하였으며, 65nm 공정에서 500MHz 동작을 목표로 하였다.
• 각 알고리즘의 핵심 구성 요소에 대해 논리 합성 후 면적 및 전력 소비를 측정하였다.
• 특히 qTesla에 대해 면적과 전력 소모를 줄이기 위해 8- 및 16-디지트 세그먼트로 분할된 승수기 설계를 평가하였다.
• 이전 연구들과의 비교를 통해 정확도를 검증하고, 구현 선택에 따른 차이점을 규명하였다.

실험 결과

연구 질문

• RQ1 65nm 공정에서 500MHz로 구현된 ASIC 가속기로서 래티스 기반 NIST PQC 알고리즘의 면적 및 전력 요구 사항은 어떻게 비교되는가?
• RQ2 PQC 하드웨어 가속기에서 자원 소비를 주로 차지하는 알고리즘 구성 요소(승수기, 메모리, 해싱)는 무엇인가?
• RQ3 세그먼트로 분할된 승수기 설계는 고정밀도 PQC 연산에서 면적과 전력 소모를 얼마나 줄일 수 있는가?
• RQ4 저자들이 제시한 추정치는 면적 및 전력 효율성 측면에서 기존 하드웨어 구현과 비교하여 어떻게 평가되는가?
• RQ5 ASIC에서 NIST PQC 알고리즘을 구현할 때 주요 하드웨어 병목 현상과 최적화 기회는 무엇인가?

주요 결과

• 모든 12개 알고리즘에 대한 추정 면적 및 전력 소비 수치는 더 높은 주파수(500MHz)와 보안 수준에도 불구하고 최신 기술 수준과 유사하다.
• qTesla(16384×16384)의 경우, 전체 폭 승수기 대비 세그먼트로 분할된 승수기 설계로 면적을 39% 감소시키고 전력 소비를 719% 감소시켜 뚜렷한 최적화 잠재력을 입증하였다.
• 세그먼트 수를 늘림으로써 다른 알고리즘의 전력 소비도 감소시킬 수 있으며, 이는 에너지 절감을 위한 실현 가능한 길임을 시사한다.
• 대부분의 알고리즘에 대해 이 연구에서의 면적 및 전력 추정치는 이전 연구들([26, 27])보다 낮으며, 주로 '접착 논리'를 제외하고 핵심 구성 요소에 집중했기 때문이다.
• 이 연구에서의 전력 값은 [26, 27]보다 높은 편이지만, 이는 고수준 합성(HLS)을 사용하여 루프된 C/C++ 승수기를 구현했기 때문이며, 이는 디지트-시리얼 최적화 구현 대비 전력 소비가 증가하기 때문이다.
• 분석 결과 승수기가 가장 자원을 많이 소비하는 구성 요소로 드러나, PQC 가속기에서 하드웨어 최적화의 주요 대상임을 확인하였다.