[논문 리뷰] Hardware Design and Analysis of the ACE and WAGE Ciphers

Mark D. Aagaard, Marat Sattarov외 1명|arXiv (Cornell University)|2019. 09. 26.

Cryptographic Implementations and Security참고 문헌 7인용 수 7

한 줄 요약

이 논문은 NIST 경량 암호 표준화 과정에 제출된 경량 인증 암호 ACE와 WAGE의 하드웨어 설계 및 분석을 제시한다. 둘 다 sLiSCP 스폰지 듀플렉스 모드를 사용하며, ACE(320비트 상태)와 WAGE(259비트 상태)는 효율적인 하드웨어 매핑을 위해 최적화되어 있다. 결과적으로 ACE는 최대 4 bpc의 스루풋을 7260 GE로 달성하고, WAGE는 네 개의 ASIC 라이브러리에서 4.57 bpc의 스루풋과 11080 GE를 기록하여 고병렬성 환경에서 뛰어난 면적 및 에너지 효율성을 입증한다.

ABSTRACT

This paper presents the hardware design and analysis of ACE and WAGE, two candidate ciphers for the NIST Lightweight Cryptography standardization. Both ciphers use sLiSCP's unified sponge duplex mode. ACE has an internal state of 320 bits, uses three 64 bit Simeck boxes, and implements both authenticated encryption and hashing. WAGE is based on the Welch-Gong stream cipher and provides authenticated encryption. WAGE has 259 bits of state, two 7 bit Welch-Gong permutations, and four lightweight 7 bit S-boxes. ACE and WAGE have the same external interface and follow the same I/O protocol to transition between phases. The paper illustrates how a hardware perspective influenced key aspects of the ACE and WAGE algorithms. The paper reports area, power, and energy results for both serial and parallel (unrolled) implementations using four different ASIC libraries: two 65 nm libraries, a 90 nm library, and a 130 nm library. ACE implementations range from a throughput of 0.5 bits-per-clock cycle (bpc) and an area of 4210 GE (averaged across the four ASIC libraries) up to 4 bpc and 7260 GE. WAGE results range from 0.57 bpc with 2920 GE to 4.57 bpc with 11080 GE.

연구 동기 및 목표

• ACE와 WAGE, 두 개의 NIST LWC 후보 암호에 대해 면적, 스루풋, 에너지 효율성에 중점을 두어 효율적인 하드웨어 구현을 설계하고 분석한다.
• 여러 ASIC 기술에서의 증가하는 병렬화(언롤링)에 따른 ACE와 WAGE의 확장성 평가.
• 표준화된 합성 결과를 사용하여 ACE와 WAGE의 상대적인 하드웨어 효율성을 다른 LWC 후보들과 비교한다.
• 특히 S-박스, LFSR 및 핵심 경로 지연에 관해 경량 암호 primitive를 하드웨어에 매핑할 때의 주요 설계 트레이드오프를 규명한다.
• 실제 ASIC 라이브러리와 타이밍 정확한 에너지 측정을 활용하여 ACE와 WAGE에 대한 종합적인 하드웨어 평가를 제공한다.

제안 방법

• Simeck S-박스와 Welch-Gong 순열 기반의 ACE 및 WAGE 순열을 통합된 sLiSCP 스폰지 듀플렉스 모드를 사용해 하드웨어로 매핑하여 인증 암호화 및 해시 기능을 제공한다.
• 일반 및 언롤드(병렬) 아키텍처를 각각 다양한 병렬성 수준(p=1에서 p=8)으로 구현하여 스루풋을 0.5에서 4.57 bpc로 확장 가능하게 한다.
• 다양한 파운드리에서 제공하는 65 nm, 90 nm, 130 nm의 네 개의 ASIC 라이브러리를 사용하여 면적, 전력, 에너지 지표에 대한 기술에 종속되지 않는 평가를 확보한다.
• 논리 합성 및 포스트 플레이스앤라이드 분석을 수행하여 타이밍 시뮬레이션(10 MHz 기준)에서 정확한 게이트 에QUIVALENT(GE) 면적, 최대 주파수 및 비트당 에너지를 추출한다.
• 언롤드 설계에서 S-박스, LFSR 및 WGP 기능과 같은 핵심 구성 요소를 복제하여 면적 증가와 핵심 경로 지연을 분석한다.
• 8192비트 데이터 블록을 기반으로 시뮬레이션을 수행하여 평균 비트당 에너지 소비를 측정함으로써 병렬화 조건에서의 효율성 트레이드오프를 평가한다.

실험 결과

연구 질문

• RQ1 병렬화를 증가시킬수록 ACE와 WAGE의 하드웨어 설계에서 면적, 스루풋, 에너지 효율성은 어떻게 영향을 받는가?
• RQ2 다양한 ASIC 기술과 설계 방식에서 ACE와 WAGE의 상대적인 하드웨어 자원 요구사항(면적, 전력, 에너지)은 어떠한가?
• RQ3 ACE는 낮은 면적을 최적화했지만 WAGE의 에너지 소비는 병렬화가 증가함에 따라 증가하는 이유는 무엇인가?
• RQ4 S-박스 및 WGP 구성 요소의 핵심 경로 지연은 언롤드 설계에서 성능과 에너지 스케일링에 어떻게 영향을 미치는가?
• RQ5 표준화된 합성 결과를 사용하여 ACE와 WAGE는 다른 NIST LWC 후보 암호에 비해 하드웨어 프로필이 어떻게 다른가?

주요 결과

• ACE의 구현은 네 개의 라이브러리 평균 기준으로 0.5 bpc 및 4210 GE에서 최대 4 bpc 및 7260 GE까지 범위를 가지며, 스루풋 증가에 따라 비트당 에너지가 감소한다.
• WAGE의 구현은 0.57 bpc 및 2920 GE에서 최대 4.57 bpc 및 11080 GE까지 범위를 가지며, p=1에서 p=8로 언롤링 시 면적 증가율이 ACE(1.72×)보다 높은 3.80×로 나타나 더 큰 성장률을 보인다.
• WAGE의 비트당 에너지 소비는 WGP의 더 긴 핵심 경로(10게이트)와 높은 글리치 발생으로 인해 병렬화가 증가함에 따라 증가하는 반면, ACE는 짧은 2게이트 S-박스 핵심 경로로 인해 에너지 소비가 감소한다.
• 최적성(스루풋 / 면적²)은 WAGE의 경우 p=3에서 최고에 도달하지만, ACE의 경우 p=8를 초월해도 계속 향상되며, 고병렬성 환경에서 ACE의 더 나은 확장성을 나타낸다.
• 비병렬 버전의 WAGE는 ACE보다 작지만, 더 큰 구성 요소(즉, WGP, S-박스, 피드백 논리)의 복제로 인해 고병렬성 환경에서 면적이 ACE를 초월한다.
• ST 마이크로 65 nm 기준 예비 비교에서 ACE와 WAGE는 다른 LWC 후보들 중 가장 작은 크기를 보였으며, 보고된 제출물에서 ACE는 4.2 kGE, WAGE는 1.5 kGE를 기록했다. 다만 인터페이스 및 기능적 차이로 인해 직접 비교는 제한된다.