[논문 리뷰] SOSEMANUK: a fast software-oriented stream cipher

Côme Berbain, Olivier Billet외 10명|2008. 10. 10.

Cryptographic Implementations and Security참고 문헌 2인용 수 17

한 줄 요약

Sosemanuk은 128–256비트 키를 위한 소프트웨어 중심의 고속 스트림 암호로, SNOW 2.0와 SERPENT의 원리를 융합하여 강력한 보안성과 뛰어난 성능을 동시에 확보하였다. 감소된 내부 상태, 최적화된 데이터 매핑, 그리고 24라운드 SERPENT 변형을 통한 빠른 키/IV 설정을 통해 현대 프로세서에서 최상위 수준의 처리량과 낮은 캐시 압력을 실현하였으며, 모든 키 길이에 대해 128비트 보안을 주장한다.

ABSTRACT

Sosemanuk is a new synchronous software-oriented stream cipher, corresponding to Profile 1 of the ECRYPT call for stream cipher primitives. Its key length is variable between 128 and 256 bits. It ac- commodates a 128-bit initial value. Any key length is claimed to achieve 128-bit security. The Sosemanuk cipher uses both some basic design principles from the stream cipher SNOW 2.0 and some transformations derived from the block cipher SERPENT. Sosemanuk aims at improv- ing SNOW 2.0 both from the security and from the efficiency points of view. Most notably, it uses a faster IV-setup procedure. It also requires a reduced amount of static data, yielding better performance on several architectures.

연구 동기 및 목표

• 현대 프로세서에 적합한 빠르고 안전하며 효율적인 소프트웨어 중심 스트림 암호를 설계하기 위해.
• SNOW 2.0의 잠재적 구조적 약점 제거 및 데이터 캐시 압력 감소를 통해 성능을 향상시키기 위해.
• 더 빠른 재동기화를 위해 24라운드 SERPENT 변형을 활용해 키 설정 효율성을 향상시키기 위해.
• 모든 키 길이(128–256비트)에서 128비트 보안을 확보하면서도 높은 처리량을 유지하기 위해.
• 레지스터 사용을 최적화하고 정적 데이터를 줄여 RISC 및 기타 아키텍처에서의 성능을 향상시키기 위해.

제안 방법

• F_{2^32}에서의 10워드 LFSR를 사용하며, 원시 다항식 Q(X) = X^8 + X^7 + X^5 + X^3 + 1을 적용한다.
• 비선형 변환 함수 'Trans'는 XOR, 회전 및 bitslice 기반 S-박스 연산을 조합하여 혼동과 확산을 구현한다.
• 'mux' 연산은 비선형성을 도입하고 빠른 상관 공격 및 대수적 공격에 저항하기 위해 사용된다.
• 키 및 IV 설정을 위해 24라운드 SERPENT 변형(Serpent24)을 사용하여 최소한의 오버헤드로 강력한 확산을 제공한다.
• SERPENT의 단일 S-박스 레이어인 Serpent1을 bitslice 모드로 사용하여 효율적인 비선형 혼합을 제공한다.
• 내부 상태는 LFSR 피드백와 비선형 함수의 조합을 통해 업데이트되며, 출력은 32비트 XOR 연산을 통해 생성된다.

실험 결과

연구 질문

• RQ1 고성능과 대수적 공격 및 상관 공격에 대한 강력한 저항성을 동시에 확보할 수 있는 스트림 암호를 설계할 수 있는가?
• RQ2 보안을 훼손하지 않으면서도 속도를 높이기 위해 키 및 IV 설정을 어떻게 최적화할 수 있는가?
• RQ3 감소된 내부 상태 크기와 정적 데이터는 RISC 아키텍처에서 성능 향상에 기여할 수 있는가?
• RQ4 SERPENT의 bitslice 모드 S-박스를 사용하면 소프트웨어 스트림 암호의 보안성과 효율성이 향상되는가?
• RQ5 변동하는 키 길이(128–256비트)에서도 128비트 보안을 유지하면서 기존 대안보다 더 빠른 성능을 확보할 수 있는가?

주요 결과

• AMD Athlon 64 X2 4200+ (2.20GHz)에서 Sosemanuk은 1바이트당 759.06 사이클을 기록하여 동급 암호 중 대부분의 경쟁 제품을 능가한다.
• 동일한 플랫폼에서 IV 설정에 692.71 사이클만 소요되며, SNOW 2.0의 489.35 사이클보다도 빠르게 기록된다.
• Alpha EV6 (500MHz)에서 Sosemanuk은 키 설정에 1301.09 사이클을 소비하지만, 오래된 아키텍처임에도 불구하고 경쟁력 있는 성능을 보였다.
• 0.13µm CMOS 기반 하드웨어 구현에서는 18,819개의 게이트를 사용하고, 10 Mbps에서 전력-면적-시간 곱이 564.8 nJ-µm²로 측정되어 WLAN 응용에 적합하다.
• 감소된 정적 데이터 덕분에 데이터 캐시 압력이 낮아져 RISC 프로세서에서 성능 향상이 뚜렷하다.
• Serpent1을 bitslice 모드로 사용하고 'mux' 함수를 적용함으로써 대수적 공격 및 빠른 상관 공격에 효과적으로 저항한다.