[论文解读] A Systematic Study of Lattice-based NIST PQC Algorithms: from Reference Implementations to Hardware Accelerators

Malik Imran, Zain Ul Abideen+1 more|arXiv (Cornell University)|Sep 15, 2020

Cryptography and Data Security参考文献 15被引用 6

一句话总结

本文对12种基于格的NIST后量子密码学（PQC）算法进行了系统的硬件分析，评估其在65nm工艺下以500MHz频率实现为ASIC加速器时的面积、功耗和资源需求。识别出关键构建模块——乘法器、存储器和哈希单元，并提供了详细的面积和功耗估算，结果显示尽管频率和安全级别更高，其性能仍与当前最先进水平相当。

ABSTRACT

Security of currently deployed public key cryptography algorithms is foreseen to be vulnerable against quantum computer attacks. Hence, a community effort exists to develop post-quantum cryptography (PQC) algorithms, i.e., algorithms that are resistant to quantum attacks. In this work, we have investigated how lattice-based candidate algorithms from the NIST PQC standardization competition fare when conceived as hardware accelerators. To achieve this, we have assessed the reference implementations of selected algorithms with the goal of identifying what are their basic building blocks. We assume the hardware accelerators will be implemented in application specific integrated circuit (ASIC) and the targeted technology in our experiments is a commercial 65nm node. In order to estimate the characteristics of each algorithm, we have assessed their memory requirements, use of multipliers, and how each algorithm employs hashing functions. Furthermore, for these building blocks, we have collected area and power figures for 12 candidate algorithms. For memories, we make use of a commercial memory compiler. For logic, we make use of a standard cell library. In order to compare the candidate algorithms fairly, we select a reference frequency of operation of 500MHz. Our results reveal that our area and power numbers are comparable to the state of the art, despite targeting a higher frequency of operation and a higher security level in our experiments. The comprehensive investigation of lattice-based NIST PQC algorithms performed in this paper can be used for guiding ASIC designers when selecting an appropriate algorithm while respecting requirements and design constraints.

研究动机与目标

• 评估基于格的NIST PQC算法作为ASIC加速器的硬件可行性。
• 识别并表征12种NIST PQC候选算法中的核心计算构建模块（乘法器、存储器、哈希）。
• 为在65nm工艺节点下以500MHz频率实现ASIC提供准确的面积和功耗估算。
• 为ASIC设计人员根据硬件效率和设计约束选择最优PQC算法提供指导。
• 通过标准化评估参数（频率、安全级别、工艺节点），实现PQC候选算法之间的公平比较。

提出的方法

• 从12种基于格的NIST PQC算法的C/C++参考实现中提取算术运算。
• 使用商用存储器编译器生成50多个具有不同参数的ROM和RAM实例。
• 使用标准单元库综合乘法器和哈希核心，目标为在65nm工艺中实现500MHz运行。
• 在逻辑综合后测量每个算法核心组件的面积和功耗。
• 评估分段乘法器设计（8位和16位分段），以减少面积和功耗，尤其针对qTesla。
• 与先前工作对比，以验证估算的准确性，并突出因实现选择而产生的差异。

实验结果

研究问题

• RQ1 当在65nm工艺下以500MHz频率实现为ASIC加速器时，基于格的NIST PQC算法的面积和功耗需求如何比较？
• RQ2 在PQC硬件加速器中，哪些算法构建模块（乘法器、存储器、哈希）主导了资源消耗？
• RQ3 分段乘法器设计在高精度PQC运算中能在多大程度上减少面积和功耗？
• RQ4 与现有硬件实现相比，作者的估算在面积和功耗效率方面如何？
• RQ5 在ASIC中实现NIST PQC算法时，关键的硬件瓶颈和优化机会是什么？

主要发现

• 所有12种算法的估算面积和功耗与当前最先进水平相当，尽管目标频率更高（500MHz）且安全级别更高。
• 对于qTesla（16384×16384），分段乘法器相比全宽乘法器将面积减少39%，功耗降低719%，显示出显著的优化潜力。
• 通过增加分段数量，分段乘法器可在其他算法中降低功耗，表明其为节能提供了一条可行路径。
• 除少数例外，本工作的面积和功耗估算低于先前工作（如[26, 27]），主要原因是排除了'胶合逻辑'，仅聚焦于核心构建模块。
• 本工作中的功耗值高于[26, 27]，因为本研究采用高层次综合（HLS）的循环C/C++乘法器，其功耗高于优化的串行数字实现。
• 分析表明，乘法器是最耗资源的组件，因此是PQC加速器中硬件优化的首要目标。