[论文解读] Lighting the Way to a Smart World: Lattice-Based Cryptography for Internet of Things

Rui Xu, Cheng Chi+2 more|arXiv (Cornell University)|May 13, 2018

Cryptography and Data Security参考文献 11被引用 15

一句话总结

本文主张将基于格的密码学作为资源受限的物联网（IoT）设备实用且抗量子计算的安全解决方案。研究表明，像 R-LWE、BLISS 和 NewHope 这类基于格的方案在微控制器和 FPGA 上均实现了强大的安全性和高效率，其软件与硬件实现可在 Cortex-M 处理器上达到亚毫秒级性能，且经过优化的硬件设计进一步提升了性能，使其成为未来安全物联网系统的主要候选方案。

ABSTRACT

The Ukraine power grid cyberattacks remind us that the smart Internet of Things (IoT) can help us control our light-bulbs, but if under attacks it might also take us into darkness. Nowadays, many literatures have tried to address the concerns on IoT security, but few of them take into consideration the sever threats to IoT coming from the advances of quantum computing. As a promising candidate for the future post-quantum cryptography standard, lattice-based cryptography enjoys the advantages of strong security guarantees and high efficiency, which make it extremely suitable for IoT applications. In this paper, we summarize the advantages of lattice-based cryptography and the state of art of their implementations for IoT devices.

研究动机与目标

• 应对量子计算对现有物联网安全协议日益增长的威胁。
• 将基于格的密码学识别为一种有前景的后量子替代方案，因其具备强大的安全性和高效性。
• 调查在资源受限的物联网设备上，基于格的方案的最新软件与硬件实现。
• 突出在实际物联网系统中部署基于格的密码学时面临的安全性、性能与实用性挑战。
• 为未来在嵌入式与低功耗环境中优化基于格的方案提供指导。

提出的方法

• 调查并分析基于格的密码原原子，包括加密（R-LWE）、密钥交换（NewHope）和数字签名（BLISS）。
• 使用平台特定优化，在 32 位 Cortex-M 微控制器上评估软件实现。
• 研究基于 FPGA 的硬件加速器，重点关注吞吐量与面积效率。
• 在不同设备与方案之间比较性能指标，如周期数、执行时间和时钟频率。
• 评估侧信道抗性与参数选择在基于格系统中的挑战。
• 回顾理论基础，包括随机预言模型中的安全证明以及离散高斯采样技术的作用。

实验结果

研究问题

• RQ1 基于格的密码学是否能在资源受限的物联网设备上同时提供强大的后量子安全性与可接受的性能？
• RQ2 在微控制器和 FPGA 上，R-LWE、BLISS 和 NewHope 等基于格的方案在执行时间与资源使用方面表现如何？
• RQ3 在实际物联网系统中部署基于格的密码学时，主要的实际挑战是什么，特别是侧信道攻击与参数选择方面？
• RQ4 当前基于格的方案实现，在安全性、效率与通信开销之间达到所需平衡的程度如何？
• RQ5 理论安全保证如何与基于格的物联网部署中的实际安全性相一致？

主要发现

• 基于格的密码学在计算效率方面优于传统公钥方案（如 RSA 和 ECC），NewHope 在 Cortex-M0 上进行服务端计算时约需 150 万个周期。
• R-LWE 加密的 FPGA 实现可在 V6LX75T 上达到最高 313 MHz 的吞吐量，优化配置下的执行时间低至 9.1 微秒。
• BLISS-B 作为 BLISS 签名方案的变体，通过改进采样技术，将密钥生成时间缩短了 5 至 10 倍。
• 在 FPGA 上对 R-LWE 和 IBE 方案进行硬件优化实现，即使在低面积设备（如 S6LX9）上也具备可行性，执行时间低于 1 毫秒。
• 尽管理论安全性较强，但大多数当前实现缺乏侧信道防护，使其易受实际侧信道攻击。
• 在完全量子攻击模型下，目前仍缺乏统一的模型来评估基于格方案的安全级别，存在显著空白。